Zero Trust για μικρές επιχειρήσεις: ξεκίνα από την πρόσβαση

Ένας εξωτερικός συνεργάτης χρειάζεται πρόσβαση σε μια εφαρμογή για ένα συγκεκριμένο έργο. Δεν χρειάζεται, γι’ αυτόν τον λόγο, μόνιμη πρόσβαση σε όλους τους φακέλους και στους υπόλοιπους υπολογιστές. Αυτή είναι μια πρακτική αφετηρία για το Zero Trust σε μια μικρή επιχείρηση: σαφής ταυτότητα, συγκεκριμένα δικαιώματα και έλεγχος του πότε αυτά εξακολουθούν να χρειάζονται.

Το NIST SP 800-207 περιγράφει μια αρχιτεκτονική που εστιάζει σε χρήστες, συσκευές και πόρους, αντί να θεωρεί έμπιστο κάποιον μόνο επειδή βρίσκεται μέσα στο εταιρικό δίκτυο. Πρόκειται για αρχές σχεδιασμού. Η αγορά μιας υπηρεσίας με την αντίστοιχη ετικέτα δεν ολοκληρώνει από μόνη της τη δουλειά.

Κάνε απογραφή ανθρώπων, συσκευών και εφαρμογών

Ξεκίνα με έναν απλό πίνακα: ποιος χρησιμοποιεί κάθε υπηρεσία, ποιος την εγκρίνει και ποιος τη διαχειρίζεται. Συμπερίλαβε email, λογιστήριο, αποθήκευση αρχείων, τηλεφωνικό κέντρο και απομακρυσμένη υποστήριξη. Μην ξεχάσεις λογαριασμούς πρώην εργαζομένων, κοινόχρηστους κωδικούς και προσβάσεις προμηθευτών.

Για κάθε ρόλο, όρισε το ελάχιστο δικαίωμα που επιτρέπει την εργασία. Χώρισε τον καθημερινό λογαριασμό από εκείνον που αλλάζει κρίσιμες ρυθμίσεις. Κατέγραψε τις συσκευές που επιτρέπονται και τι γίνεται αν ένα προσωπικό laptop δεν μπορεί να ελεγχθεί ή να ενημερωθεί επαρκώς.

Βάλε ισχυρότερη ταυτοποίηση στα κρίσιμα σημεία

Ενεργοποίησε πολυπαραγοντικό έλεγχο ταυτότητας όπου προσφέρεται, ξεκινώντας από email, λογαριασμούς διαχειριστή και απομακρυσμένη πρόσβαση. Το NIST, στο ενημερωτικό του για μικρές επιχειρήσεις, εξηγεί ότι οι μέθοδοι MFA δεν παρέχουν όλες την ίδια προστασία. Μέθοδοι ανθεκτικές στο phishing, όπως κατάλληλα FIDO authenticators, αξίζουν προτεραιότητα όπου υποστηρίζονται.

Μαζί με την ενεργοποίηση χρειάζεται ανάκτηση πρόσβασης. Όρισε τι γίνεται όταν χαθεί τηλέφωνο ή κλειδί ασφαλείας και ποιος επιβεβαιώνει την ταυτότητα του χρήστη. Αποθήκευσε τους κωδικούς ανάκτησης με ασφαλή τρόπο. Μια αλλαγή που κλειδώνει τον μοναδικό διαχειριστή έξω από την εταιρεία δημιουργεί νέο επιχειρησιακό πρόβλημα.

Περιόρισε την πρόσβαση στην εφαρμογή που χρειάζεται

Η απομακρυσμένη σύνδεση μέσω VPN μπορεί να είναι χρήσιμη, αλλά η ύπαρξή της δεν ορίζει από μόνη της ποια συστήματα πρέπει να βλέπει κάθε χρήστης. Έλεγξε τους πραγματικούς κανόνες, τις ομάδες δικαιωμάτων και τις δυνατότητες της εφαρμογής.

Για εξωτερική τεχνική υποστήριξη, ζήτησε προσωπικό λογαριασμό, συγκεκριμένη έγκριση και λήξη πρόσβασης. Κατέγραφε τις σχετικές ενέργειες χωρίς να συλλέγεις αδιακρίτως περιεχόμενο εργαζομένων. Τα ενημερωμένα λειτουργικά, τα αντίγραφα ασφαλείας και η προστασία συσκευών παραμένουν απαραίτητα μαζί με τους ελέγχους ταυτότητας.

Ξεκίνα με μία μετρήσιμη αλλαγή

Σε ένα υποθετικό λογιστικό γραφείο, η πρώτη φάση μπορεί να καλύπτει μόνο email και κοινόχρηστα αρχεία. Ο υπεύθυνος ελέγχει:

Αν κάθε ενεργός λογαριασμός αντιστοιχεί σε συγκεκριμένο άνθρωπο ή τεκμηριωμένη υπηρεσία.
Αν τα δικαιώματα ταιριάζουν με τον ρόλο και έχουν εγκριθεί.
Αν λειτουργούν MFA και ασφαλής ανάκτηση.
Αν η αποχώρηση εργαζομένου ανακαλεί πρόσβαση, συνεδρίες και κοινόχρηστα μυστικά.
Αν μπορεί να δοθεί προσωρινή πρόσβαση χωρίς γενικά δικαιώματα διαχειριστή.

Κράτησε αρχείο των εξαιρέσεων με υπεύθυνο και ημερομηνία επανελέγχου. Στόχος είναι να μειώνεται σταδιακά η ανεξέλεγκτη πρόσβαση και να φαίνεται ποιος αποφασίζει για αυτήν, χωρίς υποσχέσεις απόλυτης ασφάλειας.

Πηγές

Εντοπίσατε κάτι που χρειάζεται διόρθωση; Επικοινωνήστε με τη σύνταξη.

← Επιστροφή στη ροή