המשאב והפעולה חשובים יותר מהנחה שהמשתמש בפנים
NIST SP 800-207 מתאר Zero Trust כמעבר מאמון משתמע לפי רשת להתמקדות במשאבים ובגישה אליהם. אימות והרשאה הם תפקידים נפרדים. כניסה למשאב אחד אינה מעניקה אוטומטית זכות לכל משאב אחר, והמדיניות יכולה להתחשב גם במכשיר ובהקשר הבקשה.
MFA, VPN והרשאה מזערית תורמים בדרכים שונות
MFA עוסק באימות זהות, ו-VPN יכול לספק מסלול תקשורת מתאים לפי התכנון. הרשאה מזערית מגדירה מה מותר לזהות לעשות. אין להסיק מהפעלת אחד מהם שהוטמעה ארכיטקטורת Zero Trust מלאה. הטבלה היא כלי הבנה מקורי, ולא בדיקת הסמכה או רשימת רכישות.
| רכיב או עיקרון | שאלה שהוא עוזר לענות עליה | מה צריך לברר בנוסף |
|---|---|---|
| אימות זהות | מה הבסיס לזהות המבקש | האם הוא מורשה לפעולה בנכס |
| מצב מכשיר | איזו סביבת גישה נבחנה | מידע ופעולות שהגישה מאפשרת |
| הרשאה מזערית | מה נחוץ למשימה | איך נאכף הגבול בכל מסלול רלוונטי |
| חיבור לרשת | איך מגיעים לשירות | האם המיקום הופך בטעות לאישור גורף |
| מדיניות ובקרה | מתי גישה מותרת או משתנה | מי מנהל חריגה ומאמת שהכלל עובד |
דוגמה: ספק צריך לערוך אתר ולא לנהל את כל התשתית
התרחיש להמחשה בלבד. ספק מתחבר כדי לערוך תוכן. העובדה שהוא מכיר את העסק או מתחבר דרך רשת מאושרת אינה סיבה לתת לו אוטומטית גישה לדואר, לגיבויים ולכל השרתים. מגדירים תפקיד ופעולות ומתאימים את הגישה לנכס הנדרש. בודקים שהתהליך עובד ושפעולה מחוץ להיקף נדחית.
הדוגמה מדגימה עיקרון, ולא טוענת שהעסק כבר פועל בארכיטקטורה מלאה. מערכת ישנה או מגבלת מוצר עשויות לחייב חריגה, שאותה מתעדים עם בעלים ובחינה. לא משתמשים בשם Zero Trust כדי להסתיר הרשאות רחבות שנותרו ללא הסבר.
יישום דורש מיפוי ואכיפה, לא רק ניסוח מדיניות
כדי לבחור בקרות צריך לדעת אילו נכסים, זהויות וחיבורים קיימים. OWASP מדגיש בדיקת הרשאות ואכיפה במקום המתאים. הצהרה במסמך שהגישה מצומצמת אינה הוכחה שהמערכת אוכפת זאת. גם ממשק שאינו מציג כפתור אינו בהכרח גבול הרשאה מספק בפני עצמו.
גישה צריכה להיבדק לפי ההיקף שהוגדר, לרבות ספקים, יישומים ותלות. לא כל פעולה מחייבת הקלדת קוד מחדש; אופן האימות, משך הגישה והבחינה מחדש תלויים במדיניות ובטכנולוגיה. המטרה היא כלל שניתן להצדיק ולאכוף בלי לגרום לצוות לעקוף אותו כדי לעבוד.
איך עסק קטן מתחיל ומה מבקשים מספק
אפשר להתחיל בתהליך חשוב אחד: לזהות נכס, מי צריך אותו, אילו פעולות נחוצות ואיזו בדיקה תראה שהגישה מוגבלת נכון. כך יוצרים בסיס לשיפור הדרגתי בלי לקרוא לכל שינוי פרויקט Zero Trust. בדיקת תפקוד חשובה לצד צמצום חשיפה; חסימה של כולם אינה תוצאת אבטחה שימושית.
בקשו מספק לתאר מה הוא משנה, היכן נאכפת ההחלטה ומה לא כלול. הימנעו מקביעה שכל העסק מוגן רק משום שנרכש שירות עם השם. טיפול בזהויות ובהרשאות באתר יכול לתמוך בעקרונות, אך אינו אישור שכל מרכיבי הארכיטקטורה הארגונית יושמו.