Jak zavést zero trust ve firmě?

Kolega odchází, ale jeho starý e-mailový účet, přístup k VPN a heslo k dodavatelskému portálu zůstávají aktivní ještě několik týdnů. Mezitím externí účetní přistupuje k fakturaci na dálku, vedoucí skladu pracuje s vlastní tabulkou a k výrobnímu systému používá více lidí společný administrátorský účet. Když se objeví otázka, jak zavést zero trust, nejde jen o rozhodování o IT ochranných nástrojích. Otázkou je, zda společnost přesně ví, kdo, z jakého zařízení, s jakým obchodním důvodem a jak dlouho má přístup ke kritickým informacím a systémům.

Základní princip přístupu zero trust je jednoduchý: nepovažujme automaticky žádného uživatele, zařízení ani síť za důvěryhodné jen proto, že pochází z firemní kanceláře nebo interní sítě. Každý přístup musí být identifikován, ověřen a omezen na konkrétní úkol. V praxi to neznamená, že práce všech zaměstnanců bude obtížnější. Dobře navržené řešení spíše eliminuje zbytečná, příliš široká oprávnění a vytváří jasnější provozní odpovědnosti.

Zavedení zero trust nezačíná firewallem

První reakcí mnoha organizací je pořízení nového bezpečnostního produktu. To je pochopitelné, ale často špatné pořadí. Pokud není jasné, který systém podporuje jaký obchodní proces, kdo je vlastníkem systému a kdo skutečně potřebuje přístup, nová technologie se jen navrství na stávající nepořádek.

Je vhodné začít s každodenním provozem. Podívejme se na celý proces, například na cestu objednávky v e-shopu od platby přes fakturaci a kompletaci až po dodací list. Ve kterých systémech se data objevují? Kdo může objednávku upravit? Kdo může vidět údaje o zákaznících, cenách nebo skladové informace? Kde se používají společné účty, sdílená hesla nebo Excelové soubory, ke kterým mají přístup i bývalí zaměstnanci?

Toto zjišťování je často nepříjemné, ale přináší cenné výsledky. Není neobvyklé, že finanční pracovník má plná oprávnění ke správě zásob, protože před lety zastupoval vedoucího skladu. Nebo externí vývojář může přistupovat k několika obchodním systémům, protože nikdo nedokumentoval, jaký přístup je potřeba pro kterou integraci. Tyto případy nejsou nutně lidskými chybami. Spíše jsou známkou toho, že růst byl rychlejší než údržba provozních pravidel.

Co chráníme a proč?

Zero trust není aplikován na všechny systémy se stejnou přísností. Veřejný produktový katalog a HR systém obsahující mzdové údaje nepředstavují stejná rizika. Na začátku zavádění je proto vhodné určit ty obchodní zdroje, jejichž výpadek, úprava nebo neoprávněný přístup by způsobil skutečné provozní problémy.

Takovými mohou být finanční systémy, ERP, výrobní data, databáze zákazníků a dodavatelů, administrace e-shopu, skladové systémy, manažerské reporty a zálohy a správa infrastruktury. Zvláštní pozornost si zaslouží systémy, které se spoléhají na znalosti jediného člověka nebo jediný technický účet.

Prioritu je třeba určit nejen z hlediska ochrany dat. V provozním prostředí může například příliš agresivně zavedené pravidlo přístupu způsobit zastavení nebo nebezpečné zpoždění. Ve skladu může rychlé použití terminálu při střídání směn vyžadovat jiné řešení než přístup finančního ředitele z domova. Cílem není maximální překážka, ale přiměřená, prokazatelná a obchodně funkční ochrana.

Jak zavést zero trust postupně?

Dobré zavedení není jednorázový projekt, ale řízený přechod. Nejprve je třeba dát do pořádku identity a oprávnění, na což lze bezpečně navázat správou zařízení, síťovými omezeními a průběžnou kontrolou.

1. Mějte jasno, kdo je kdo

Začněte s kompletní inventurou uživatelských účtů. Nejen firemní e-mailové adresy je třeba přezkoumat, ale také účty v ERP, CRM, e-shopu, cloudu, skladech, výrobních a fakturačních systémech. Služební účty, technické integrace a přístupy externích partnerů vyžadují zvláštní pozornost, protože často nejsou zahrnuty do procesů příchodu a odchodu.

Každý účet by měl mít určeného obchodního odpovědného. IT oddělení nerozhoduje o tom, zda nákupčí potřebuje přístup k archivu smluv, ale odpovědný za daný proces. Úkolem IT je toto rozhodnutí bezpečně, dokumentovaně a kontrolovatelně realizovat.

Společné účty by měly být pokud možno zrušeny. Pokud to kvůli provoznímu zařízení nebo staré aplikaci nelze krátkodobě vyřešit, je třeba alespoň přísně regulovat jejich používání, správu hesel a odpovědnost. Společný účet se může zdát rychlý, ale po události nelze určit, kdo provedl změnu.

2. Nezbytné minimum jako výchozí nastavení

Princip nejmenšího potřebného oprávnění znamená, že každý má přístup pouze k tomu, co potřebuje pro svou aktuální práci. To neznamená, že pro každou žádost je třeba zvláštní povolení. Dobře navržené role právě snižují každodenní administrativu.

Například pracovník zákaznického servisu může potřebovat přístup ke stavu objednávky a dodací adrese, ale ne nutně k celé finanční účetnictví. Externí údržbář může mít časově omezený přístup k serveru, ale neměl by mít trvalé oprávnění k VPN pro celou síť. Zobrazení manažerských reportů může být odděleno od jejich úprav nebo změn základních dat.

Oprávnění by měla být vázána na pracovní pozici a obchodní roli, nikoliv na dlouhý seznam výjimek přizpůsobených jednotlivcům. Výjimky jsou někdy nevyhnutelné, ale bez data vypršení, odůvodnění a pravidelné revize se stávají trvalým rizikem.

3. Posilněte přihlášení, ale nezpomalujte práci

Vícefaktorová autentizace je jedním z nejrychleji zaveditelných a nejúčinnějších opatření, zejména pro e-mail, vzdálený přístup, administrátorské účty a cloudové služby. Sama o sobě však není strategií zero trust. Pokud má uživatel příliš široká oprávnění, druhý autentizační faktor pouze potvrzuje, že se skutečně přihlásil on.

Použitelnost je zde klíčová otázka. Pro kancelářského pracovníka může být vhodná autentizační aplikace. V případě sdílených pracovních stanic, směnového prostředí nebo skladového personálu pracujícího v ochranných rukavicích je třeba jiný proces přihlášení. Bezpečnost nelze navrhovat bez ohledu na skutečné pracovní procesy, protože zaměstnanci pak hledají alternativní cesty.

4. Zkoumejte zařízení a připojení

Není stejné riziko, pokud se někdo přihlásí z centrálně spravovaného, aktualizovaného firemního notebooku, nebo z neznámého osobního počítače. Zero trust proto zohledňuje i stav zařízení: zda je šifrované, zda jsou nainstalovány aktualizace, zda běží potřebná ochrana a zda je znám vlastník zařízení.

To je vhodné zavádět postupně. Zpočátku může stačit, pokud jsou administrátorské a finanční systémy přístupné pouze ze spravovaného zařízení. Později lze pravidlo rozšířit na další kritické aplikace. U starého provozního zařízení nebo speciálního výrobního zařízení však nemusí být možné nainstalovat moderní software pro správu zařízení. V takových případech může být správným řešením síťová izolace, omezený přístup a přísnější dohled.

Síť by neměla být automatickým vstupem

Podle tradičního modelu interní sítě má kdokoli, kdo je fyzicky uvnitř nebo připojen přes VPN, přístup k mnoha systémům. Zero trust tento předpoklad rozbíjí. V případě kompromitovaného notebooku nebo ukradeného hesla by nemělo být možné, aby se útočník volně pohyboval v celém prostředí.

To obvykle znamená segmentaci sítě, přístup vázaný na aplikace a revizi komunikace mezi systémy. Například e-shop by měl mít přístup pouze k těm ERP datům, která jsou potřebná pro zpracování objednávek. Reportovací systém nemusí zapisovat do výrobní databáze. Technický účet vytvořený pro integraci by neměl být použitelný pro interaktivní přihlášení.

Při vytváření podrobných pravidel je třeba porozumět systémovým vztahům. Příliš rychle uzavřená komunikace může snadno přerušit předání fakturace, synchronizaci zásob nebo sběr výrobních dat. Síťová ochrana proto není izolovaným úkolem IT: vyžaduje společné zkoumání obchodních procesů a technických závislostí.

Měřme, kontrolujme, zlepšujme

Stav zero trust se neustále mění. Noví zaměstnanci, noví dodavatelé, akvizice, zavádění systémů a přechodné projekty vytvářejí nové přístupy. Kontrola funguje, pokud je součástí procesu příchodu, změny role a odchodu, nikoliv pouze jednou ročně prováděnou tabulkovou kontrolou.

Je vhodné pravidelně kontrolovat administrátorská oprávnění, dlouhodobě nepoužívané účty, vypršené externí přístupy a neúspěšné pokusy o přihlášení. Protokolování samo o sobě nemá smysl. Je užitečné, pokud při odchylce lze zjistit, co se stalo, kdo je odpovědný za daný systém a jaká opatření jsou potřebná.

Jedním z nejlepších znaků úspěchu není, že se objeví více bezpečnostních upozornění. Ale že přijetí nového kolegy je rychlejší a sledovatelnější, přístupy odcházejícího zaměstnance lze jistě uzavřít, oprávnění externího partnera nezůstane otevřené a obchodní proces nezávisí na jediném sdíleném heslu.

Zero trust se stává provozní výhodou, když se společnost nesnaží spravovat, kdo má k čemu přístup, z paměti. Přístupy se stávají stejně součástí uspořádaného obchodního procesu jako schválení objednávky, předání výrobní položky nebo vystavení faktury.