Zero Trust: nikad ne vjeruj, uvijek provjeri

Zero Trust je sigurnosni pristup koji polazi od jednostavnog načela: nikad ne vjeruj, uvijek provjeri. Umjesto da pretpostavlja kako je sve unutar mreže firme sigurno, Zero Trust tretira svaki zahtjev, svakog korisnika i svaki uređaj kao potencijalno kompromitiran sve dok se ne dokaže suprotno. To znači da pristup podacima i sustavima nije zajamčen samim time što je netko "unutar" mreže, nego se identitet i kontekst provjeravaju pri svakom koraku.

Za firme u regiji, od Mostara i Sarajeva do Zagreba i Beograda, ovo nije akademska tema. Rad od kuće, cloud servisi, mobilni uređaji i vanjski suradnici razbili su sliku "sigurne unutrašnjosti i opasne vanjštine" na koju se IT oslanjao godinama. Napadač kojem treba samo jedna ukradena lozinka da uđe u mrežu i potom se slobodno kreće je realnost koju vidimo u praksi, a Zero Trust je odgovor na upravo taj problem.

Zašto klasični perimetar više nije dovoljan

Tradicionalni model sigurnosti funkcionirao je kao srednjovjekovni grad: visoki zidovi prema vani (firewall, VPN), a unutra se svi međusobno vjeruju. Problem je što ta logika danas pada na nekoliko mjesta odjednom.

• Granica mreže više ne postoji - zaposlenici se spajaju iz kuće, s mobitela, preko javnih Wi-Fi mreža. Podaci su u Microsoft 365, Google Workspaceu i drugim cloud servisima, izvan vašeg "zida".
• Jedna ukradena lozinka ruši sve - kada napadač uđe kroz phishing ili kupljene podatke s dark weba, klasična mreža mu dopušta slobodno bočno kretanje do servera, baza i backupa.
• Insajderska prijetnja i kompromitirani uređaji - povjerenje "po defaultu" znači da zaraženo računalo zaposlenika ili nezadovoljni djelatnik ima isti pristup kao i legitiman korisnik.
• Ransomware se širi mrežom - većina ozbiljnih incidenata koje analiziramo ne staje na jednom računalu, nego se zbog ravne, nesegmentirane mreže proširi na cijelu infrastrukturu.

Zero Trust ne ukida firewall ni VPN, nego mijenja pretpostavku: ni jedna konekcija, ni interna ni eksterna, ne dobiva povjerenje unaprijed.

Temeljni principi Zero Trust pristupa

Iza naziva stoji nekoliko konkretnih načela koja se mogu primijeniti korak po korak, neovisno o veličini firme.

1. Eksplicitna provjera

Svaka odluka o pristupu donosi se na temelju više faktora: tko je korisnik, s kojeg uređaja se spaja, je li uređaj ažuriran i zaštićen, odakle dolazi, u koje doba i kojem resursu pristupa. Nije dovoljno samo "ima lozinku".

2. Najmanja moguća privilegija

Korisnik dobiva pristup točno onome što mu treba za posao, ni više ni manje. Računovođa ne treba pristup serverskim logovima, a marketing ne treba pristup financijskoj bazi. Ovim se drastično smanjuje šteta ako jedan račun bude kompromitiran.

3. Pretpostavka proboja

Sustav se gradi kao da je napadač već unutra. To znači segmentaciju, kontinuirani nadzor i brzu detekciju neuobičajenog ponašanja, umjesto nade da do proboja nikada neće doći.

Identitet kao novi perimetar

U Zero Trust modelu identitet preuzima ulogu koju je nekad imala granica mreže. Ako se granica više ne može povući oko zgrade, povlači se oko svakog korisnika i uređaja. Zato su upravljanje identitetom i jaka autentikacija srce cijele priče.

Najveći pojedinačni korak koji firma može napraviti je višefaktorska autentikacija (MFA). Lozinka, ma koliko duga, danas se može ukrasti, pogoditi ili kupiti. Drugi faktor, aplikacija na mobitelu ili hardverski ključ, zaustavlja ogromnu većinu napada na račune. Uz MFA idu i:

• Single Sign-On (SSO) - jedan centralni identitet za sve servise, lakši za nadzor i brže gašenje pristupa kada netko napusti firmu.
• Uvjetni pristup (conditional access) - pravila tipa "blokiraj prijavu iz inozemstva" ili "zahtijevaj MFA s nepoznatog uređaja".
• Upravljanje privilegiranim računima (PAM) - posebna kontrola za administratorske pristupe, koji su napadačima najvredniji cilj.

Mikrosegmentacija: zaustaviti širenje napada

Drugi stup Zero Trusta je mikrosegmentacija. Umjesto jedne velike, ravne mreže u kojoj svaki uređaj može razgovarati sa svakim, mreža se dijeli na male zone s jasnim pravilima komunikacije. Server s ERP sustavom ne mora i ne smije biti dostupan svakom računalu u uredu.

Efekt je vrlo opipljiv: kada ransomware ili napadač kompromitira jedno računalo, mikrosegmentacija ga drži zatvorenim u toj zoni umjesto da mu otvori put do cijele infrastrukture. To je razlika između incidenta na jednom računalu i zaustavljene firme na nekoliko dana.

Stari pristup naspram Zero Trust pristupa

Aspekt	Klasični perimetar	Zero Trust
Povjerenje	Interna mreža je "sigurna"	Nitko nema povjerenje unaprijed
Provjera identiteta	Jednom, pri prijavi	Kontinuirano, pri svakom pristupu
Pristup resursima	Široki, po pripadnosti mreži	Najmanja moguća privilegija
Bočno kretanje napadača	Lako, mreža je ravna	Ograničeno mikrosegmentacijom
Autentikacija	Lozinka	MFA, uvjetni pristup, kontekst
Nadzor	Uglavnom na granici	Stalni nadzor svih tokova (SOC, SIEM)

Kako firma realno kreće u Zero Trust

Zero Trust nije proizvod koji se kupi i upali preko noći, nego put kojim se ide u fazama. Dobra vijest je da prvi koraci donose najviše koristi uz najmanje truda. Evo redoslijeda koji preporučujemo klijentima.

• 1. Napravite inventuru - popišite korisnike, uređaje, aplikacije i podatke. Ne možete štititi ono za što ne znate da postoji.
• 2. Uvedite MFA svuda - prvo na email, VPN i administratorske račune, zatim na sve ostalo. Ovo je korak s najboljim omjerom uloženog i dobivenog.
• 3. Uvedite princip najmanje privilegije - pregledajte tko ima pristup čemu i maknite sve što nije nužno za posao.
• 4. Segmentirajte mrežu - odvojite kritične sustave (ERP, baze, backup) od korisničkih računala i gostiju.
• 5. Uvedite nadzor i detekciju - EDR na uređajima i SIEM za centralizirano praćenje, idealno povezano sa SOC timom koji reagira 24/7.
• 6. Mjerite i poboljšavajte - Zero Trust je kontinuirani proces prilagodbe, ne jednokratni projekt.

Većina firmi u regiji već ima dio ovih elemenata, samo ih nisu povezale u smislenu cjelinu. Upravo tu se najčešće gube i prilike i novac: alati postoje, ali nitko ih ne posloži u strategiju.

Gdje NeoBit ulazi u priču

U NeoBitu pomažemo firmama da Zero Trust prevedu iz koncepta u konkretne, mjerljive korake. Kroz penetration testing pokazujemo gdje napadač realno može proći, kroz EDR i SIEM rješenja postavljamo nadzor, a kroz naš SOC tim osiguravamo da netko zaista gleda i reagira kada se nešto dogodi. Ne prodajemo strah ni gomilu alata koje nitko ne koristi, nego pristup prilagođen veličini i stvarnim rizicima vaše firme.

Ako niste sigurni gdje stojite, najbolji prvi korak je procjena sigurnosnog stanja. Kroz nju utvrđujemo koliko ste blizu Zero Trust modela i koji koraci nose najveću dobit za vas. Javite se NeoBit timu za besplatan razgovor i procjenu, pa zajedno složimo plan koji ima smisla i za budžet i za rizik.

Često postavljana pitanja

Je li Zero Trust namijenjen samo velikim korporacijama?

Ne. Načela Zero Trusta primjenjiva su na firme svih veličina, a male i srednje firme često imaju najviše koristi jer su čest meta automatiziranih napada. Mali poslovi mogu krenuti s jeftinim koracima poput MFA i pregleda pristupa, bez velikih ulaganja u infrastrukturu.

Trebamo li baciti postojeći firewall i VPN ako uvedemo Zero Trust?

Ne. Zero Trust ne ukida firewall ni VPN, nego mijenja pretpostavku da je sve iza njih automatski sigurno. Postojeća oprema i dalje ima ulogu, ali se nadograđuje provjerom identiteta, segmentacijom i nadzorom kako interni promet više ne bi imao povjerenje unaprijed.

Koliko dugo traje uvođenje Zero Trust pristupa?

Zero Trust je put, ne jednokratni projekt. Prvi i najvredniji koraci, poput uvođenja MFA i pregleda privilegija, mogu se napraviti u nekoliko tjedana. Puna mikrosegmentacija i kontinuirani nadzor uvode se postupno, prema prioritetima i resursima firme.

Koji je prvi korak koji firma treba napraviti?

Inventura korisnika, uređaja i podataka te uvođenje višefaktorske autentikacije na ključne sustave. Nakon toga slijedi procjena sigurnosnog stanja, koju NeoBit može odraditi i na temelju nje predložiti realan plan prelaska na Zero Trust.

Povezani vodiči: Cyber sigurnost u BiH - kompletan vodič · Microsoft 365 sigurnost: kako zaštititi M365