W cyfrowym świecie – w przeciwieństwie do gospodarstw domowych – nie ma jednej lub dwóch par drzwi ani kilku okien, lecz dziesiątki, a czasem setki wirtualnych wejść. Należą do nich konta użytkowników, interfejsy API, urządzenia mobilne, sieci VPN, a także usługi chmurowe. Co gorsza, napastnik nie musi czaić się pod drzwiami domu – może znajdować się w dowolnym zakątku globu. Wystarczy jeden błąd konfiguracyjny, przestarzały system lub słabe hasło, aby ułatwić przestępcom dostanie się do firmowej infrastruktury.

Najbardziej niezawodną techniką uzyskiwania nieautoryzowanego dostępu od lat pozostaje phishing i jego odmiany: spear phishing, whaling, smishing, clone phishing. Według „Verizon Data Breach Investigations Report”, phishing odpowiada za 20–30 proc. wszystkich incydentów kradzieży danych uwierzytelniających. A dostęp do nich jest prosty, bowiem przestępcy regularnie sprzedają w darknecie zestawy combo, na które składają się zbiory par nazw użytkowników i haseł pochodzących z wcześniejszych naruszeń i masowych wycieków. Według analizy SOCRadar w ubiegłym roku skompromitowano ponad milion par danych logowania (e-mail i hasło). Zakupione zestawy są używane do systematycznego testowania kombinacji nazw użytkowników i haseł na setkach lub tysiącach stron internetowych lub prowadzenia ukierunkowanych kampanii phishingowych.

Nie ufaj już nikomu

Zuchwałość cyberprzestępców, ewolucja architektury IT oraz postępujące upowszechnienie modelu zdalnej pracy przyczyniły się do popularyzacji koncepcji ochronnej Zero Trust, bazującej na zasadzie „nigdy nie ufaj, zawsze weryfikuj”. To analogiczne podejście do tego, jakby klucze do domu i innych pomieszczeń posiadała jedynie głowa rodziny, a pozostali domownicy za każdym razem musieli się do niej zwracać o ich udostępnienie, udowadniając jednocześnie, że nie są przebierańcami. Zero Trust podważa sens dalszego funkcjonowania systemu ochrony określanego często jako „zamek i fosa”, bazującego na bardzo silnych zabezpieczeniach na granicy sieci oraz kontroli ruchu wchodzącego i wychodzącego.

– Model „zamek i fosa” oddziela dwa światy: wrogi na zewnątrz i bezpieczny w środku. Użytkownik zostaje wpuszczony do wnętrza z pełnym dostępem sieciowym po sprawdzeniu poświadczeń. Ale w ten sposób także przestępca, który uzyska dostęp do zasobów, może poruszać się wewnątrz sieci bez żadnych ograniczeń. Natomiast koncepcja Zero Trust wiąże się z rygorystyczną weryfikacją tożsamości i uprawnień dla wszystkich prób dostępu, niezależnie od lokalizacji, a także ciągłą walidacją stanu zabezpieczeń – tłumaczy Grzegorz Gondek, Business Development Manager w polskim oddziale Fortinetu.

Chociaż w swoich założeniach Zero Trust wygląda bardzo przekonująco, to praktyka pokazuje, że wdrożenie tej metody nie jest ani proste, ani tanie, ponieważ należy zainwestować w nowe rozwiązania, szkolenia personelu oraz potencjalnie w wymianę istniejących systemów. Poza tym użytkownicy mogą być przeciwni nowym procedurom bezpieczeństwa.

– Model „zamek i fosa” wciąż dominuje w około 70 procentach polskich przedsiębiorstw, szczególnie w tych małych i średnich, które działają w tradycyjnych branżach. Z kolei duże firmy i branża finansowa coraz częściej inwestują w Zero Trust, co wymusza praca zdalna i wymogi regulacyjne – tłumaczy Karol Girjat, Business Development Manager w Net Complex.

NAC i IAM – razem czy osobno?

Chociaż technika NAC (Network Access Control) ma już na karku powyżej dwóch dekad, to bardzo dobrze wpisuje się w stosunkowo świeżą strategię Zero Trust. System pełni rolę strażnika lokalnej infrastruktury, przeprowadzającego wielowarstwową weryfikację każdego urządzenia przed udzieleniem dostępu do sieci. Na przykład, gdy pracownik chce połączyć się z firmową siecią VPN używając laptopa z Windows, NAC sprawdzi czy zapora systemowa jest aktywna, czy zainstalowane są wszystkie krytyczne aktualizacje systemu, jak też czy urządzenie spełnia firmowe standardy bezpieczeństwa.

Współczesne rozwiązania, poza uwierzytelnianiem i kontrolą dostępu bazującą na adresach IP oraz typach urządzeń, wykorzystują sztuczną inteligencję do takich procesów jak automatyczna klasyfikacja urządzeń, wykrywanie anomalii w zachowaniu czy predykcyjna analiza zagrożeń. Ważnym etapem w rozwoju produktów NAC jest też transformacja w stronę rozwiązań chmurowych i hybrydowych, co wymuszają mobilność pracowników, praca zdalna czy migracja do chmury.

Czasami NAC jest mylnie utożsamiane z rozwiązaniami IAM (Identity Access Management). Chociaż mają wspólne cele, pełnią różne, komplementarne role. NAC to „pierwsza linia obrony”, weryfikująca czy urządzenie i użytkownik mogą wejść do infrastruktury. Z kolei IAM jest kontrolerem uprawnień użytkownika, który zalogował się do systemu i aplikacji. Niektóre nowoczesne platformy NAC oferują już elementy IAM, takie jak integracja z katalogami użytkowników (Active Directory, Azure AD) lub zarządzanie rolami i grupami. Jednakże większość firm nadal traktuje oba systemy jako rozwiązania komplementarne.

Przyszłość obu segmentów rysuje się w bardzo jasnych barwach. Według danych Grand View Research, w 2022 r. wielkość globalnego rynku NAC wyniosła 2,51 mld dol., a prognozy wskazują, że w 2030 r. osiągnie wartość 21,26 mld. Oznacza to roczną stopę wzrostu (CAGR) na poziomie 27,2 proc. W przypadku rynku IAM sytuacja przedstawia się następująco: w 2022 r. światowe przychody wyniosły 15,93 mld dol., zaś prognozowana wartość na 2030 r. to 41,52 mld, co przekłada się na średnią roczną stopę wzrostu (CAGR) wynoszącą 12,6 proc. Natomiast jeśli chodzi o rodzimy rynek IAM, jego wartość szacowana jest na około 400–480 mln zł.

– Sprzedaż tych rozwiązań w Polsce rośnie, do czego przyczyniają się zwiększająca skalę zagrożeń hybrydowych wojna, a także regulacje NIS 2 i DORA. Swoje zrobiła też rekordowa liczba cyberataków, która w 2024 roku przekroczyła poziom 110 tysięcy – mówi Rafał Jakubowski, AI Architect w Billennium.