Jak hasło staje się przeżytkiem

Jak najdalej ograniczone zaufanie i dostęp

Łukasz Knysak, Senior System Engineer w Exclusive Networks zauważa, że zasada „nigdy nie ufaj, zawsze weryfikuj” staje się normą, ponieważ odpowiada na większość obecnych wymagań w obszarze polityki dostępowej. Architektura Zero Trust ma zapewnić, by dostęp był bezpieczny, niezależnie od tego, gdzie znajduje się sam zasób (chmura czy lokalne centrum danych), skąd łączy się użytkownik i z jakiego urządzenia korzysta.

Choć Zero Trust może wydawać się czymś w rodzaju inwigilacji, to takie sprawdzenie tożsamości na każdym etapie – przy dostępie do urządzenia, danych, aplikacji czy infrastruktury – jest kluczowe dla bezpieczeństwa całej firmy. A realizowany w ten sposób proces uwierzytelniania łączy się nierozerwalnie z autoryzacją użytkownika. Jeśli system upewnił się już, że dana osoba jest tym, za kogo się podaje, to daje jej tylko z góry ustalone uprawnienia.

– Kolejnym fundamentem jest zasada dostępu ograniczonego tylko do tych zasobów, które są danej osobie potrzebne w pracy. I nie powinna ona odbierać tego, jako braku zaufania. Nie stajemy się przez to „gorszymi pracownikami”, tylko minimalizowane jest ryzyko wykorzystania przez napastników tzw. ruchu bocznego, gdy jakieś urządzenie zostanie skompromitowane i przejęte – mówi Michał Porada.

W realizowaniu spójnej strategii w obszarze dostępu kluczowe są systemy NAC, które dają możliwość kształtowania bardzo szczegółowych reguł polityki dostępu do sieci. Mogą być one dodatkowo wzbogacone o masę atrybutów: z jakiego urządzenia jest próba uzyskania dostępu, w jakim stanie jest to urządzenie, z jakiego miejsca, o jakiej porze itd. Pozwala to po pierwsze wykryć pewne anomalie, które mogą wskazywać na próbę włamania do systemów klienta, ale również adresuje dodatkowe potrzeby, takie jak kontrolowany dostęp do pewnych zasobów dla urządzeń BYOD. I chociaż takie systemy wymagają pracy przy ich wdrożeniu, to ten wysiłek zaowocuje w przyszłości.

Ktoś jednak musi nadzorować działanie takiego systemu i analizować bieżącą sytuację. Wobec ograniczonych zasobów – finansowych czy ludzkich – to także może stanowić wyzwanie. Dlatego nowe systemy oferują coraz większą automatyzację pewnych procesów, łatwiejsze prowadzenie onboardingu nowych urządzeń i użytkowników czy rozbudowaną analitykę.

Jeśli chodzi o realizację chronionego dostępu w zmieniającej się architekturze sieci, warto zwrócić uwagę na rozwiązania typu SASE. Łączą one dostęp do sieci, na przykład SD-WAN, z usługami bezpieczeństwa realizowanymi w chmurze, w taki sposób, aby umożliwić użytkownikowi bezpieczny dostęp do usług. SASE szybko staje się rozwinięciem VPN-a w pracy zdalnej i w rozproszonych sieciach firmowych. Na bezpieczeństwo w tym rozwiązaniu składa się tożsamość cyfrowa, która może być połączona z osobą, urządzeniem, usługą w chmurze, oprogramowaniem, a nawet systemem IoT. SASE czyni rozproszone środowisko bezpieczniejszym bez złożoności i tradycyjnych opóźnień WAN/VPN.

Zdaniem specjalisty 

Łukasz Knysak, Senior System Engineer, Exclusive Networks  

Najtrudniej spełnić wymóg wygodnego dostępu do zasobów, nie ryzykując jednocześnie obniżeniem poziomu bezpieczeństwa. Wprawdzie przy obecnym rozproszeniu aplikacji i korzystających z nich użytkowników może się wydawać, że to niezwykle skomplikowane zadanie, ale i w tym wypadku na rynku udaje się znaleźć systemy i rozwiązania, które pozwalają na realizację tych założeń. Staje się to możliwe za sprawą jednoczesnej integracji różnych mechanizmów, takich jak wiele metod MFA, federacji uwierzytelniania SAML oraz OAuth2/OIDC, a także dzięki sposobom eliminującym konieczność częstego logowania się użytkowników do wielu różnych aplikacji.

  

Paweł Rybczyk, Territory Manager CEE & CIS, Wallix  

W ostatnich kilku latach pojawiło się więcej ofert SOC w wersji usługowej (SOC as a Service). Od tamtej pory w takim modelu wdrażane są też inne rozwiązania związane z bezpieczeństwem – czasem jako dopełnienie SOC, ale też jako samodzielne serwisy. Także i my, jako dostawca rozwiązania PAM, zaczynamy działać w ten sposób i widzimy duże perspektywy rozwoju rynku w tym kierunku. Po pierwsze, docieramy do klientów, którzy chcą zabezpieczyć dostęp do infrastruktury, serwerów, komputerów PC, systemów produkcyjnych, ale nie mają zasobów ludzkich do instalacji i zarządzania rozwiązaniem. Po drugie, zwracamy się do osób potrzebujących bezpiecznego dostępu, ale mających zbyt małą liczbę systemów krytycznych, więc koszt instalacji PAM staje się dla nich barierą. Są wreszcie i tacy, którzy potrzebują ochrony dostępu na określony czas, na przykład na trzy miesiące.