NIST выпустил новое руководство по внедрению концепции Zero Trust

Национальный институт стандартов и технологий США (NIST) опубликовал новое практическое руководство по внедрению архитектуры нулевого доверия (Zero Trust Architecture, ZTA). Ведомство отметило, что этот процесс набирает обороты отчасти в результате появления нормативных требований для некоторых организаций.

Нулевое доверие предлагает альтернативный подход к традиционной модели безопасности периметра на фоне растущего числа сетевых подключений с разных устройств и из разных мест. Оно предполагает, что ни одному пользователю или устройству нельзя доверять, независимо от его местоположения или предыдущей проверки. В результате они подлежат постоянной авторизации по всей сети.

Однако внедрение Zero Trust осложняется из-за неправильных представлений о модели и потенциальных краткосрочных сбоях в бизнес-процессах, которые она может вызвать. Соавтор руководства NIST Альпер Керман отметил: «Переход от традиционной защиты к Zero Trust требует множества изменений. Вы должны понимать, кто получает доступ к каким ресурсам и почему. Кроме того, сетевые среды у всех разные, поэтому каждая ZTA — это индивидуальная сборка. Не всегда легко найти экспертов, которые могут вам помочь».

Документ освещает 19 примеров внедрения Zero Trust, созданных с использованием коммерческих готовых технологий. Они были разработаны в рамках проекта Национального центра передового опыта в области кибербезопасности NIST (NCCoE), в котором участвовало 24 отраслевых партнёра, включая несколько техгигантов. Команда NCCoE и партнёры потратили четыре года на установку, настройку и устранение неполадок моделей внедрения в реальных ситуациях, с которыми обычно сталкиваются крупные организации.

В гайде упоминается использование доступных технологий, однако, их включение не подразумевает рекомендации или одобрения со стороны NIST или NCCoE. По словам Кермана, руководство лишь даёт примеры того, как развёртывать ZTA, и перечисляет различные технологии, необходимые для их внедрения. Это может стать базовой отправной точкой для любой организации, создающей собственную архитектуру Zero Trust.

Усам Оздемиров