Zero Trust архитектурасы жана ISO 27001 — Күчтүүрөөк ISMS куруу

Zero Trust архитектурасы деген эмне?

Zero Trust архитектурасы (ZTA) бир фундаменталдуу божомолго курулган коопсуздук модели: эч бир колдонуучу, түзмөк же тармак сегменти, корпоративдик периметрдин ичинде же сыртында турганына карабастан, мүнөздүү түрдө ишенимдүү болбошу керек. Концепция баштапкыда Forrester Research тарабынан 2010-жылы формалдаштырылган жана кийинчерээк NIST SP 800-207де кодификацияланган.

Эски периметрге негизделген моделдерден айырмаланып, Zero Trust ар бир кирүү суроо-талабында текшерүүнү күчтөндүрөт. Ар бир транзакция идентификация, түзмөк абалы, жайгашкан жер, жүрүм-турум аналитикасы жана кирилген ресурстун сезимталдыгына каршы бааланат.

Zero Trust негизги принциптери

• Эч качан ишенбе, ар дайым текшер. Ар бир кирүү суроо-талабы реалдуу убакытта аутентификацияланат жана авторизацияланат.
• Минималдуу артыкчылыктуу кирүү. Колдонуучулар жана тутумдар функциясын аткаруу үчүн талап кылынган минималдуу деңгээлдеги кирүүнү алышат.
• Бузулууну божомолдо. Архитектура кол салуучу мурунтан эле тармактын ичинде бар сыяктуу курулган. Каптал жылышуу микросегментация жана катуу саясат аткаруу аркылуу чектелет.
• Үзгүлтүксүз мониторинг жана валидация. Сессиялар бир жолу орнотуп унутулган эмес. Колдонуучунун жүрүм-туруму, түзмөктүн ден-соолугу жана кирүү модели сессиянын жашоо циклинин бардык этаптарында бааланат.
• Маалыматка борборлошкон коопсуздук. Коргоо маалыматтын өзүн ээрчийт, тармак чегин эмес.

Zero Trust ISO 27001 А тиркемесинин контролдоруна кантип дал келет

ISO 27001 сертификацияланган уюмда Zero Trust кабыл алуунун эң күчтүү аргументтеринин бири — ZTA принциптери менен ISO 27001:2022де киргизилген А тиркемесинин контрол топтомунун ортосундагы табигый шайкештик.

A.5.15 — Кирүү контролу. Бул контрол уюмдардан маалыматка жана башка байланышкан активдерге логикалык жана физикалык кирүү үчүн эрежелерди белгилөөнү жана аткарууну талап кылат. Zero Trust муну контексттүү, тобокелдикке негизделген кирүү чечимдерин ар бир суроо-талап үчүн талап кылуу менен операцияналдаштырат.

A.8.1 — Колдонуучу учурдагы түзмөктөрү. ISO 27001 колдонуучу учурдагы түзмөктөрү аркылуу сакталган, иштетилген же жеткиликтүү маалыматтын корголушун талап кылат. Zero Trust муну ар бир учурдагы түзмөктү потенциалдуу бузулган катары кароо менен кеңейтет.

A.8.5 — Коопсуз аутентификация. Стандарт маалыматтын классификациясына ылайыктуу коопсуз аутентификация технологияларын жана процедураларын милдеттейт. Zero Trust көп факторлуу аутентификацияны (MFA) базалык деңгээл катары талап кылат жана тобокелдик сигналдарына негизделип талаптарды жогорулаткан адаптивдүү аутентификацияны кошот.

A.8.20 — Тармактар коопсуздугу. Бул контрол тармактарда маалыматты коргоону жана колдоочу маалыматты иштетүү каражаттарын коргоону камтыйт. Zero Trust микросегментация, кызматтар ортосундагы шифрленген байланыш жана программалык камсыздоо менен аныкталган периметрлер аркылуу тармак зоналарынын ичиндеги ачык ишенимди жок кылат.

Микросегментация: Техникалык негиз

Микросегментация — тармакты майда зоналарга бөлүп, кирүү саясаттарын периметр деңгээлинде эмес, жумушчу жүк деңгээлинде колдонуу практикасы. Zero Trust чөйрөсүндө микросегментация кол салуучу бир жумушчу жүктү бузган учурда да кошумча саясат аткаруу чекиттеринен өтпөстөн чектеш тутумдарга каптал жылыша албасын камсыз кылат.

Ишке ашыруу жол картасы

1. Учурдагы абалды баалоо. Учурдагы кирүү контрол механизмдерин, тармак архитектурасын жана идентификацияны башкаруу мүмкүнчүлүктөрүн Zero Trust принциптерине каршы картага түшүрүңүз.
2. Коргоо бетттерин аныктоо. Бүт тармакты бир эле учурда коргоого аракет кылуунун ордуна, коргоонун эң жогорку деңгээлин талап кылган критикалык маалыматтарды, тиркемелерди, активдерди жана кызматтарды (DAAS) аныктаңыз.
3. Идентификага борборлошкон контролдорду ишке ашыруу. MFA жайгаштырыңыз же күчөтүңүз, шарттуу кирүү саясаттарын ишке ашырыңыз жана идентификация провайдерлерин бириктириңиз.
4. Микросегментацияны жайгаштыруу. Жогорку баалуу коргоо беттеринен баштаңыз жана микросегментацияны чөйрө боюнча прогрессивдүү кеңейтиңиз.
5. Үзгүлтүксүз мониторингди иштетүү. Zero Trust телеметриясын SIEM-иңизге интеграциялаңыз, жүрүм-турум базалык деңгээлдерин белгилеңиз жана жалпы коркунуч сценарийлери үчүн автоматташтырылган жооп берүү жетекчиликтерин конфигурациялаңыз.
6. ISMS документтерин жаңыртуу. Ишке ашырган Zero Trust контролдоруңузду чагылдыруу үчүн SoA, тобокелдикти дарылоо пландарын жана ички саясаттарды кайра карап чыгыңыз.
7. Итерациялоо жана жакшыртуу. Zero Trust — үзгүлтүксүз жакшыртуу модели. Жетилгендигиңизди мезгил-мезгили менен баалаңыз, коргоо беттерин кеңейтиңиз жана коркунуч маалыматы жана операциялык пикирлер негизинде саясаттарды тактаңыз.

ISMS-иңиз үчүн артыкчылыктар

• Кичирейтилген кол салуу бети. Ачык ишенимди жок кылуу жана минималдуу артыкчылыктуу кирүүнү күчтөндүрүү менен, чөйрөңүз аркылуу пайдаланыла турган жолдордун саны олуттуу кыскарат.
• Күчтүүрөөк аудит далилдери. Zero Trust ар бир кирүү чечиминин бай, майда-чүйдөсүнө чейин журналдарын түзөт, бул көзөмөл жана кайра сертификациялоо аудиттери учурунда контролдун натыйжалуулугун көрсөтүүнү жеңилдетет.
• Жакшыртылган инциденттерди камтуу. Микросегментация жана үзгүлтүксүз текшерүү коопсуздук инциденттинин жарылуу радиусун чектеп, камтуунун орточо убактысын (MTTC) жана операцияларга жалпы таасирди азайтат.
• Жөнгө салуу шайкештиги. NIS2, DORA жана секторго тиешелүү негиздер камтылган көптөгөн пайда болуп жаткан жөнгө салуулар Zero Trust принциптерине шилтеме жасайт же аларды болжолдойт.
• Бизнести колдоо. Zero Trust салттуу VPNге негизделген кирүү моделдеринин сүрүлүүсүз коопсуз алыстан иштөөнү, булутка миграцияны жана үчүнчү тарап кызматташтыгын колдойт.

Корутунду

Zero Trust архитектурасы жана ISO 27001 атаандаш фреймворктор эмес — алар бири-бирин толуктоочу. ISO 27001 Zero Trust-ка операциялык тартипти берген башкаруу структурасын, тобокелдиктерди башкаруу методологиясын жана аудит негизин камсыз кылат. Zero Trust, өз кезегинде, ISO 27001 контролдорун практикада натыйжалуураак кылган техникалык архитектураны жана долбоорлоо принциптерин камсыз кылат.

Маалымат коопсуздугуна олуттуу мамиле кылган уюмдар үчүн суроо мындан ары Zero Trust кабыл алуунун керектиги эмес, өтүүнүн канчалык тез башталышы. Идентификага борборлошкон контролдордон баштоо жана микросегментация менен үзгүлтүксүз текшерүүнү прогрессивдүү кошуу — ар бир этапта коопсуздук жакшыртууларын берген далилденген, төмөн тобокелдиктүү ыкма.