Tradisjonell IT-sikkerhet har lenge vært basert på en enkel idé: hvis du først er inne i nettverket, er du til å stole på. Denne modellen fungerte greit da systemer stort sett var plassert på ett fysisk kontor og ansatte jobbet på interne maskiner.
Problemet er at virkeligheten har endret seg. I dag jobber ansatte hjemmefra, bruker private enheter, kobler seg til skyløsninger og deler data på tvers av systemer. Når grensene rundt nettverket forsvinner, forsvinner også tryggheten i den gamle sikkerhetsmodellen.
Zero Trust er et svar på dette problemet.
Hva betyr egentlig Zero Trust?
Zero Trust er en sikkerhetsmodell basert på ett enkelt prinsipp:
Stol aldri automatisk på noe – verifiser alltid.
Det gjelder uansett om forespørselen kommer fra:
- en ansatt
- en server
- en mobiltelefon
- et program
- eller et system inne i nettverket
Alle forespørsler om tilgang til data må kontrolleres.
Dette inkluderer blant annet:
- identiteten til brukeren
- hvilken enhet som brukes
- hvor forespørselen kommer fra
- hvilken tilgang brukeren egentlig trenger
Hvis noe virker mistenkelig, kan tilgangen blokkeres eller begrenses.
Hvorfor tradisjonell sikkerhet ikke lenger er nok
Den klassiske modellen for IT-sikkerhet bygger på et tydelig skille mellom innside og utside av nettverket.
Tenk på det som en borg med en mur rundt. Når du først er innenfor murene, kan du bevege deg ganske fritt.
Problemet oppstår når en angriper først kommer seg inn.
Da kan de ofte:
- bevege seg mellom systemer
- finne sensitive data
- installere skadevare
- eller starte et ransomware-angrep
Dette er en av grunnene til at mange virksomheter opplever store sikkerhetsbrudd selv om de har brannmur og antivirus.
Zero Trust forsøker å stoppe denne typen bevegelser inne i nettverket.
Slik fungerer Zero Trust i praksis
Zero Trust handler ikke om én bestemt teknologi. Det er en måte å bygge sikkerhet på.
Flere prinsipper brukes samtidig.
1. Identitet først
I en Zero Trust-modell er identitet viktigere enn nettverk.
Systemer sjekker alltid hvem brukeren er.
Dette gjøres ofte med:
- flerfaktorautentisering
- identitetsstyring
- tilgangspolitikk
2. Minst mulig tilgang
Brukere skal bare få tilgang til det de faktisk trenger.
Dette kalles ofte least privilege.
En regnskapsmedarbeider trenger for eksempel ikke tilgang til HR-systemer eller serveradministrasjon.
3. Kontinuerlig verifisering
Tilgang kontrolleres ikke bare én gang ved innlogging.
Systemet kan også kontrollere:
- enhetens sikkerhetsnivå
- om IP-adressen plutselig endrer seg
- om brukeren oppfører seg unormalt
Hvis noe avviker, kan systemet kreve ny autentisering eller blokkere tilgangen.
4. Segmentering av systemer
Zero Trust deler ofte infrastrukturen opp i mindre soner.
Dette gjør det vanskeligere for angripere å bevege seg videre i systemet dersom ett område blir kompromittert.
Zero Trust og skyløsninger
Mange forbinder Zero Trust med moderne skyløsninger.
Grunnen er enkel: når systemer flyttes ut av det lokale nettverket, blir identitet og tilgang enda viktigere.
Men det betyr ikke at alle skyløsninger automatisk gir god sikkerhet.
Når virksomheter bruker globale plattformer må de også vurdere:
- hvor dataene lagres
- hvem som faktisk kontrollerer infrastrukturen
- hvilke lover som gjelder for leverandøren
Dette er et av temaene som diskuteres i hvem som egentlig kontrollerer dataene dine.
Zero Trust stopper ikke alle angrep
Zero Trust er ikke en magisk løsning.
Men modellen gjør flere typer angrep betydelig vanskeligere, spesielt:
- interne datalekkasjer
- misbruk av kompromitterte kontoer
- spredning av skadevare i nettverket
- laterale bevegelser etter innbrudd
Dette er også grunnen til at mange sikkerhetsmiljøer anbefaler modellen som et viktig prinsipp i moderne IT-arkitektur.
Når er Zero Trust relevant?
For små virksomheter kan begrepet høres komplisert ut.
Men prinsippene er egentlig ganske enkle og kan implementeres gradvis.
Typiske tiltak kan være:
- bruke flerfaktorautentisering
- begrense tilganger i systemer
- sikre enheter som får tilgang til data
- segmentere viktige systemer
I praksis handler det om å slutte å anta at nettverket automatisk er trygt.
FAQ
Hva betyr Zero Trust?
Zero Trust er en sikkerhetsmodell der ingen brukere, enheter eller systemer stoles på automatisk. All tilgang til data må verifiseres kontinuerlig.
Er Zero Trust et produkt?
Nei. Zero Trust er en sikkerhetsstrategi og et arkitekturprinsipp, ikke en enkelt teknologi eller programvare.
Stopper Zero Trust ransomware?
Ikke nødvendigvis, men det kan gjøre det betydelig vanskeligere for et angrep å spre seg i systemet. Se også artikkelen om hvordan beskytte virksomheten mot ransomware.
Er Zero Trust bare for store selskaper?
Nei. Prinsippene kan brukes av organisasjoner i alle størrelser. Selv enkle tiltak som flerfaktorautentisering og begrensede tilganger følger Zero Trust-tankegangen.
