Zero Trust -ajattelusta on puhuttu jo vuosia, mutta missä mennään vuonna 2025? Onko Zero Trustista tullut jo osa organisaatioiden arkea vai onko se monille yhä pelkkä visio? Entä miten oma organisaatio voi edetä, jos Zero Trust -matka on vasta alussa?
Zero Trust -ajattelussa oletetaan, että mikään digiympäristön komponentti ei ole niin turvallinen, etteikö sitä voisi murtaa tai hyödyntää kyberhyökkäyksessä.
Perinteisesti yritysten tietoturvasta on huolehdittu rakentamalla verkon reunalle suojakerroksia ja -mekanismeja, luottamalla pääsynhallintaan ja yrittämällä varmistaa, että käyttäjän tunnus ja salasana pysyvät vain hänen hallussaan. Rakentamalla riittävästi staattista suojausta on luotettu siihen, että organisaation tiedot ja käyttäjät ovat turvassa kyberiskuilta.
Tämä malli toimi kohtuullisesti silloin, kun työ tehtiin toimistolla ja kaikki kriittiset resurssit sijaitsivat organisaation omassa konesalissa. Nykyisin tilanne on toinen: työntekijät toimivat etänä ja hybridiympäristöissä, sovellukset sijaitsevat pilvessä, ja kumppaneilla on usein pääsy samoihin resursseihin kuin omilla työntekijöillä. Hyökkäykset kohdistuvat yhä useammin juuri näihin liikkuviin ja hajautettuihin osiin.
Zero Trust lähtee oletuksesta, että mikään digitaalisen ympäristön osa – ei käyttäjä, laite, sovellus eikä edes sisäverkko – ole luotettava ilman jatkuvaa todentamista ja valvontaa. Käyttöoikeudet rajataan minimiin, ja pääsy myönnetään vain sen hetkisen tarpeen perusteella. Lisäksi toimintaa seurataan jatkuvasti, jotta poikkeamat voidaan tunnistaa ja niihin reagoida nopeasti.
Toisin sanoen Zero Trust siirtää painopisteen verkon reunan suojaamisesta käyttäjien, laitteiden ja datan jatkuvaan valvontaan.
Zero Trust on nopeasti noussut monissa organisaatioissa uudeksi normaaliksi tavaksi toteuttaa tietoturvaa. Perinteiset VPN-ratkaisut väistyvät kovaa vauhtia, ja niiden tilalle otetaan yhä useammin käyttöön Zero Trust Network Access (ZTNA) -ratkaisuja. Gartnerin vuonna 2021 tekemän arvion mukaan vuoteen 2025 mennessä jopa 70 % uusista etäyhteysratkaisuista perustuisi ZTNA:han VPN:n sijasta.
Zscaler vuorostaan raportoi tänä vuonna, että 65 % organisaatioista aikoo korvata VPN:n seuraavan vuoden aikana. Lisäksi yhtiön mukaan sen yli 8 000 asiakasta, joista noin 40 % kuuluu Fortune 500 -listalle, hyödyntää jo yhtiön omaa Zero Trust Exchange -alustaa. Zscalerin tekemän kansainvälisen tutkimuksen mukaan 96 % organisaatioista kannattaa Zero Trust -lähestymistapaa ja 81 % aikoo ottaa siihen liittyviä strategioita käyttöön seuraavan 12 kuukauden aikana.
Vaikka moni organisaatio on ilmoittanut siirtyvänsä Zero Trustiin lähivuosina, iso osa toimijoista on vasta matkansa alussa: käyttöön on ehkä otettu joitakin yksittäisiä elementtejä, kuten monivaiheinen tunnistautuminen tai peruspääsynhallinta, mutta kokonaisvaltainen arkkitehtuuri puuttuu vielä.
Mikä sitten hidastaa Zero Trust -mallin käyttöönottoa organisaatioissa? Käyttöönoton keskeiset haasteet voidaan tiivistää kolmeen teemaan:
Zero Trust -mallin käyttöönotto ei edellytä kaiken uudistamista kerralla. Tärkeintä on aloittaa prosessi vaiheittain ja rakentaa arkkitehtuuria pala palalta.
Käytännön eteneminen voi näyttää esimerkiksi tältä:
Arvioi nykyinen tietoturvaympäristö. Missä luottamus on oletuksena? Missä ei ole riittävää näkyvyyttä käyttäjien, laitteiden tai sovellusten toimintaan?
Zero Trust rakentuu vahvan identiteetin varaan. Ota käyttöön monivaiheinen tunnistautuminen (MFA) ja varmista, että pääsy perustuu käyttäjän rooliin ja kontekstiin. Hyödyntämällä Identity and Access Management (IAM) -ratkaisuja voit hallita koko organisaation käyttäjien pääsynhallintaa, ja Privileged Access Management (PAM) -ratkaisut varmistavat, että myös kriittisiä ylläpitäjätunnuksia käytetään vain silloin, kun se on tarpeen ja tarkasti rajattuna. Näin voidaan minimoida sekä tavallisiin käyttäjiin että admin-oikeuksiin liittyvät riskit.
Pelkkä identiteetin hallinta ei riitä, jos verkko ja sovellukset on rakennettu yhtenäiseksi kokonaisuudeksi. Siksi Zero Trust edellyttää pääsyn rakenteellista rajaamista. Mikrosementoinnin avulla verkko jaetaan pieniin osiin, ja liikenne ohjataan vain niihin resursseihin, joita käyttäjä tai sovellus todella tarvitsee. Näin estetään se, että hyökkääjä voisi liikkua vapaasti sisäverkossa, vaikka hän onnistuisi murtautumaan sisään.
Korvaa perinteiset VPN-ratkaisut Zero Trust Network Access -teknologialla. ZTNA mahdollistaa turvallisen pääsyn sovelluksiin ilman verkkoon luottamista ja toimii keskeisenä osana SASE-arkkitehtuuria (Secure Access Service Edge).
Lue myös: Mitä SASE on ja miten se kannattaa ottaa käyttöön?
Zero Trust ei ole kertaluonteinen projekti vaan jatkuva prosessi. Seuraa pääsynhallintaa, käyttäytymistä ja uhkia systemaattisesti ja kehitä arkkitehtuuria havaintojen pohjalta.
Haluatko tietää, mitkä aiheet puhututtavat kyberturvallisuudessa juuri nyt? Tilaa Kyberturvassa-uutiskirje.