Perimetrul a dispărut deja — ce urmează?
76% dintre organizații au raportat că perimetrul lor de securitate a devenit practic irelevant după accelerarea adoptării cloud-ului. Modelul clasic de tip castel cu șanț presupunea că infrastructura are margini clare. Nu mai are. Munca la distanță, proliferarea SaaS, microserviciile containerizate, shadow IT — suprafața de atac este peste tot.
Zero trust security este răspunsul la care a convergens industria. Problema reală: majoritatea echipelor tratează zero trust ca pe un produs care se cumpără, nu ca pe un model arhitectural care trebuie construit. Rezultatul este un morman de unelte suprapuse fără aplicare coerentă a politicilor.
Ce este Zero Trust Security?
Termenul îi este atribuit lui John Kindervag de la Forrester în 2010, dar NIST l-a formalizat în SP 800-207. Teza de bază este directă: niciodată nu ai încredere, verifică întotdeauna. Niciun utilizator, dispozitiv sau workload nu primește încredere implicită doar pentru că se află în interiorul rețelei. Fiecare cerere de acces este autentificată, autorizată și validată continuu.
Ce este zero trust architecture mai exact? Este setul de principii de design, componente și fluxuri de lucru care operaționalizează modelul la scară. O diagramă de arhitectură zero trust arată un Policy Enforcement Point (PEP) între fiecare subiect și fiecare resursă. PEP-ul comunică cu un Policy Decision Point (PDP) care consultă surse de identitate, semnale despre starea dispozitivului și analize comportamentale.
Pilonii Zero Trust: Cele Șapte Domenii
Modelul de maturitate Zero Trust al CISA definește cinci piloni, NIST și DOD îl extind la șapte. Trebuie să acoperiți toate domeniile simultan.
1. Identitate
MFA puternică, autentificare fără parolă unde este posibil, scorarea continuă a riscului de identitate și integrarea cu furnizorul de identitate sunt condiții de bază. PAM pentru conturi privilegiate completează imaginea.
2. Dispozitive
Un dispozitiv compromis înseamnă o identitate compromisă. Atestarea stării dispozitivului trebuie să alimenteze deciziile de acces în timp real — nivel de patch al OS, starea agentului EDR, criptarea discului.
3. Rețele
Micro-segmentarea este piatra de temelie a acestui pilon. Scopul este minimizarea blast radius-ului. Dacă un workload este compromis, mișcarea laterală trebuie blocată prin politici.
4. Aplicații și Workload-uri
Un program solid de code security care alimentează modelul de risc de acces închide bucla dintre AppSec și zero trust. Analiza SAST poate semnala vulnerabilități critice care ar trebui să declanșeze scrutin sporit pentru workload-urile afectate.
5. Date
Clasificarea datelor este condiția prealabilă. Controalele DLP, criptarea și guvernanța accesului la date aparțin acestui pilon. Instrumentele CSPM oferă vizibilitate critică pentru configurările greșite din cloud.
6. Vizibilitate și Analiză
Monitorizarea continuă a tuturor evenimentelor de acces, detectarea anomaliilor și integrarea SIEM/SOAR sunt esențiale. Fără acest pilon, arhitectura ta zero trust este politică statică fără buclă de feedback.
7. Automatizare și Orchestrare
Policy-as-code este răspunsul operațional — definirea regulilor de acces ca cod versionat care se integrează în pipeline-urile CI/CD și se aplică automat în toate mediile.
Zero Trust Solutions: Ce Oferă Piața
Pentru identitate: Okta, Microsoft Entra ID. Pentru micro-segmentare: Illumio, Akamai Guardicore, Cisco Secure Workload. Pentru ZTNA: Zscaler Private Access, Cloudflare Access.
Container image scanning care descoperă un CVE critic ar trebui să declanșeze o revizuire a politicii de acces. Secret detection prinde credențiale hardcodate înainte de a deveni vectori de atac.
Foaia de Parcurs pentru Implementare: Cinci Faze
Cea mai mare greșeală este să încerci să rezolvi totul dintr-o dată. Zero trust este o călătorie, nu o migrare de tip big-bang.
Faza 1: Inventariază și clasifică totul
Construiește un cloud inventory complet — fiecare asset, workload, identitate și depozit de date. Acesta devine fundația motorului de politici PDP.
Faza 2: Întărește identitatea ca noul perimetru
MFA universal — fără excepții. PAM pentru conturi privilegiate. Politici de acces condiționat bazate pe risc care evaluează postura dispozitivului și semnalele comportamentale.
Faza 3: Segmentează rețeaua
Începe cu sistemele cele mai critice și extinde incremental. Folosește modul de descoperire pentru a mapa fluxurile de trafic reale înainte de a aplica reguli.
Faza 4: Aplică Least Privilege
Auditează toate permisiunile API. Înlocuiește accesul permanent cu granturi just-in-time. Integrează rezultatele SAST în scorarea riscului de acces.
Faza 5: Construiește bucla de feedback
Conectează fiecare componentă la SIEM. Automatizează răspunsurile prin SOAR. La revizuirile de conformitate, extragi dintr-un set de date operaționale live, nu generezi documentație retroactiv.