Як застосувати принципи Zero Trust для захисту логістики
Що таке Zero Trust
Це саме той випадок, коли сутність концепції вичерпно визначена в її назві: «нульова довіра». В рамках Zero Trust кожен користувач, кожен пристрій та кожна цифрова сутність розглядаються системою як потенційне джерело загрози, тож мають перевірятись ретельно та безперервно.
Чому усе має бути так суворо? У дев’яності та двотисячні роки Інтернет лише набирав обертів, тож корпоративна цифрова інфраструктура була влаштована дещо інакше, ніж зараз. В ті часи довірена зона більшості компаній та організацій обмежувалась локальною мережею та підключеними до неї пристроями. Головне питання кібербезпеки полягало в тому, аби не допустити несанкціонованого проникнення до внутрішньої мережі компанії ззовні. Це так і називалось – «захист периметра». Але з поширенням web 2.0, хмарних сервісів, мобільних пристроїв та інтернету речей «периметр» став дуже розмитим, а вразливостей у системі окремо взятої компанії стало в рази більше. Поширення віддаленої роботи в останні роки лише поглибило нові проблеми.
Вважається, що концепцію Zero Trust у 2010 році запропонував колишній аналітик Forrester Джон Кіндерваг. Однак своїм корінням ця ідея сягає сімдесятих років, коли в тогочасних інформаційних системах почали застосовувати «принцип найменших привілеїв» (principle of least privilege, POLP). Він постулює, що повноваження та доступ до даних надаються користувачу лише в мінімальних обсягах, необхідних для вирішення конкретного завдання.
Концепція Zero Trust запозичила та розвинула в POLP ідею обмеження доступу до ресурсів. Загалом вона переслідує дві ключових мети:
- запобігти несанкціонованому доступу до даних, сервісів та ресурсів.
- зробити доступ максимально «гранульованим», шляхом скорочення або усунення явних довірених зон.
На фоні низки кібератак на державну та логістичну інфраструктуру різних країн ідеї Zero Trust стало затребуваними як ніколи. Про важливість Zero Trust говорять у Microsoft, Oracle та Сisco, архітектуру ZT детально описали в безпекових рекомендаціях Національного інституту стандартів та технологій США (NIST). З цього року на стандарти Zero Trust переходить IT-інфраструктура державних установ США, відповідний федеральний закон президент Штатів підписав у січні 2022 року.
Принципи Zero Trust
Архітектура Zero Trust виходить з того, що уся корпоративна мережа за замовчуванням має вважатись недовіреною. Відтак для кожного суб’єкта доступу слід постійно здійснювати перевірки аутентичності й прав доступу. Суб’єкт отримує можливість під'єднатися до корпоративної мережі лише після відповідного підтвердження, і лише з мінімально необхідними правами доступу.
Ключові принципи та ZTA описані в документації NIST, який детально описав концепцію та навів приклади її використання.
- Усі джерела даних та обчислювальні сервіси вважаються “ресурсами”, тобто об’єктами доступу. Це поширюється і на особисті пристрої користувачів, що працюють у корпоративній мережі.
- Захищати слід усі комунікації, незалежно від їх мережевого розташування. Суб'єкту (користувачу, пристрою, файлу) не можна довіряти лише на підставі того, що він перебуває всередині периметру.
- Доступ до певних корпоративних ресурсів надається суб’єкту лише в межах однієї сесії. При запиті сесії суб’єкт неодмінно перевіряється (неважливо, чи пройшов він перевірку з іншим ресурсом), а сам доступ надається з мінімально необхідними правами.
- Доступ до ресурсу надається на підставі комплексної політики, що охоплює перевірку стану ідентифікації суб’єкта, стану ресурса, поведінкових факторів, метаданих. Дані щодо стану суб’єкту доступу можуть охоплювати мережеве розташування, інформацію про софт, дату і час доступу, геолокацію пристрою тощо.
- Аутентифікація суб’єктів є обов’язковою, динамічною та безперервною, що входить у цикл постійного пошуку та оцінки загроз.
- Організація постійно моніторить і контролює стан усіх ресурсів та суб’єктів, довіра «за замовчуванням» практично виключається.
В ідеалі фахівцям з кібербезпеки хотілося б знати кожен пристрій, що має доступ до мережі: від комп’ютерів та смартфонів співробітників, до сенсорів та пристроїв інтернету речей. Відповідно хотілося б знати й усі суб'єкти доступу, аж до конкретних осіб. Звісно, досягнути цього на практиці неможливо, залишається лише постійно моніторити ситуацію: оцінювати пристрої та користувачів, сегментувати їх, надавати їм мінімально необхідні права та пильно слідкувати за будь-якими аномаліями.
Архітектура Zero Trust у логістиці
Ланцюжки постачання потребують участі численних гравців: постачальників, виробників, перевізників, логістичних операторів, 3PL-провайдерів тощо. Усі вони на власний розсуд обирають ті чи інші цифрові інструменти - від таблиць Excel, месенджерів та продуктів 1С, до власних корпоративних TMS-систем та хмарних сервісів найрізноманітнішого призначення. Ці інструменти працюють на безлічі корпоративних та особистих пристроїв, які важко ідентифікувати та перевірити – особисті смартфони та ноутбуки, офісні десктопи без кіберзахисту тощо.
Понад те, менеджмент логістичної галузі далеко не усюди автоматизований й досі сильно залежить від людського фактору. Саме з людських помилок починається більшість прикрих інцидентів зі зламом мереж та витоком даних.
З точки зору кібербезпеки, логістика – це справжній «дикий захід», де вкрай важко встановити певні єдині стандарти та правила. Зловмисникам та хакерам сьогодні відносно легко вдається виявляти вразливості у цій хаотичній сфері та залишатися у тіні. Відтак принцип «не довіряй нікому» актуальний як ніколи.
Варто пам’ятати, що жодна модель та заходи безпеки не можуть на 100% запобігти кібератакам на ланцюжки постачання. Однак на сьогодні концепція ZTA є однією з ключових стратегій – на рівні окремої компанії, на рівні ланцюжка постачання з декількох партнерів, на рівні усієї галузі як такої.
Впровадження принципів Zero Trust в українській логістиці буде непростим завданням, адже на практиці зовсім не кожен постачальник має бажання або можливості працювати над усуненням власних кібервразливостей. Ба більше, визначити вразливих учасників ланцюжків постачання вельми складно, як і визначити джерело кібератаки у випадку реального інциденту. Проте чітке формування державних стандартів кібербезпеки (зокрема, з поглядом на американські стандарти NIST) та перехід ключових гравців ринку на нові безпечні цифрові платформи врешті зрушать ситуацію з мертвої точки.
Як впровадити це на практиці
Відповідно до рекомендацій NIST побудова архітектури безпекової архітектури Zero Trust має починатися з визначення усіх суб’єктів доступу (наскільки це можливо) та проведення «інвентаризації» усіх IT-активів компанії. Це потрібно для того, аби визначити особливо цінні ресурси в мережі та максимально обмежити доступ до них.
Далі слід будувати гнучкі політики мінімального доступу. На практиці чутлива та конфіденційна інформація знаходиться усюди: у файлах на смартфонах співробітників, у пошті, в акаунтах на хмарних сервісах тощо. Слід також визначити перелік суб’єктів, що мають доступ до критично важливих даних.
З практичної точки зору безпекова архітектура Zero Trust потребує дотримання у корпоративній мережі низки ключових умов:
- Впровадження мультифакторної аутентифікації при кожній спробі доступу до системи.
- Необхідність авторизації за кожної спроби доступу до системи. З перевіркою логіна і пароля користувача, геолокації, типу пристрою тощо.
- Неухильне дотримання політики мінімально необхідних привілеїв
- Детальна сегментація ресурсів системи за рівнем доступу, що мінімізує негативні наслідки спроб шкідливого втручання. Це схоже на принцип розкладання яєць по різних кошиках.
- Постійний моніторинг системи та збирання телеметрії – пристроїв, клієнтів, рівнів доступу, вхідних та вихідних даних тощо.
Йдеться не лише про розробку корпоративного софту з відповідними можливостями (захищені та розподілені TMS, WMS, ERP-системи, гібридні хмарні рішення), а про загальну архітектуру цифрової корпоративної мережі, що неминуче вплине на внутрішні операції логістичного бізнесу та характер його контактів з контрагентами.
Ключове питання полягає в тому, аби впровадити в логістику принцип «ніколи не довіряй/завжди перевіряй» без втрати операційної ефективності. Умовно кажучи, аби необхідність постійної верифікації та авторизації не заважала працювати окремо взятому менеджеру. Побудова таких екосистем потребуватиме від логістичної галузі пошуку нових цифрових рішень, нових технологій, нових партнерів, нового рівня експертності у диджиталі. Однак недооцінка ризиків кібербезпеки сьогодні може коштувати занадто дорого – і не лише бізнесу, але й усій країні як такій.
По темі: