Zero Trust och nätet: vad som flyttar när ni slutar lita på insidan

Den gamla modellen för nätverkssäkerhet byggde på en enkel bild: en mur runt kontoret, en brandvägg i porten och fri rörlighet för den som väl kommit in. Den som satt på rätt nät betraktades som betrodd. Zero Trust är namnet på den motsatta hållningen — att ingen användare, enhet eller tjänst får åtkomst bara för att den befinner sig på en viss plats i nätet.

Det är en princip, inte en produkt. Ändå säljs den ofta som en produkt, och det leder till två vanliga missförstånd: att Zero Trust är något man köper och sedan har, och att nätet blir oviktigt när identiteten tar över. Ingetdera stämmer. Den här texten handlar om vad som faktiskt flyttar, vad som stannar kvar i nätet och i vilken ordning det är rimligt att börja.

Varför den inre zonen slutade fungera

Muren runt kontoret fungerade så länge allt viktigt fanns innanför den. I dag ligger e-post, dokument, affärssystem och telefoni ofta i molnet. Medarbetarna arbetar hemifrån, från kundens lokaler och från mobilen. I samma nät som datorerna sitter skrivare, kameror, passersystem och ibland styrsystem som aldrig var byggda för att stå emot ett angrepp.

Det betyder två saker. Det mesta av det som ska skyddas finns inte längre bakom brandväggen. Och det som finns innanför är inte självklart pålitligt — en enda kapad dator eller en enhet med en känd sårbarhet räcker för att någon ska befinna sig på insidan. I ett platt nät kan den då nå i stort sett allt. Det är den förflyttningen i sidled, från en enhet till nästa, som Zero Trust försöker stoppa.

Tre principer

Zero Trust brukar sammanfattas i tre principer. De är värda att formulera i vardagliga termer:

• Verifiera varje gång. Åtkomst avgörs av vem som frågar, från vilken enhet och i vilket sammanhang — inte av vilket nät förfrågan kommer ifrån. Ett lyckat inloggningsförsök i går betyder inte att samma enhet är frisk i dag.
• Minsta möjliga behörighet. Varje användare och system får tillgång till det den behöver för sin uppgift och inget mer. Breda behörigheter som ”alla på kontoret når alla servrar” är motsatsen.
• Räkna med att någon redan är inne. Bygg så att ett intrång på ett ställe inte automatiskt blir ett intrång överallt. Logga så att ni kan se vad som hänt.

Vad som flyttar från nätet till identiteten

Den största förändringen är var beslutet om åtkomst fattas. I den gamla modellen fattades det i brandväggen, utifrån adresser och portar. I en Zero Trust-modell fattas det närmare själva tjänsten, utifrån en verifierad identitet, enhetens skick och vad användaren försöker göra.

I praktiken innebär det att flerfaktorsinloggning, en ordnad katalog över användare och behörigheter och kontroll över vilka enheter som får ansluta blir grundpelarna. En medarbetare som jobbar hemifrån behöver då inte släppas in i hela kontorsnätet via ett brett VPN för att nå ett enskilt system. Hon får åtkomst till just det systemet, efter att identitet och enhet kontrollerats.

Vad som stannar kvar i nätet

Att identiteten tar över mycket av ansvaret betyder inte att nätet kan lämnas platt och öppet. Flera saker kan bara göras där:

• Segmentering. Gästnät, kortterminaler, kameror, styrsystem och verksamhetsdatorer ska inte dela nät. Enheter som inte kan logga in med en identitet — en skrivare, en kamera, en sensor — kan bara skyddas genom att begränsa vad de når och vad som når dem.
• Styrning av utgående trafik. En kapad enhet som inte kan ringa hem till sin angripare gör mindre skada. Filtrering av utgående trafik och DNS är fortfarande ett av de billigaste skydden.
• Tillgänglighet. Zero Trust handlar om vem som får åtkomst. Det säger ingenting om huruvida förbindelsen finns där när någon behöver den.

Hur segmentering och brandvägg byggs i praktiken beskriver vi under cybersäkerhet i nätverkslagret, och hur nätet på plats sätts upp under nätverkslösningar.

Uppkopplingen blir viktigare, inte mindre viktig

En följd som sällan nämns: när åtkomstbesluten flyttar till molnbaserade tjänster för identitet och policy blir internetförbindelsen en del av inloggningen. Om kontoret tappar förbindelsen kan medarbetarna inte bara sluta nå molnet — de kan i vissa upplägg inte heller logga in på system som står i samma byggnad, eftersom kontrollen sker någon annanstans.

Det gör frågan om en andra väg in mer aktuell, inte mindre. En backup som går över ett annat nät och en annan teknik är skillnaden mellan ett störningsmoment och ett stopp. Hur ni ser om en backup faktiskt är oberoende av huvudförbindelsen har vi gått igenom i texten om redundant internet för företag.

Fast IP-adress och IP-låsning

Många system skyddas i dag av att bara släppa in trafik från en viss IP-adress. Det är i grunden den gamla modellen — tillit baserad på var förfrågan kommer ifrån — och i en ren Zero Trust-modell ersätts den av identitet. I verkligheten lever de två sida vid sida under lång tid. Banker, myndighetstjänster, larmcentraler och leverantörers system kräver ofta en fast adress, och den kontrollen ligger utanför er makt att ändra.

Det rimliga är att se IP-låsning som ett extra lager och inte som det enda skyddet, och att veta vilka integrationer som är beroende av den innan ni byter förbindelse eller leverantör. Vad som ska stå i beställningen finns i texten om fast IP-adress för företag.

Börja i rätt ordning

Zero Trust är inget projekt som blir klart. Det är en riktning. För de flesta verksamheter är det här en rimlig ordning:

1. Inför flerfaktorsinloggning för alla konton, först för administratörer och e-post.
2. Inventera användare, behörigheter och enheter. Ta bort konton och behörigheter som inte används.
3. Dela upp nätet: gästnät, betalning, kameror och styrsystem i egna segment, skilda från verksamhetsdatorerna.
4. Ersätt breda VPN-behörigheter med åtkomst till enskilda system där det går.
5. Begränsa utgående trafik och styr DNS.
6. Logga inloggningar och nätverkshändelser så att ni kan se vad som hänt efter en incident.
7. Säkra tillgängligheten: en andra väg in för de adresser där verksamheten inte tål ett avbrott.

De tre första stegen gör störst skillnad för minst pengar i de flesta mindre verksamheter. Den resonemangskedjan utvecklar vi i texten om IT-säkerhet för mindre företag.

Tre missförstånd

”Vi köpte en Zero Trust-lösning.” En produkt kan vara en del av vägen, men principen kräver att behörigheter, enheter och nät faktiskt ordnas. Utan det har ni en ny produkt i en gammal modell.

”Med Zero Trust behövs ingen brandvägg.” Brandväggen gör andra saker än förr — den segmenterar, filtrerar och begränsar — men den behövs fortfarande, särskilt för allt som inte kan logga in med en identitet.

”Antingen allt eller inget.” Varje steg som minskar behörigheter och delar upp nätet minskar skadan av ett intrång. Att börja med flerfaktorsinloggning och ett separat gästnät är redan Zero Trust i liten skala.

Kopplingen till NIS2

För verksamheter som omfattas av cybersäkerhetslagen motsvarar flera av stegen ovan områden som lagen uttryckligen räknar upp: åtkomstkontroll, grundläggande cyberhygien, autentisering och säkrade kommunikationer. Lagen föreskriver ingen viss modell, men en Zero Trust-inriktning är ett sätt att visa att åtgärderna är genomtänkta. Vad lagen kräver finns i texten om NIS2 och cybersäkerhetslagen.

Vad vi gör och inte gör

Vi äger inget eget nät. Vi är operatörsoberoende och levererar uppkoppling via operatörer och partners, med egen kundtjänst och egen support i Sverige. I en Zero Trust-inriktning bidrar vi med det som hör till nätet: förbindelser som går att lita på, en andra väg in där det behövs, segmentering, brandvägg och styrning av trafiken mellan era platser.

Vad vi inte gör: vi levererar ingen identitetsplattform och vi tar inte över er behörighetsstyrning. Vilka åtgärder som är rimliga beror på verksamheten, och servicenivåer för uppkopplingen regleras i avtalet.

Vill ni gå vidare hittar ni mer om cybersäkerhet i nätverkslagret, nätverkslösningar och nät för vård och omsorg.