Vad är zero trust säkerhet?

I den gamla modellen fungerade nätverket som en byggnad med en bevakad entré. Den som väl var innanför dörren rörde sig fritt. Problemet är att en angripare som tar sig in genom entrén också rör sig fritt. Zero trust vänder på antagandet: ingen släpps in på förtroende, varken utanför eller innanför väggarna.

Zero trust, på svenska ungefär noll förtroende, är en säkerhetsmodell som bygger på en enkel regel: lita på inget, verifiera allt. Varje användare och varje enhet måste bevisa vem den är och att den har rätt att nå just den resurs den frågar efter, varje gång.

Idén bakom noll förtroende

Modellen utgår från att hot kan finnas var som helst, även på insidan. En stulen inloggning, en infekterad laptop eller en missnöjd medarbetare gör att det inte räcker att bevaka gränsen mot omvärlden. Den gamla tanken att allt på insidan är säkert håller inte när molntjänster, underleverantörer och distansarbete suddat ut var insidan ens går.

I stället prövar systemet varje försök att nå en tjänst utifrån sitt sammanhang: vem som frågar, från vilken enhet, var ifrån och vilken information det gäller. Passar inte bilden stoppas försöket, även om lösenordet stämmer.

Minsta möjliga behörighet

Kärnan i zero trust är att ge var och en precis så mycket åtkomst som behövs, inte mer. En ekonomiassistent behöver löneprogrammet, inte hela serverparken. Får en angripare ändå tag i det kontot kommer hen bara åt löneprogrammet, inte allt annat.

Till det hör stark inloggning. Flerfaktorsautentisering, där lösenordet kompletteras med något mer, väger tyngre än ett lösenord ensamt. Nätet delas också upp i mindre zoner, så kallad mikrosegmentering, så att den som ändå tar sig in i en del inte automatiskt når resten.

Så införs zero trust stegvis

Zero trust är ingen produkt att köpa i en låda, utan ett arbetssätt som växer fram. De flesta börjar i tre steg.

Först kartlägger verksamheten vad som finns: vilka användare, enheter, tjänster och data, och hur de hänger ihop. Sedan tas de största riskerna om hand i tur och ordning, med rutiner och verktyg som upptäcker och stoppar avvikelser. Till sist breddas arbetssättet till fler delar av verksamheten. En vanlig ram för arbetet är den amerikanska standarden NIST 800-207, som beskriver principerna i detalj. Poängen med att gå stegvis är att verksamheten kan börja där risken är störst, i stället för att bygga om allt på en gång.

Vad modellen skyddar mot

Zero trust gör mest nytta i miljöer där den gamla gränsen har luckrats upp. Den riktar sig särskilt mot:

Distans- och hybridarbete, där enheter kopplar upp sig utanför kontoret.
Molntjänster, där data ligger utanför det egna nätet.
Insiderhot, där någon på insidan missbrukar sin åtkomst.
Stulna inloggningar, där rätt lösenord i fel händer annars ger fritt spelrum.

Det gemensamma är att skyddet inte längre kan förlita sig på var någon befinner sig. Zero trust flyttar frågan från plats till identitet och sammanhang.

Zero trust utanför datorvärlden

Tankesättet stannar inte vid datorerna. Samma tanke, att var och en bara ska nå det den verkligen behöver, känns igen från fysisk säkerhet. Ett passersystem som bara öppnar de dörrar en person faktiskt behöver följer i praktiken samma logik. Ett kort som fungerar överallt är bekvämt men farligt, medan ett som bara låser upp rätt dörrar begränsar skadan om det tappas bort.

För en verksamhet som ändå ser över sin informationssäkerhet och sin cybersäkerhet är zero trust mindre en ny pryl och mer ett sätt att tänka. Regelverk som NIS2 pekar åt samma håll, mot hårdare kontroll av vem som når vad.