Den klassiske perimeter holder ikke længere
Den gamle model med hård skal og blød kerne antog, at alt vigtigt lå bag firewallen, og at alle indenfor var til at stole på.
Den antagelse holder ikke længere. Data ligger i cloud og SaaS, medarbejdere arbejder hjemmefra, og angriberne kommer ind gennem phishede konti og kompromitterede leverandører. De kommer altså ind som betroede brugere.
Når én kompromitteret maskine på det flade kontornetværk kan nå alt, er perimeteren ikke et værn. Den er en falsk tryghed. Sådan breder ransomware sig fra ét endpoint til hele virksomheden.
Kerneprincipperne
- Verificér eksplicit. Hver adgang autentificeres og autoriseres ud fra alle tilgængelige signaler. Identitet med MFA, enhedens tilstand, lokation og adfærd.
- Least privilege. Brugere og systemer får kun adgang til det, de skal bruge, og kun så længe de skal bruge det. Stående administratorrettigheder erstattes af tidsbegrænset eleveret adgang.
- Antag kompromittering. Design som om angriberen allerede er inde. Segmentér netværket, så bevægelse mellem zoner kræver eksplicit tilladelse, log og overvåg, og gør skadeszonen ved ét kompromitteret element så lille som muligt.
Sådan ser det ud i en SMV
For en SMV er det mindre eksotisk, end leverandørbrochurerne antyder.
MFA på alle konti og betinget adgang i Microsoft 365, der vurderer enhed og kontekst ved login. Netværkssegmentering med default deny mellem zoner, så servere, klienter, gæster og IoT ikke kan tale frit sammen. Styring af enheder, så kun sunde og administrerede maskiner får adgang til virksomhedsdata. Og logning og detektion med EDR eller SIEM, der opdager, når noget alligevel afviger.
Hver brik har værdi i sig selv. Zero trust er summen af dem, ikke et projekt man kører på én gang.
Rækkefølgen, hvis I skal i gang
Begynd med identiteten. Den er den nye perimeter. MFA overalt, oprydning i rettigheder, og luk for de gamle loginmetoder.
Derefter segmentering af netværket efter funktion med default deny mellem zoner, og betinget adgang til cloudtjenester.
Til sidst synlighed. Logning og detektion, der gør “antag kompromittering” til andet end et slogan.
Rækkefølgen er bevidst. Hvert trin reducerer risikoen mærkbart, uden at I skal udskifte infrastruktur eller købe en zero trust-platform først. Segmenteringen og adgangen tager vi under netværk, synligheden under systemovervågning.