Model zero trust

Ten artykuł od 2026-04 zawiera treści, przy których brakuje odnośników do źródeł.

Należy dodać przypisy do treści niemających odnośników do źródeł. Dodanie listy źródeł bibliograficznych jest problematyczne, ponieważ nie wiadomo, które treści one uźródławiają.
Sprawdź w źródłach: Google Books • Google Scholar • BazHum • BazTech • RCIN • Internet Archive (texts / inlibrary)
Dokładniejsze informacje o tym, co należy poprawić, być może znajdują się w dyskusji tego artykułu.
Po wyeliminowaniu niedoskonałości należy usunąć szablon {{Dopracować}} z tego artykułu.

Model zero trust (ang. zero trust model) – model bezpieczeństwa sieciowego, w którym założeniem jest brak zaufania do jakichkolwiek urządzeń, zarówno wewnętrznych, jak i zewnętrznych w stosunku do sieci przedsiębiorstwa.

Kluczową ideą modelu Zero Trust jest "nie ufaj, zawsze weryfikuj", co sugeruje, że użytkownikom i urządzeniom nie należy domyślnie ufać, nawet w zaufanych sieciach.

Zamiast polegać na tradycyjnym podejściu opartym na zabezpieczeniu granic sieci, model zero trust koncentruje się na zabezpieczaniu danych na poziomie indywidualnych zasobów. Kluczowymi elementami tego modelu są: uwierzytelnienie, autoryzacja oraz ciągłe monitorowanie dostępu do zasobów sieciowych. Model ten zakłada, że zagrożenia mogą pochodzić zarówno spoza jak i wewnątrz organizacji, dlatego niezmiennie traktuje każdy próbę dostępu do zasobów z założeniem braku zaufania.

Pojawiają się początkowe próby segmentacji sieci przy użyciu VLAN-ów czy podsieci. Podejście to jest bardzo ograniczone – nie ma uwierzytelniania, minimalnych restrykcji i niewielu wewnętrznych możliwości zabezpieczania. Wprowadzone ograniczenia można łatwo obejść.

Stowarzyszenie Standardów IEEE publikuje protokół 802.1X do kontroli dostępu do sieci (NAC). Napędzany przez adaptację WLAN umożliwia uwierzytelnione połączenia sieciowe i daje dostęp na poziomie sieci (LAN/VLAN), ale jest skomplikowany i trudny do szerokiego wdrożenia.

W tym roku powstaje Forum Jericho(inne języki), które promuje innowacyjne podejście do bezpieczeństwa określane jako deperymetryzacja(inne języki)^[1]. Koncepcja ta kładzie nacisk na ochronę danych przedsiębiorstwa przemieszczających się w obrębie oraz poza sieć korporacyjną, zamiast utrzymywania tych danych wyłącznie w granicach sieci korporacyjnej. Ideą deperymetryzacji jest przekonanie, że zabezpieczenia sieci przedsiębiorstw powinny być stosowane nie tylko na granicach kontaktu z Internetem, ale również w każdym miejscu dostępowym wewnątrz sieci.

Termin model zero trust został wprowadzony w 2009 roku przez Johna Kindervaga z Forrester. Kindervag w swoim przełomowym raporcie przedstawił trzy kluczowe koncepcje:

• Zapewnienie, że wszystkie zasoby są bezpiecznie dostępne, niezależnie od lokalizacji.
• Przyjęcie strategii minimalnego przywileju i ściśle kontrolowanej kontroli dostępu.
• Kontrola i rejestrowanie całego ruchu^[2].

Nazwa "Zero Trust" została stworzona jako drwina w stosunku do kolegów Kindervaga z branży bezpieczeństwa, bazując na rosyjskim przysłowiu "ufaj, ale weryfikuj".

Raport Forrester z 2010 roku wprowadził dwa pomysły, które do dziś budzą kontrowersje w środowisku Zero Trust: "mikroperymetry" oraz zagrożenie ze strony wewnętrznego intruza.

Po incydencie związanym z atakiem Operation Aurora, Google wprowadza inicjatywę BeyondCorp, której celem jest przemodelowanie architektury bezpieczeństwa. Inicjatywa ta doprowadza do implementacji koncepcji Zero Trust na skalę całej firmy^[3].

Analitycy z Gartnera przedstawiają koncepcję Secure Access Service Edge (SASE), dzięki której koncepcja Zero Trust zyskuje na znaczeniu^[4]. Termin Zero Trust jest wówczas redefiniowany jako Zero Trust Network Access (ZTNA)^[5][6].

W 2019 roku, brytyjskie Narodowe Centrum Bezpieczeństwa Cybernetycznego (NCSC) zaleciło architektom sieciowym rozważenie zastosowania podejścia Zero Trust podczas nowych wdrożeń IT, zwłaszcza w przypadku planowanego intensywnego korzystania z usług chmurowych. NCSC proponuje również alternatywne, lecz spójne podejście, identyfikując kluczowe zasady leżące u podstaw architektury Zero Trust:

1. Jedno silne źródło tożsamości użytkownika.
2. Uwierzytelnianie użytkownika.
3. Uwierzytelnianie maszyny.
4. Dodatkowy kontekst, taki jak zgodność z polityką i stan urządzenia.
5. Polityki autoryzacji dostępu do aplikacji.
6. Polityki kontroli dostępu w obrębie aplikacji^[7].

Amerykański Instytut Standardów i Technologii opublikował dokument SP 800-207, który przedstawia zunifikowane podejście do architektury Zero Trust. To ważny krok, który sygnalizuje odejście^[8].

W opublikowanym w 2021 roku raporcie Microsoftu pt. "Zero Trust Adoption Report", aż 96% z 1200 ankietowanych decydentów w obszarze bezpieczeństwa podkreśliło kluczową rolę strategii Zero Trust dla sukcesu ich organizacji^[9]. Jako główne powody przyjęcia tej filozofii wskazali na potrzebę zwiększenia elastyczności w zakresie bezpieczeństwa i zgodności oraz na konieczność szybszego wykrywania i reagowania na zagrożenia. Również zmieniający się model pracy, kierujący się w stronę hybrydowej i zdalnej formy, szczególnie widoczny podczas pandemii COVID-19, miał wpływ na większe zainteresowanie podejściem Zero Trust, co potwierdza wspomniany raport.