जीरो ट्रस्ट सुरक्षा मॉडल नया नहीं है। यह 2010 से अस्तित्व में है जब फॉरेस्टर रिसर्च के जॉन किंडरवैग ने अपना पेपर "नो मोर च्यूई सेंटर्स: इंट्रोड्यूसिंग द जीरो ट्रस्ट मॉडल ऑफ इंफॉर्मेशन सिक्योरिटी" लिखा था।
जीरो ट्रस्ट दृष्टिकोण इस विश्वास पर केंद्रित है कि किसी भी यूज़र या एप्लिकेशन पर स्वाभाविक रूप से भरोसा नहीं किया जाना चाहिए, यहां तक कि वे जो पहले से ही नेटवर्क परिधि के अंदर हैं।
यह विचार पहले से ही गूगल, कोका-कोला, और एनएसए जैसी बड़ी कंपनियों और संगठनों द्वारा साइबर हमलों के बढ़ते खतरे का मुकाबला करने के लिए अपनाया जा रहा है। हालांकि, अभी भी रोडब्लॉक हैं जो इसकी मुख्यधारा को अपनाने में बाधा डाल रहे हैं।
जीरो ट्रस्ट सुरक्षा के बारे में मिथक
जैसे-जैसे संगठनों की जीरो-ट्रस्ट मॉडल दृष्टिकोण में रुचि बढ़ रही है, फ्रेमवर्क के बुनियादी सिद्धांतों के बारे में कुछ गलत धारणाएं अपनाने के रास्ते में आ गई हैं। यहां कुछ मिथक हैं जिन पर आपको विश्वास नहीं करना चाहिए।
मिथक एक: जीरो ट्रस्ट अविश्वास की संस्कृति बनाता है
जीरो ट्रस्ट के बारे में एक आम गलत धारणा यह है कि यह अपने कर्मचारियों पर भरोसा न करने के विचार को बढ़ावा देता है। जबकि जीरो ट्रस्ट फ्रेमवर्क कंपनियों को अपने नेटवर्क संसाधनों तक पहुंचने वाले यूज़र्स की जांच करने की आवश्यकता होती है, इसे व्यक्तिगत चीज़ के रूप में गलत नहीं समझा जाना चाहिए।
तथ्य यह है कि विश्वास एक भेद्यता दर्शाता है जो आपके संगठन को हमले के जोखिम में डाल सकता है। साइबर अपराधी विशेष रूप से कंपनियों को निशाना बनाने के लिए विश्वास का शोषण करते हैं, और जीरो ट्रस्ट इसे कम करने का एक तरीका प्रदान करता है। यह हर किसी को इमारत में प्रवेश करने की अनुमति देने के बजाय की कार्ड एंट्री के बराबर है।
लीस्ट प्रिविलेज सिद्धांत (POLP) का उपयोग करके, संगठन अपनी थ्रेशोल्ड नीतियों को व्यक्तिगत बना सकते हैं ताकि यूज़र्स को केवल उन संसाधनों तक पहुंच प्रदान की जाए जिनकी उन्हें उनके द्वारा अर्जित विश्वास के आधार पर आवश्यकता है।
मिथक दो: जीरो ट्रस्ट एक उत्पाद है
जीरो ट्रस्ट एक रणनीति या फ्रेमवर्क है, उत्पाद नहीं। यह कभी भरोसा न करने और हमेशा सत्यापित करने के विचार के आसपास बनाया गया है।
विक्रेताओं द्वारा पेश किए गए विभिन्न उत्पाद जीरो ट्रस्ट हासिल करने में मदद कर सकते हैं; हालांकि, वे जीरो ट्रस्ट उत्पाद नहीं हैं। वे केवल ऐसे उत्पाद हैं जो जीरो ट्रस्ट वातावरण में अच्छी तरह से काम करते हैं। इसलिए, अगर कोई विक्रेता आपसे उनका जीरो ट्रस्ट उत्पाद खरीदने के लिए कहता है, तो यह संकेत है कि वे अंतर्निहित अवधारणा को नहीं समझते हैं।
जब जीरो ट्रस्ट आर्किटेक्चर के साथ ठीक से एकीकृत किया जाता है, तो विभिन्न उत्पाद प्रभावी रूप से हमले की सतह को कम कर सकते हैं और उल्लंघन के मामले में विस्फोट त्रिज्या को नियंत्रित कर सकते हैं। एक बार पूरी तरह से लागू होने पर, निरंतर सत्यापन के साथ एक जीरो ट्रस्ट समाधान हमले की सतह को पूरी तरह से समाप्त कर सकता है।
मिथक तीन: जीरो ट्रस्ट लागू करने का केवल एक तरीका है
जीरो ट्रस्ट सुरक्षा सिद्धांतों का एक संग्रह है जिसमें निरंतर सत्यापन, लीस्ट प्रिविलेज एक्सेस सिद्धांत, और हमले की सतह को कम करना शामिल है।
वर्षों में, जीरो ट्रस्ट मॉडल के साथ शुरुआत करने के लिए दो दृष्टिकोण उभरे हैं। पहला दृष्टिकोण पहचान के साथ शुरू होता है और इसमें मल्टी-फैक्टर ऑथेंटिकेशन शामिल है, जो त्वरित परिणाम देता है।
दूसरा दृष्टिकोण नेटवर्क-केंद्रित है और नेटवर्क सेगमेंटेशन के साथ शुरू होता है। अवधारणा में नेटवर्क सेगमेंट बनाना शामिल है ताकि उन सेगमेंट के भीतर और बीच में ट्रैफिक को नियंत्रित किया जा सके। नेटवर्क एडमिन तब प्रत्येक सेगमेंट के लिए अलग प्राधिकरण बनाए रख सकते हैं, इस प्रकार सिस्टम में पार्श्व खतरों के प्रसार को सीमित कर सकते हैं।
मिथक चार: जीरो ट्रस्ट केवल बड़े उद्यमों की सेवा करता है
गूगल 2009 में ऑपरेशन ऑरोरा के जवाब में जीरो ट्रस्ट आर्किटेक्चर तैनात करने वाली पहली कंपनियों में से एक थी। यह गूगल, याहू, मॉर्गन स्टेनली, और एडोब सिस्टम्स जैसे बड़े उद्यमों को लक्षित हमलों की एक श्रृंखला थी।
जब गूगल ने हमलों के तुरंत बाद जीरो ट्रस्ट मॉडल अपनाया, तो कई व्यवसायों ने सोचा (और अभी भी सोचते हैं) कि यह केवल बड़े संगठनों पर लागू होता है। यह धारणा तभी सही होगी अगर साइबर हमले बड़े उद्यमों तक सीमित होते, जो कि मामला नहीं है। वास्तव में, 2021 में लगभग 46 प्रतिशत डेटा उल्लंघन छोटे व्यवसायों को लक्षित थे।
जबकि मीडिया बड़े उद्यमों को प्रभावित करने वाले डेटा उल्लंघनों को कवर करने की प्रवृत्ति रखता है, इसमें कोई संदेह नहीं कि छोटे व्यवसायों को भी साइबर हमलों से सुरक्षा की आवश्यकता है।
अच्छी खबर यह है कि छोटे संगठनों को जीरो ट्रस्ट मॉडल लागू करने के लिए बैंक तोड़ने की जरूरत नहीं है। चूंकि यह एक उत्पाद नहीं है, व्यवसाय जीरो ट्रस्ट आर्किटेक्चर में मामूली वार्षिक निवेश आवंटित करके इसे धीरे-धीरे पेश कर सकते हैं।
मिथक पांच: जीरो ट्रस्ट यूज़र अनुभव में बाधा डालता है
जीरो ट्रस्ट अपनाने में बाधाओं में से एक यूज़र अनुभव पर कथित प्रभाव है। यह मान लेना समझ में आता है कि यूज़र्स की उत्पादकता और चपलता तब प्रभावित होगी जब उनकी पहचान को लगातार सत्यापित किया जा रहा हो। हालांकि, जब उचित रूप से लागू किया जाता है, तो जीरो ट्रस्ट एक यूज़र-फ्रेंडली अनुभव प्रदान कर सकता है।
संगठन यूज़र प्रोफाइल का आकलन कर सकते हैं और जोखिम-आधारित प्रमाणीकरण को मशीन लर्निंग के साथ जोड़कर जोखिमों की पहचान कर सकते हैं और त्वरित एक्सेस निर्णय ले सकते हैं। अगर जोखिम अधिक है, तो सिस्टम संसाधनों की सुरक्षा के लिए एक अतिरिक्त प्रमाणीकरण चरण की मांग कर सकता है या पूरी तरह से एक्सेस ब्लॉक कर सकता है। इसके विपरीत, अगर जोखिम कम है तो यह प्रमाणीकरण चुनौतियों को समाप्त कर सकता है।
एक जीरो ट्रस्ट दृष्टिकोण प्रशासनिक पक्ष पर जटिलता को भी कम करता है। ठेकेदार और कर्मचारी अब सुरक्षा दायित्व नहीं होंगे अगर वे आपके साथ व्यवसाय करना बंद कर देते हैं। एक कुशल जीरो ट्रस्ट मॉडल के तहत, सिस्टम प्रमुख संपत्तियों तक उनकी पहुंच को तुरंत समाप्त कर देगा, बैकडोर को खत्म कर देगा।
मिथक छह: जीरो ट्रस्ट ऑन-प्रेम वातावरण तक सीमित है
कई व्यवसाय अभी भी जीरो ट्रस्ट को एक ऐसे मॉडल के रूप में देखते हैं जिसे केवल ऑन-प्रेमिसेस प्रबंधित किया जा सकता है। यह एक बड़ा मुद्दा बन जाता है क्योंकि संवेदनशील डेटा अब हाइब्रिड और क्लाउड वातावरण में रहता है। ऑन-प्रेम आर्किटेक्चर पर प्रभाव डालने वाले साइबर हमलों और हैक्स के बढ़ने के साथ, अधिक से अधिक व्यवसाय क्लाउड की ओर बढ़ रहे हैं।
अच्छी खबर यह है कि जीरो ट्रस्ट तेजी से इसके साथ आगे बढ़ रहा है।
क्लाउड में जीरो ट्रस्ट आर्किटेक्चर स्थापित करके, कंपनियां संवेदनशील डेटा की रक्षा कर सकती हैं और अपने नेटवर्क में कमजोर संपत्तियों के जोखिम को कम कर सकती हैं।
इसके अलावा, जैसे-जैसे रिमोट-वर्क संस्कृति तेज होती है और साइबर अपराधी कमजोरियों का शोषण करने के नए तरीके विकसित करते हैं, ऑन-प्रेम इंफ्रास्ट्रक्चर पर भरोसा करने वाले व्यवसाय व्यवधान का जोखिम उठाते हैं।
कभी भरोसा न करें; हमेशा सत्यापित करें
संगठनों को लक्षित करने वाले डेटा उल्लंघनों की संख्या के आधार पर, यह स्पष्ट है कि सुरक्षा के प्रति पुराने स्कूल का दृष्टिकोण पर्याप्त नहीं है। जबकि कई मानते हैं कि जीरो ट्रस्ट महंगा और समय लेने वाला है, यह अभी की सुरक्षा समस्याओं के लिए एक शानदार प्रतिउपाय है।
जीरो ट्रस्ट मॉडल विश्वास-आधारित प्रणालियों को हटाने का प्रयास करता है क्योंकि साइबर हमलों में उनका बहुत बार शोषण किया जाता है। यह इस सिद्धांत पर काम करता है कि हर किसी और हर चीज़ को नेटवर्क संसाधनों तक पहुंच प्राप्त करने से पहले सत्यापित किया जाना चाहिए। यह जोखिम कम करने और अपनी सुरक्षा मुद्रा में सुधार करने वाली कंपनियों के लिए एक योग्य खोज है।
