Zero Trust, bir kuruluşun ağının içindeki ve dışındaki tüm kullanıcılara, verilere ve uygulamalara erişim izni verilmeden önce güvenlik politika ve yapılandırmaları tarafından yetkilendirilmesi, kimlik doğrulaması ve bu sürecin sürekliliğine yönelik gelişmiş bir güvenlik yaklaşımıdır. Bu yaklaşım, bir kullanıcı kimliğini doğrulamak için çok faktörlü kimlik doğrulama, yeni nesil uç nokta güvenliği ve kimlik ve erişim yönetimi (IAM) dahil olmak üzere çok sayıda üst düzey güvenlik teknolojilerinin kullanımını gerektirir. Ayrıca doğrulanana kadar hiçbir bağlantının, kullanıcının veya varlığın güvenilir olmadığını varsayar.

Zero Trust, kuruluşların, kurumsal lokal ağlarına bağlı olsalar veya daha önce doğrulanmış olsalar bile varsayılan olarak cihazlara veya kullanıcılara güvenmemesi gerektiğinden sürekli izleme, denetlemeye yönelik bir yaklaşım fikrini yaymayı amaçlamaktadır.

Sıfır güven yaklaşımında, kullanıcı kimliği, cihazların işletim sistemi sürümleri, uç nokta donanım türü, işletim sistemleri, güvenlik açıkları, yama düzeyleri, kullanıcı oturum açma bilgileri, yüklü uygulamalar, olay algılamaları vb. gibi kullanıcı kayıtlarına gerçek zamanlı olarak net bir görünürlük ve sürekli izleme amaçlanır.

Kurumların güvenlik zafiyetleri nedeni ile yaşadıkları maddi ve manevi kayıplar, Zero Trust yaklaşımının hızla benimsenmesini sağladı. Zero Trust yaklaşımının bu noktaya gelmesinin başlıca faktörleri; artan siber saldırı sıklığı, uç noktaların, kullanıcı cihazlarının bir hedef haline gelmesi, bulut uygulamalarının yaygınlaşması ve bunlara ek olarak, insanları evden çalışmaya zorlayan Covid-19 salgını ile şirket dışından lokal ağlara erişim ihtiyacının artması olarak sınıflandırılabilir.

Sıfır Güvenin Temel Politikaları

Sıfır Güven (Zero Trust) kavramı aşağıda belirtilen ilkelere dayanmaktadır.

En Az Ayrıcalıklı Erişim ve İzleme; Bu madde, kullanıcılara yalnızca görevlerini yerine getirmeleri ve çalışmaları için gerektiğinde ihtiyaç duydukları erişim düzeyinin verilmesini sağlayan temel bir kavramdır. Her kullanıcının ağdaki tüm verilere ve her zaman erişmesi gerekmez. Ağınıza, uygulamalarınıza, verilerinize ve benzerlerine kimlerin erişim izni verildiğini bilmeli ve sürekli izlemelisiniz.
Mikrosegmentasyon; Güvenlik anlayışını daha küçük bölgelere ayırarak yönetmemizi sağlayan önemli bir uygulamadır.
Gelişmiş Önleyici Güvenlik Tekniklerinden Yararlanma; Zero Trust, ihlalleri durdurabilecek ve zararları azaltabilecek gelişmiş önleyici teknikler benimsemenizi ve kullanmanızı önerir. Çok Faktörlü Kimlik Doğrulama (MFA), kullanıcı kimliğini doğrulamak ve ağ güvenliğini güçlendirmek için önemlidir.
Ağa Erişimleri Gerçek Zamanlı İzleme; Kullanıcı erişimini kontrol etmenin yanı sıra, kaç tanesinin ağınıza erişmek istediğiyle ilgili olarak cihaz erişimini gerçek zamanlı olarak izlemeniz ve kontrol etmeniz gerekir.
Kritik Verileri Tanımlayın; Ne tür hassas verilere sahip olduğunuzu ve bunların nerede olduğu ve bu veriye erişimde nasıl bir trafik oluştuğunu bildiğinizde, en iyi güvenlik stratejisini belirlemeniz mümkündür. En kritik verilerinize ve varlıklarınıza, en yüksek düzeyde koruma sağlayın.
Sınıflandırma; Uygulayabileceğiniz başka bir şey de verilerinizi gizli, dahili ve halka açık olarak sınıflandırmaktır. Mikro segmentasyondan bu konsepti uygulamak için yararlanabilirsiniz.
Otomasyon Araçlarından ve Düzenleme Sistemlerinden Yararlanın; Sıfır Güven uygulamanızdan en iyi şekilde yararlanmak için süreçleri otomasyon araçları ve orkestrasyon sistemleri yardımıyla otomatikleştirin. Zamandan tasarruf etmenize ve organizasyonel kusurlar veya insan hatası risklerini azaltmanıza yardımcı olacaktır.
Tek Çatı Altında Toplama; Tüm verileri ve hizmetleri kaynak olarak kabul edin, birçok farklı cihaz ve hizmet sınıfı günümüzün ağlarını oluşturuyor. Kurumsal kaynaklara erişen SaaS (Software as a Service), bulut hizmetleri ve kişisel cihazlar gibi hizmetler, Sıfır Güven çatısı altına dahil edilmelidir.