اعتماد صفر محصول نیست: ساختن یک فلسفه

اعتماد صفر به دستمالی‌شده‌ترین اصطلاح بازاریابی امنیت سازمانی بدل شده است. تقریباً هر فروشندهٔ بزرگی حالا ادعا می‌کند محصولش «اعتماد صفر را تحویل می‌دهد» — از فروشندگان فایروال تا پلتفرم‌های حفاظت نقطهٔ پایانی و ارائه‌دهندگان هویت. نتیجه اینکه به مدیران امنیت، راه‌حل‌های نقطه‌ای فروخته می‌شود؛ در چارچوبی که بنیاداً دربارهٔ معماری و فلسفه است، نه ابزار.

اصل هستهٔ اعتماد صفر — «هرگز اعتماد نکن، همیشه راستی‌آزمایی کن» — مدل ذهنی بنیاداً متفاوتی از مرز شبکه می‌طلبد: مرزی وجود ندارد. هر درخواست دسترسی، از هر کاربر و هر دستگاه، به هر منبع، تا وقتی صریحاً راستی‌آزمایی نشده بالقوه متخاصم تلقی می‌شود. این ویژگیِ محصول نیست؛ فرضی عملیاتی است که باید در هر سامانه و فرایند طراحی شود.

موفق‌ترین برنامه‌های اعتماد صفری که دیده‌ام از هویت شروع می‌کنند، نه فایروال. تاروپود هویتیِ مستحکم — احراز چندعاملی قوی، مدیریت دسترسی ممتاز، گواهی اعتماد دستگاه و سیاست‌های مجوزدهی ریزدانه — بنیادی است که همه‌چیز رویش ساخته می‌شود. سازمان‌هایی که با جایگزینی فایروال مرزی با معادل «اعتماد صفر»ش شروع می‌کنند، معمولاً به مرزی گران‌تر می‌رسند، نه به معماری اعتماد صفر.