Avaliando a mais recente arquitetura Zero Trust do NIST. Fornece o que é necessário?

Views: 472
0 0
Read Time:4 Minute, 33 Second

No mês passado, o Computer Security Resource Center do NIST (Instituto Nacional de Padrões e Tecnologia) divulgou orientações gerais e recomendações para a implementação de uma arquitetura Zero Trust por meio de sua publicação especial, SP 800-207

1) O conceito de segurança Zero Trust não é novo. O próprio termo foi cunhado em 2010 pelo então analista da Forrester John Kindervag, que sugeriu que todo o tráfego de rede deveria ser considerado não confiável [1]. Esta foi a personificação da segurança digital de um pró-verbo soviético ainda mais antigo, “confiar, mas verificar”. Mais tarde, em 2014, o Google publicou BeyondCorp [2], um projeto de pesquisa acadêmica que descreveu como o Google implementou os conceitos de segurança Zero Trust internamente, abandonando a confiança então contemporânea em VPN e segurança de perímetro de rede. Em 2017, o Gartner aderiu ao movimento Zero Trust, sugerindo conceitos de segurança semelhantes na estrutura CARTA (Continuous Adaptive Risk and Trust Assessment). Finalmente, para fechar o ciclo, A Forrester divulgou o relatório do ecossistema Zero Trust eXtended (ZTX) [3], que explicava a Zero Trust à luz dos novos desafios de segurança cibernética e hábitos de trabalho. Ao longo dos anos, conforme a incorporação da segurança digital se tornou ainda mais restritiva, “nunca confie, sempre verifique” tornou-se o novo provérbio.

2) O NIST não construiu unilateralmente sua visão do Zero Trust por meio dessa lente histórica. Em vez disso, eles lançaram a Zero Trust Architecture em várias iterações. A cada iteração, o NIST solicitava feedback da indústria e esse feedback ajudava a construir a próxima versão. A Thales esteve ativamente envolvida no fornecimento de feedback por meio da IDSA (Identity Defined Security Alliance), uma aliança sem fins lucrativos de grandes participantes no espaço de identidade e segurança. Como Presidente do Grupo de Trabalho Técnico da IDSA, Thales ajudou a coordenar a resposta da indústria durante o último período de revisão pública do documento NIST Zero Trust Architecture. Mais de 50 recomendações específicas foram fornecidas, com um tema abrangente para enfocar uma abordagem baseada em identidade para Zero Trust, em vez de uma abordagem baseada em rede.

Não confies em ninguém

Como um dos poucos participantes da segurança digital com um portfólio de produtos diversificado que varia de dispositivos de borda reforçados a servidores de back-end seguros (e tudo mais), a Thales está em uma posição única para definir e implementar os princípios de segurança Zero Trust. Nossas soluções de segurança Zero Trust alavancam conceitos-chave como separação de tarefas, tomada de decisões de segurança o mais próximo possível dos recursos acessados ​​e oferecendo MFA forte como raiz de acesso.

Para referência, a Thales projetou o primeiro elemento seguro com reconhecimento de rede da indústria usando os principais protocolos [4]: ​​TCP / IP para transferência de dados e SSL / TLS para segurança. Isso criou um túnel seguro de ponta a ponta entre os elementos seguros (por exemplo, um cartão inteligente) e servidores remotos na Internet, permitindo o desenvolvimento de aplicativos da web seguros que impuseram o modelo “não confie em ninguém”.

Além disso, a arquitetura de comunicação entre um computador e seus dispositivos de segurança periféricos é altamente crítica. Para atender a essa necessidade, a Thales construiu aplicações web seguras usando armazenamento em massa e drivers HID para se comunicar com elementos seguros [5]. Hoje, princípios semelhantes são usados ​​por tokens FIDO U2F. Também deve ser observado que é essencial adotar a separação de tarefas para que os proprietários dos dados possam gerenciar a confiança independentemente dos provedores de armazenamento.

Um filósofo francês disse uma vez: “Na vida é muito mais fácil amar alguém do que confiar em alguém”. Ao observarmos a preponderância de gadgets e dispositivos digitais em nossa vida profissional e pessoal, fica claro que os amamos e o que eles realizam. Mas nós confiamos neles? A Thales está no negócio para garantir que o façamos.

Para obter mais informações, convido você a assistir a um webinar recente em que meu colega Sol Cates e o criador do Zero Trust, John Kindervag, discutem Como obter confiança zero em sua estratégia de gerenciamento de acesso .

Referências:

1. Kindervag, Forrester Research: Construa Segurança no DNA de sua Rede: The Zero Trust Network Architecture, 2010.

2. Ward, Byers, Google, BeyondCorp: A New Approach to Enterprise Security, 2014.

3. Cunningham, Forrester, The Forrester Wave ™: Zero Trust eXtended (ZTX) Ecosystem, 2018.

4. Montgomery, Lu, Ali (Thales); Placa de Rede Segura – Implementação de uma pilha de rede padrão em um cartão inteligente; CARDIS, a 6ª Conferência de Pesquisa e Aplicação Avançada de Smart Card – Toulouse, França. 23 a 26 de agosto de 2004. Artigo disponível na Springer aqui .

5. Lu, Ali (Thales); Tornar os cartões inteligentes verdadeiramente portáteis; IEEE Security & Privacy, vol. 8, não. 2, pp. 28-34 – Mobile Device Security issue, março / abril de 2010. Artigo disponível na biblioteca digital IEEE aqui 

FONTE: THALES

LinkedIn logo
footer logo
Facebook logo
Logotipo do YouTube
Thales Blog

Visite nosso site pai emwww.thalesgroup.com

Copyright © 2020 Thales. Todos os direitos reservados

Ícone de Pesquisa

POSTS RELACIONADOS