Zaposlenik se prijavi na VPN iz kućnog ureda, otvori poslovnu aplikaciju i ne primijeti da je njegov pristup, jednom odobren, možda širi nego što mu stvarno treba. Upravo je to ključna razlika kada se postavlja pitanje VPN ili Zero Trust. Nije riječ samo o izboru tehnologije za udaljeni rad, nego o odluci koliko će se precizno kontrolirati pristup podacima, aplikacijama i mrežnim resursima.
Za hrvatske organizacije koje rade s poslovnim, financijskim, osobnim ili proizvodnim podacima, klasičan VPN više nije automatski dovoljan odgovor. I dalje može biti koristan i opravdan, ali model pristupa mora odgovarati stvarnom riziku, načinu rada i razini zaštite koju poslovanje zahtijeva.
VPN ili Zero Trust: temeljna razlika
VPN, odnosno virtualna privatna mreža, stvara šifriranu vezu između korisnikova uređaja i poslovne mreže. Nakon uspješne prijave korisnik se, ovisno o postavljenim pravilima, može ponašati kao da je fizički u uredu. To je praktično za pristup internim poslužiteljima, mrežnim diskovima ili starijim poslovnim aplikacijama koje nisu predviđene za rad preko interneta.
Takav pristup ima jasnu operativnu prednost: može se relativno brzo implementirati, poznat je velikom broju korisnika i dobro funkcionira u stabilno organiziranim mrežnim okruženjima. Problem nastaje kada VPN postane jedina sigurnosna kontrola. U tom slučaju jedna ukradena lozinka, kompromitirani uređaj ili nepravilno postavljena ovlast mogu otvoriti put prema većem dijelu interne mreže.
Zero Trust polazi od drugačije pretpostavke: nijedan korisnik, uređaj ili mrežna lokacija nisu automatski pouzdani. Pristup se provjerava pri svakom zahtjevu, a korisniku se odobrava samo ona aplikacija, servis ili podatak koji su mu potrebni za posao. Ne dobiva pristup cijeloj mreži samo zato što se uspješno autentificirao.
U praksi se Zero Trust često provodi kroz ZTNA, odnosno siguran pristup aplikacijama temeljen na identitetu, višefaktorsku autentifikaciju, provjeru stanja uređaja, uvjetna pravila pristupa i precizno upravljanje ovlastima. Cilj nije otežati rad zaposlenicima, nego smanjiti štetu ako račun ili uređaj ipak budu kompromitirani.
Kada je VPN još uvijek dobar izbor
VPN nije zastarjela tehnologija koju treba ukloniti pod svaku cijenu. Za dio organizacija on je racionalno i dovoljno sigurno rješenje, posebno ako je dobro konfiguriran, redovito nadziran i nije izložen nepotrebno širokom krugu korisnika.
Primjerice, VPN može biti prikladan za administratore koji održavaju mrežnu opremu i poslužitelje, za povezivanje izdvojenih lokacija ili za pristup specifičnim internim servisima koji zahtijevaju mrežnu vezu. U takvim slučajevima treba ograničiti pristup prema ulogama, koristiti višefaktorsku autentifikaciju, voditi zapise prijava i redovito ažurirati VPN sustav.
VPN je često smislen i kao prijelazno rješenje. Tvrtka koja koristi lokalni ERP, datotečni poslužitelj i aplikacije razvijene za internu mrežu ne mora sve promijeniti odjednom. Međutim, prijelazno ne smije značiti trajno zanemarivanje rizika. Ako se broj udaljenih korisnika povećava, ako vanjski suradnici trebaju pristup ili se osjetljivi podaci koriste izvan uredske mreže, potreban je detaljniji model kontrole.
Gdje Zero Trust donosi veću poslovnu vrijednost
Zero Trust posebno dolazi do izražaja kada zaposlenici koriste cloud aplikacije, rade hibridno, pristupaju sustavima s različitih lokacija ili kada organizacija surađuje s vanjskim računovodstvom, dobavljačima i projektnim partnerima. U tim okolnostima mrežni perimetar više nije jasno određen zidovima ureda i jednim izlazom na internet.
Umjesto da korisnika povezuje na cijelu internu mrežu, Zero Trust omogućuje pristup točno određenoj aplikaciji. Komercijalist može pristupiti CRM-u, računovodstvo financijskom sustavu, a vanjski razvojni partner samo testnom okruženju. Ako je korisnički račun kompromitiran, napadač nema automatski slobodan prolaz prema svim ostalim resursima.
Ovaj pristup također olakšava upravljanje životnim ciklusom pristupa. Kada zaposlenik promijeni radno mjesto ili napusti organizaciju, ovlasti se mogu brzo prilagoditi ili ukinuti na razini identiteta i pojedinih aplikacija. To smanjuje rizik od zaboravljenih korisničkih računa i trajno otvorenih pristupa, koji su čest problem u rastućim organizacijama.
Važno je razumjeti da Zero Trust nije jedan proizvod koji se kupi i uključi. To je sigurnosni model koji povezuje identitete, uređaje, aplikacije, mrežu i nadzor. Njegova vrijednost ovisi o kvaliteti implementacije i o tome jesu li prava pristupa stvarno usklađena s poslovnim ulogama.
Identitet postaje nova sigurnosna granica
U Zero Trust modelu korisnički identitet ima središnju ulogu. Sustav ne provjerava samo lozinku, već i koristi li se višefaktorska autentifikacija, dolazi li zahtjev s upravljanog uređaja, je li prijava neuobičajena te pokušava li korisnik pristupiti resursu koji mu nije potreban.
To ne znači da svaka prijava mora stvarati prepreke. Dobro postavljena pravila razlikuju uobičajeni pristup zaposlenika s poslovnog uređaja od rizične prijave s nepoznatog uređaja ili neuobičajene lokacije. Dodatna provjera aktivira se tamo gdje je rizik veći, a ne nasumično za sve korisnike.
Uređaj je jednako važan kao korisnik
Ispravna lozinka ne pomaže mnogo ako se koristi na zaraženom ili neažuriranom računalu. Zato Zero Trust provjerava i osnovno stanje uređaja: je li šifriran, ima li aktivnu zaštitu, koristi li podržanu verziju operativnog sustava i zadovoljava li pravila organizacije.
Za B2B okruženja to je osobito važno kod rada od kuće i korištenja privatnih uređaja. Nije svaka tvrtka u mogućnosti odmah osigurati službeni uređaj svakom korisniku, ali tada mora jasno odrediti kojim se sustavima može pristupiti, pod kojim uvjetima i uz koje dodatne zaštitne mjere.
Ne postoji univerzalan odgovor
Odgovor na pitanje treba li odabrati VPN ili Zero Trust ovisi o infrastrukturi, aplikacijama, broju korisnika i prihvatljivoj razini rizika. Mala organizacija sa strogo ograničenim brojem ovlaštenih korisnika i lokalnim aplikacijama može postići dobru razinu zaštite pravilno konfiguriranim VPN-om, MFA-om i redovitim nadzorom.
S druge strane, organizacija s više lokacija, hibridnim radom, Microsoft 365 okruženjem, cloud servisima i vanjskim suradnicima obično ima više koristi od postupnog uvođenja Zero Trust principa. Takav model daje bolju vidljivost pristupa i omogućuje preciznije upravljanje ovlastima bez nepotrebnog otvaranja mreže.
Najčešće najbolje rješenje nije strogi izbor samo jedne opcije. VPN može ostati kontrolirani kanal za administraciju i povezivanje infrastrukture, dok se pristup poslovnim aplikacijama i cloud servisima postepeno prebacuje na Zero Trust pravila. Time se izbjegava nagla promjena koja ometa rad, a sigurnost se podiže u prioritetnim područjima.
Kako donijeti odluku bez sigurnosnih pretpostavki
Prvi korak je utvrditi tko pristupa kojim sustavima, s kojih uređaja i iz kojih lokacija. Mnoge organizacije otkriju da imaju više aktivnih računa, širih ovlasti i udaljenih pristupa nego što su pretpostavljale. Bez takvog pregleda teško je procijeniti stvarni rizik ili odabrati odgovarajuću tehnologiju.
Zatim treba klasificirati resurse. Financijski sustavi, osobni podaci, backup administracija, proizvodne aplikacije i domenski kontroleri ne smiju imati isti režim pristupa kao opći intranet ili javno dostupne informacije. Što je resurs osjetljiviji, to provjera identiteta, uređaja i ovlasti mora biti stroža.
Treći korak je definiranje prioriteta. U praksi to često znači najprije uvesti MFA za administratorske i ključne korisničke račune, ograničiti VPN pristup prema stvarnoj potrebi, ukloniti zastarjele račune te uključiti centralizirano praćenje prijava. Nakon toga moguće je planirati ZTNA pristup za aplikacije koje najviše koriste udaljeni zaposlenici i vanjski suradnici.
Nadzor je pritom jednako važan kao i početna konfiguracija. Sigurnosne politike koje se ne pregledavaju s vremenom gube vrijednost jer se zaposlenici, uređaji, aplikacije i poslovni procesi mijenjaju. Redovito održavanje infrastrukture, provjera zapisa i testiranje oporavka ostaju temelj sigurnog poslovanja, bez obzira na odabrani model pristupa.
Siguran pristup nije zamjena za backup i oporavak
Ni VPN ni Zero Trust ne mogu spriječiti svaki incident. Krađa identiteta, ransomware, pogrešna konfiguracija ili ljudska pogreška i dalje mogu ugroziti poslovne podatke. Zato sigurni udaljeni pristup mora biti povezan s pouzdanim backupom, planom oporavka i jasnim postupcima za incidentne situacije.
Tvrtka koja može brzo ograničiti kompromitirani račun, obnoviti podatke iz provjerene kopije i utvrditi što se dogodilo smanjuje prekid poslovanja i štiti reputaciju. CarPen Rebuild takva pitanja sagledava kroz cjelinu infrastrukture: pristup, identiteti, mrežna sigurnost, nadzor i oporavak moraju raditi kao povezani sustav.
Prava odluka nije ona koja zvuči najmodernije, nego ona koja zaposlenicima daje samo potreban pristup, upravi jasnu kontrolu, a poslovanju mogućnost brzog oporavka kada se rizik ipak ostvari.