TLDR:
Sıfır Güven (Zero Trust), “asla güvenme, her zaman doğrula” ilkesine dayalı bir siber güvenlik mimari modelidir—kaynaklara her erişim talebi kaynağı ne olursa olsun kimliği doğrulanır, yetkilendirilir ve sürekli doğrulanır. Sıfır Güven, ağ çevresinin içindeki kullanıcılara ve cihazlara güvenen eski modeli, her erişim için kimliğin, cihaz sağlığının ve bağlamın sürekli doğrulanmasıyla değiştirir.
Temel İlkeler
NIST SP 800-207 Sıfır Güven’in ilkelerini tanımlar: tüm veri kaynakları ve hesaplama hizmetleri kaynak olarak kabul edilir; tüm iletişim ağ konumundan bağımsız olarak güvenlidir; bireysel kurumsal kaynaklara erişim oturum başına verilir; erişim kimlik, cihaz durumu, davranış dahil dinamik politika tarafından belirlenir; kuruluş tüm sahip olunan ve ilişkili varlıkların bütünlüğünü ve güvenlik duruşunu izler ve ölçer; tüm kaynak kimlik doğrulama ve yetkilendirme dinamik ve sıkı şekilde uygulanır.
Mimari Bileşenleri
Bir Sıfır Güven mimarisi tipik olarak şunları içerir: MFA dahil güçlü kimlik doğrulamalı kimlik sağlayıcı (IdP), sürekli duruş değerlendirmesi ile cihaz yönetimi, ağ kaynaklarının mikro segmentasyonu, erişim kararları veren politika motorları, güvenli erişim hizmeti uç (SASE) veya sıfır güven ağ erişimi (ZTNA) ürünleri, uç nokta tespit ve yanıt (EDR), veri sınıflandırma ve DLP ve kapsamlı günlük kaydı/izleme. Uygulama tipik olarak VPN tabanlı uzaktan erişimi ZTNA ile değiştirir, tam zamanında erişim aracılığıyla daimi ayrıcalıkları azaltır ve bağlam farkında politikalar ekler.
Pratikte Uygulama
Sıfır Güven benimseme tipik olarak aşamalıdır: kimlikle başlayarak (evrensel MFA, güçlü IdP ile SSO), ardından cihaz duruşu (hassas erişim için yönetilen/sağlıklı cihazlar gerekli), uygulama segmentasyonu (doğu-batı trafiğini sınırlama), veri koruma (sınıflandırma, DLP, şifreleme) ve son olarak otomasyon ve analitik. Sıfır Güven artık kurumsal satın almada, finansal hizmetler düzenlemesinde, ABD federal sözleşmesinde (yürütme emri gereksinimi) ve giderek artan biçimde AB düzenleyici çerçevelerinde temel beklentidir.