Intuicyjne wprowadzenie: skąd wziął się zero trust i co zmienia w sieciach
Od „twardej skorupy” do świata bez granic
Przez lata bezpieczeństwo sieci opierało się na prostym założeniu: istnieje bezpieczna sieć wewnętrzna (biuro, serwerownia, oddziały), a na jej granicy stoi solidny mur – firewall, filtr treści, czasem IPS. Poza tym murem był „zły Internet”, w środku – zaufani użytkownicy i systemy. Ten model bywa obrazowany jako „twarda skorupa, miękkie wnętrze”.
W praktyce wyglądało to tak: jeśli komputer znajdował się w LAN-ie biurowym lub był podłączony przez VPN, otrzymywał szeroki dostęp do większości zasobów. Autoryzacja dotyczyła zwykle pojedynczych aplikacji (np. logowanie do systemu ERP), ale samo „wejście do środka” otwierało bardzo wiele drzwi. Jeśli napastnik przedostał się do sieci wewnętrznej, często miał do dyspozycji bardzo dużą powierzchnię ataku.
Ten sposób myślenia działał jako tako w czasach, gdy większość pracowników była fizycznie w biurze, aplikacje były głównie serwerowe, a jedyną bramą do świata zewnętrznego było centralne łącze internetowe. Dziś ten obraz jest archaiczny.
Nowa rzeczywistość: praca zdalna, chmura, urządzenia mobilne
Rzeczywistość sieciowa diametralnie się zmieniła. Typowa organizacja korzysta jednocześnie z:
- aplikacji lokalnych (on-premise),
- usług SaaS (np. CRM, HR, narzędzia do współpracy),
- infrastruktury w chmurze publicznej (IaaS, PaaS),
- setek urządzeń: laptopy, smartfony, tablety, urządzenia IoT, drukarki sieciowe.
Do tego dochodzi praca zdalna i hybrydowa, dostęp partnerów i podwykonawców, a także integracje systemów między firmami. „Sieć wewnętrzna” przestała być jednym fizycznym miejscem. Użytkownik może być dziś „wewnątrz” i „na zewnątrz” jednocześnie: pracuje z kawiarni, ale ma dostęp do tych samych systemów co w biurze.
Granica między „naszą” siecią a Internetem staje się rozmyta. Coraz trudniej narysować prostą linię „tu jesteśmy my, tam jest reszta świata”. A skoro granica sieciowa nie jest już jasna, klasyczny model ochrony przestaje być wystarczający.
Intuicja zero trust: nikomu nie ufaj domyślnie
Model zero trust wyrósł właśnie z tej zmiany. Jego prosta, intuicyjna zasada brzmi: „never trust, always verify” – nigdy nie ufaj domyślnie, zawsze weryfikuj. I dotyczy to zarówno ruchu z zewnątrz, jak i z wewnątrz.
W ujęciu zero trust nie ma już domyślnego założenia, że „wszystko, co w sieci wewnętrznej, jest bezpieczne”. Każde żądanie dostępu jest analizowane pod kątem:
- tożsamości użytkownika,
- tożsamości i stanu urządzenia,
- kontekstu (lokalizacja, czas, typ połączenia),
- ryzyka (nietypowe zachowanie, wrażliwość danych).
Jeśli pracownik łączy się z ważną aplikacją z podejrzanej lokalizacji lub niesprawdzonego urządzenia, system może zażądać dodatkowego uwierzytelnienia, ograniczyć dostęp, a nawet go zablokować. Nie ma tu „magicznego biletu”, który po jednym zalogowaniu otwiera wszystko na oścież.
Zero trust: nie hasło reklamowe, tylko model działania
Wokół zero trust narosło dużo marketingu. Producenci chwalą swoje „zero trust firewalle” czy „zero trust VPN-y”. Zero trust nie jest jednym produktem. To raczej:
- model architektoniczny – sposób projektowania sieci, aplikacji i dostępu,
- zbiór zasad – jak przyznawać uprawnienia, jak weryfikować użytkowników i urządzenia,
- proces – ciągłe usprawnianie, monitorowanie i dostosowywanie polityk do zmieniających się warunków.
Technologie (MFA, systemy IAM, rozwiązania do mikrosegmentacji, systemy ZTNA) są ważne, ale same w sobie nie tworzą zero trust. Bez zmiany podejścia i porządku w procesach pozostaną tylko zestawem drogich narzędzi.
Prosty przykład: laptop w kawiarni vs dawny LAN biurowy
Wyobraźmy sobie pracownika sprzedaży, który łączy się z systemem CRM. Kiedyś wyglądało to tak: jeśli był w biurze, to miał pełny dostęp, bo był „w zaufanej sieci”. Jeśli był poza biurem, łączył się przez VPN, a po zestawieniu tunelu znów był traktowany jak w biurze – miał bardzo szeroki dostęp.
W modelu zero trust sytuacja wygląda inaczej. Ten sam pracownik w kawiarni:
- loguje się do systemu przez SSO + MFA,
- rozwiązanie sprawdza, czy używa zarejestrowanego, firmowego urządzenia,
- weryfikowany jest kontekst – lokalizacja, pora dnia, nietypowe zachowania,
- dostaje dokładnie taki zakres uprawnień, jaki jest konieczny do jego pracy (np. dostęp tylko do klientów z własnego regionu).
Nawet jeśli ktoś przejmie połączenie sieciowe lub znajdzie lukę w jednym z serwerów, nie przejdzie łatwo dalej. Brak jest prostych „szybkich ścieżek” wynikających z samego faktu bycia w „właściwej” sieci.
Definicja zero trust „po ludzku”: fundamenty, które warto mieć w głowie
Zasada „never trust, always verify” w praktyce
Zasada „never trust, always verify” bywa powtarzana jak mantra, ale dopiero rozbicie jej na elementy pokazuje, co to znaczy w praktyce. Każde żądanie dostępu (do aplikacji, bazy, pliku, API) jest oceniane co najmniej w trzech wymiarach:
- Użytkownik – kim jest osoba (lub proces) proszący o dostęp? Czy to znane konto, czy ma odpowiednią rolę?
- Urządzenie – z jakiego sprzętu pochodzi żądanie? Czy to firmowy laptop, czy prywatny telefon? Czy jest aktualny i zabezpieczony?
- Kontekst – skąd jest to połączenie? O której godzinie? Czy zachowanie pasuje do typowej pracy tej osoby?
System nie zakłada, że „jeśli użytkownik przeszedł logowanie, to już zawsze jest OK”. W zależności od wrażliwości zasobu, przy każdym dostępie może być wymagane:
- ponowne potwierdzenie (np. kod z aplikacji MFA),
- dodatkowa kontrola zgodności urządzenia z polityką,
- nałożenie ograniczeń (np. tylko odczyt danych, zakaz pobierania plików).
Konkretny poziom weryfikacji zależy od tego, jak ważny jest chroniony zasób i jak wysokie jest bieżące ryzyko.
Least privilege w praktyce: „minimalne, które wystarczy”
Drugim filarem zero trust jest zasada least privilege – przyznawania uprawnień najmniejszych niezbędnych do wykonania pracy. Zamiast dawać użytkownikom szerokie role „na wszelki wypadek”, konfigurujesz dostęp precyzyjnie:
- handlowiec nie ma dostępu do ustawień systemu CRM, tylko do kart klientów i raportów sprzedaży,
- specjalista HR nie widzi danych finansowych, choć pracuje w tym samym systemie co dział księgowy,
- administrator ma zdefiniowane konta z różnymi poziomami uprawnień, a nie „jedno konto boga” do wszystkiego.
W zero trust pełne uprawnienia są wyjątkiem, a nie domyślnym stanem. Dodatkowo coraz częściej stosuje się dostęp just in time – podniesienie uprawnień tylko na czas wykonania konkretnej czynności administacyjnej, a potem automatyczny powrót do niższego poziomu.
Silne uwierzytelnianie i autoryzacja kontekstowa
Silne uwierzytelnianie (MFA) stało się praktycznie obowiązkowe w modelu zero trust. Hasło to za mało. Przynajmniej dla systemów krytycznych i dostępu z zewnątrz trzeba dodać drugi składnik: aplikacja mobilna, fizyczny klucz, kod SMS (choć ten ostatni jest najmniej bezpieczny).
Jednak zero trust idzie dalej: nie wystarczy raz mocno uwierzytelnić użytkownika. Potrzebna jest autoryzacja kontekstowa, czyli ocena żądania w czasie rzeczywistym po stronie systemu zarządzania dostępem. Brane pod uwagę mogą być m.in.:
- lokalizacja (IP, kraj, a nawet geolokalizacja urządzenia),
- porównanie zachowania z typowym wzorcem (np. niestandardowe godziny, nietypowa ilość pobieranych danych),
- ryzyko przypisane do aplikacji i poziom danych (dostęp do dokumentacji marketingowej vs do listy płac).
Na tej podstawie system może np.:
- wpuścić użytkownika bez dodatkowych pytań,
- zażądać dodatkowego potwierdzenia (step-up authentication),
- zablokować dostęp lub wymusić tryb tylko do odczytu.
Ciągła weryfikacja zamiast logowania „raz na zawsze”
W klasycznym modelu często wystarczało jednorazowe zalogowanie: po wejściu do VPN czy zalogowaniu do domeny użytkownik działał swobodnie przez cały dzień. W zero trust weryfikacja jest procesem ciągłym, a nie jednorazowym wydarzeniem.
Przykładowo:
- sesje mają ograniczony czas życia i wymagają odświeżenia,
- zmiana adresu IP lub sieci w trakcie sesji może wywołać ponowną weryfikację,
- nagły wzrost liczby pobieranych plików może automatycznie włączyć dodatkowe zabezpieczenia.
To podejście bardziej przypomina ochronę magazynu wartościowego, gdzie sprawdza się nie tylko wejście, ale i ruch wewnątrz budynku, niż tradycyjną recepcję z jednorazową kontrolą.
Czego zero trust nie jest: najpopularniejsze nieporozumienia
Warto jasno oddzielić zero trust od kilku często mylonych pojęć:
- To nie jest zwykły firewall nowej generacji – nowoczesna zapora może być jednym z elementów układanki, ale sama nie załatwi tożsamości, kontekstu ani least privilege.
- To nie jest „lepszy VPN” – wiele rozwiązań ZTNA zastępuje VPN dla części zastosowań, ale zero trust to model, który obejmuje również ruch wewnętrzny, chmurę i aplikacje SaaS.
- To nie jest pojedynczy produkt – nie da się „kupić zero trust w pudełku”. Można kupić narzędzia, które pomogą wdrożyć zasady zero trust.
Zero trust to przede wszystkim zmiana sposobu myślenia o dostępie i zaufaniu w sieci, a dopiero potem zestaw konkretnych technologii.
Klasyczny model sieci vs zero trust: gdzie naprawdę leży „perimeter”
Tradycyjny perimeter: sieć wewnętrzna kontra Internet
W klasycznym podejściu bezpieczeństwo projektowano wokół idei perimetru sieciowego, czyli granicy między „naszą” siecią a Internetem. Główne elementy to:
- centralny firewall i routery brzegowe,
- sieć wewnętrzna (LAN) uznawana za zaufaną,
- VLAN-y do podstawowej segmentacji (biuro, goście, serwery),
- strefa DMZ na serwery wystawione do Internetu (WWW, poczta, VPN).
Model ten zakładał, że nieautoryzowany ruch z zewnątrz zostanie zatrzymany na granicy, a wewnątrz mamy stosunkowo jednorodne, „czyste” środowisko. Dlatego wiele systemów wewnętrznych nie implementowało nawet silnej autoryzacji – wystarczył dostęp z odpowiedniej sieci.
Nowy perimeter: tożsamość, urządzenie, aplikacja, dane
W zero trust pojęcie perimetru sieciowego schodzi na drugi plan. Zamiast jednej twardej granicy pojawia się kilka warstw granic związanych z:
- tożsamością użytkownika – kto prosi o dostęp, jaka to rola, do jakiej grupy należy,
- tożsamością urządzenia – czy to firmowy komputer, czy prywatny, czy spełnia wymagania bezpieczeństwa,
- aplikacją – do czego dokładnie użytkownik chce się dostać, jak wrażliwy jest ten system,
- danymi – czy to wrażliwe dane osobowe, tajemnica przedsiębiorstwa, czy informacje mało krytyczne.
Można powiedzieć, że „perimeter” przesuwa się z poziomu infrastruktury sieciowej na poziom użytkownik–urządzenie–aplikacja–dane. Zamiast chronić przede wszystkim „rurę, którą płynie ruch”, chronisz „ładunek”, czyli informacje i systemy.
Ochrona „rury” vs ochrona „ładunku”
Dlaczego „twardy mur” przestał wystarczać
Sam perimeter sieciowy – nawet bardzo rozbudowany – coraz rzadziej oddaje rzeczywistość. Pracownicy łączą się z domu, z hot-spotów, z sieci komórkowych. Aplikacje siedzą częściowo w data center, częściowo w chmurze, część to SaaS, nad którym masz ograniczoną kontrolę. Partnerzy biznesowi zaglądają do twoich systemów przez integracje API, a nie przez „klasyczny” VPN.
W takiej układance trudno jednoznacznie narysować grubą linię między „wnętrzem” a „zewnętrzem”. W efekcie:
- firewall brzegowy nadal jest potrzebny, ale nie widzi dużej części ruchu (np. bezpośredniego połączenia z laptopa użytkownika do aplikacji w chmurze),
- atakujący, który przejmie konto z silnym dostępem, nie musi „przedzierać się przez mur” – po prostu loguje się jak użytkownik,
- przeciążanie się rozbudowywaniem perimetru prowadzi do złudnego poczucia bezpieczeństwa, bo pomija się ochronę wewnątrz sieci i w samej warstwie aplikacji.
Zero trust nie likwiduje firewalla, ale zmienia jego rolę: z centralnej „bramy do królestwa” na jeden z elementów ochrony, obok segmentacji, kontroli tożsamości i polityk w samych aplikacjach.
„Mikroperimetry”: małe granice bliżej danych
Zamiast jednego dużego muru, zero trust wprowadza wiele małych granic bliżej tego, co naprawdę cenne – aplikacji i danych. To tzw. mikrosegmentacja albo inaczej tworzenie „mikroperimetrów”.
W praktyce oznacza to np.:
- oddzielenie ruchu między poszczególnymi usługami w tym samym klastrze (np. między modułami systemu ERP),
- dostęp do konkretnej aplikacji realizowany przez dedykowaną bramkę (ZTNA), a nie „widok całej sieci po VPN”,
- oddzielenie warstwy administracyjnej (dostęp do konsol, zarządzania) od warstwy użytkowej (dostęp dla zwykłych użytkowników).
Atakujący, który wedrze się do jednego segmentu, nie ma „autostrady” do reszty środowiska. Musi przechodzić kolejne kontrole – dla każdego systemu osobno, a często nawet dla poszczególnych funkcji w aplikacji.
Kluczowe filary zero trust w sieci: na czym naprawdę trzeba się skupić
Widoczność i inwentaryzacja: nie zabezpieczysz czegoś, czego nie widzisz
Pierwszym filarem, o którym rzadko mówi się w marketingowych prezentacjach, jest pełna widoczność zasobów. Trudno sensownie wdrożyć zero trust, jeśli nie wiesz:
- ile masz aplikacji i gdzie dokładnie działają (on-prem, IaaS, PaaS, SaaS),
- jakie urządzenia naprawdę łączą się do sieci (nie tylko laptopy, ale też drukarki, IoT, systemy OT),
- które konta są aktywne, a które „wiszą” od miesięcy bez logowania.
Podstawą jest rzetelna inwentaryzacja: ludzi, urządzeń, aplikacji i danych. Często dopiero na tym etapie wychodzą „zapomniane” serwery w szafie, stare aplikacje bez wsparcia czy konta byłych pracowników nadal obecne w systemie.
Segmentacja sieci: od grubych VLAN-ów do mniejszych stref
Drugi filar to segmentacja, czyli podział środowiska na mniejsze, lepiej kontrolowane obszary. W wielu organizacjach wszystko, co „w środku”, widzi się wzajemnie niemal bez ograniczeń. Zero trust dąży do sytuacji, w której:
- użytkownicy biurowi nie mają bezpośredniego ruchu do serwerów bazodanowych,
- systemy testowe i deweloperskie nie mieszają się z produkcją,
- krytyczne systemy (np. OT, systemy finansowe) są maksymalnie odizolowane, a ich powierzchnia dostępu jest minimalna.
Segmentację można robić na różnych poziomach: od klasycznych VLAN-ów, przez ACL-e na przełącznikach, po rozwiązania typu SDN i firewalle hostowe w samych serwerach. Ważne, by granice wynikały z funkcji biznesowych i ryzyka, a nie tylko z fizycznej topologii sieci.
Kontrola dostępu oparta na tożsamości i rolach
Kolejnym filarem jest centralne zarządzanie tożsamością (Identity and Access Management – IAM) i sensowne wykorzystanie ról. Zamiast dziesiątek lokalnych kont w różnych systemach, dążysz do modelu, w którym:
- użytkownik ma jedną tożsamość (konto), której używa w maksymalnie wielu aplikacjach,
- uprawnienia wynikają z przypisania do roli (np. „handlowiec regionu X”, „specjalista ds. płac”),
- zmiana stanowiska lub odejście z firmy automatycznie aktualizuje dostęp wszędzie, gdzie trzeba.
Taka spójność to mniej ręcznej pracy administratorów i mniejsze ryzyko, że jakieś „zapomniane” konto pozostanie z szerokimi uprawnieniami.
Inspekcja ruchu i telemetria: dane zamiast przeczucia
Zero trust wspiera się na ciągłym monitoringu i analizie zachowań. To nie musi od razu oznaczać drogich systemów SIEM z modułami sztucznej inteligencji. Na początek liczy się, aby:
- mieć spójne logi z kluczowych punktów (firewalle, systemy VPN/ZTNA, serwery, kontroler domeny, systemy chmurowe),
- ustawić proste reguły wykrywania anomalii: nietypowe kraje logowania, próby logowania poza standardowymi godzinami, wiele nieudanych logowań z różnych lokalizacji,
- scalać te dane w jednym miejscu, a nie przeglądać każdy system osobno.
Z czasem można dokładniej profilować typowe zachowania użytkowników i urządzeń, co ułatwia wychwycenie nietypowych wzorców. Dla wielu organizacji już samo „zebranie i ujednolicenie logów” jest dużym krokiem naprzód.
Ochrona urządzeń końcowych: endpoint jako część perimetru
Laptop, telefon, tablet czy terminal magazynowy stają się częścią „granicy” bezpieczeństwa. Nawet najlepiej zaprojektowany dostęp sieciowy nie pomoże, jeśli na urządzeniu siedzi malware. Dlatego filarem zero trust jest też kontrola stanu urządzeń:
- aktualny system operacyjny i poprawki bezpieczeństwa,
- aktywny i działający mechanizm ochrony (EDR/antywirus, firewall lokalny),
- zaszyfrowany dysk, szczególnie w urządzeniach mobilnych.
Nie chodzi tylko o „twardą” politykę, lecz o powiązanie jej z dostępem. Urządzenie, które nie przejdzie podstawowego „przeglądu technicznego”, może dostać jedynie ograniczony dostęp lub w ogóle nie zostać dopuszczone do kluczowych zasobów.
Jak podejść do wdrożenia: strategia „bez rewolucji” i wybór priorytetów
Zacznij od ryzyka, nie od katalogu produktów
Największą pułapką przy zero trust jest zaczynanie od kupowania narzędzi. Dużo rozsądniej jest zacząć od oceny ryzyka: które systemy są najbardziej krytyczne, jakie scenariusze ataku są dla twojej organizacji najbardziej bolesne, gdzie masz najwięcej zaległości.
Pomóc mogą proste pytania:
- które systemy zatrzymałyby firmę, gdyby by