صفر تراست صرفاً مختص سازمان‌های بزرگ نیست: نقشه راهی قابل اجرا برای شرکت‌های کوچک و متوسط

مدل امنیت سنتی شبیه به یک قلعه است: اگر دیوار بیرونی (فایروال) محکم باشد، داخل آن امن در نظر گرفته می‌شود. با این حال، امروزه کارمندان از خانه متصل می‌شوند، برنامه‌ها روی ابر اجرا می‌شوند و بخش قابل توجهی از حملات از «درون» با یک حساب کاربری به خطر افتاده آغاز می‌شوند. رویکرد صفر تراست (Zero Trust) این فرض را برعکس می‌کند: به هیچ کاربر، دستگاه یا شبکه‌ای به خاطر موقعیت مکانی‌اش اعتماد نمی‌شود؛ هر درخواست دسترسی تأیید شده و با حداقل دسترسی محدود می‌شود.

منبع: NIST SP 800-207

مستند SP 800-207 مؤسسه ملی استاندارد و فناوری ایالات متحده (NIST)، اصول اساسی معماری صفر تراست را تعریف می‌کند: تمام منابع داده و خدمات به عنوان یک منبع تلقی می‌شوند، تمام ارتباطات صرف نظر از موقعیت شبکه امن می‌شوند، دسترسی بر اساس نشست و با سیاست‌های پویا اعطا می‌شود، و وضعیت دارایی‌ها به طور مداوم نظارت می‌شود. این اصول مستقل از محصول هستند؛ و می‌توانند با ابزارهای موجود در اختیار شرکت‌های کوچک و متوسط (SMEها) نیز پیاده‌سازی شوند.

گام ۱: قرار دادن هویت در مرکز

پایه و اساس صفر تراست، احراز هویت قوی است. حداقل مجموعه قابل اجرا:

• احراز هویت چندم عاملی (MFA) در تمام حساب‌های سازمانی؛ احراز هویت مبتنی بر اپلیکیشن یا کلید سخت‌افزاری به جای پیامک ترجیح داده می‌شود.
• کاهش تعداد حساب‌ها با ورود تک‌نشست (SSO)؛ دسترسی فردی که شرکت را ترک می‌کند باید از یک نقطه قطع شود.
• حذف حساب‌های مشترک؛ «رمز عبور مشترک ادمین» با صفر تراست سازگار نیست.

گام ۲: وضعیت دستگاه

درست بودن حساب کاربری کافی نیست؛ دستگاه متصل نیز باید شناخته‌شده و به‌روز باشد. راه عملی برای تیم‌های کوچک، نگهداری موجودی دستگاه‌های سازمانی، الزامی کردن رمزگذاری دیسک و به‌روزرسانی‌های خودکار، و محدود کردن دسترسی از دستگاه‌های شخصی فقط به برنامه‌های خاص است.

گام ۳: بخش‌بندی شبکه

یک شبکه تخت منفرد به این معناست که با به خطر افتادن یک دستگاه، کل شبکه به خطر می‌افتد. سرورها، دستگاه‌های کاربران، شبکه مهمان و دستگاه‌های اینترنت اشیاء (دوربین‌ها، چاپگرها، تلویزیون‌های داخل اتاق) باید در بخش‌های جداگانه باشند؛ ترافیک بین بخش‌ها باید فقط به پورت‌های مورد نیاز محدود شود. مثال: دستگاه‌های IPTV داخل اتاق فقط به سرور پخش دسترسی دارند و هرگز به سرور حسابداری دسترسی نخواهند داشت.

# Örnek (kavramsal) segment kuralı — yalnızca gerekli trafik
# kaynak segment      hedef segment     port     karar
kullanici_lan      -> uygulama_sunucu   443      izin
kullanici_lan      -> veritabani        5432     red
uygulama_sunucu    -> veritabani        5432     izin
misafir_wifi       -> *                 *        red (yalnızca internet)

گام ۴: حداقل دسترسی و لایه اپلیکیشن

صفر تراست صرفاً یک مسئله شبکه نیست؛ بلکه در داخل خود اپلیکیشن نیز اعمال می‌شود. هر کاربر باید فقط داده‌هایی را ببیند که کارش به آن‌ها نیاز دارد و این قانون باید در سطح پایگاه داده اعمال شود (مانند امنیت در سطح سطر در PostgreSQL). دسترسی‌های مدیریتی نباید دائمی باشند، بلکه باید در زمان نیاز و برای مدت‌زمان مشخصی اعطا شوند.

صفر تراست یک محصول نیست، بلکه یک عادت تصمیم‌گیری است: اطمینان حاصل کردن از اینکه سیستم در هر درخواست دسترسی جدید این سؤال را بپرسد که «آیا واقعاً برای این شخص لازم است که در حال حاضر از این دستگاه به این داده دسترسی داشته باشد؟»

گام ۵: دیده‌بانی و ثبت رویدادها (لاگ‌ها)

جمع‌آوری لاگ‌های ارائه‌دهنده هویت، سرور و اپلیکیشن در یک مکان مرکزی، امکان تشخیص رفتارهای غیرعادی (ورود به سیستم نیمه‌شب از کشوری دیگر، دانلود انبوه داده‌ها) را فراهم می‌کند. مدت زمان نگهداری لاگ‌ها و مجوز دسترسی به آن‌ها باید تعریف شود؛ لاگ‌ها خودشان یک داده محسوب می‌شوند.

گام ۶: بازنگری در دسترسی از راه دور

VPN کلاسیک، کاربر را وارد شبکه می‌کند؛ در رویکرد صفر تراست، کاربر پس از احراز هویت هویت و دستگاه، فقط به برنامه‌ای که نیاز دارد دسترسی پیدا می‌کند. برای تیم‌های کوچک، پروکسی‌های آگاه از هویت مبتنی بر اپلیکیشن (identity-aware proxy) این انتقال را ممکن می‌سازند.

پیشنهاد ترتیب پیاده‌سازی

1. پیاده‌سازی MFA و حذف حساب‌های مشترک (کمترین هزینه، بیشترین تأثیر).
2. موجودی‌برداری دستگاه‌ها و به‌روزرسانی اجباری.
3. جداسازی شبکه‌های مهمان و اینترنت اشیاء.
4. حداقل دسترسی درون اپلیکیشن و ثبت ممیزی.
5. مبتنی بر اپلیکیشن کردن دسترسی از راه دور.

صفر تراست درون اپلیکیشن: مثالی با PostgreSQL

به اندازه بخش‌بندی در سطح شبکه، مهم است که اپلیکیشن هر درخواست را با هویت و محدوده کاربر ارزیابی کند. امنیت در سطح سطر در PostgreSQL این اصل را به لایه داده منتقل می‌کند: کلاینت هر کوئری‌ای که بفرستد، شرط سیاست اعمال می‌شود.

-- Örnek: şube bazlı erişim (kavramsal)
alter table orders enable row level security;

create policy orders_by_branch on orders
  for select using (branch_id = any (current_user_branches()));

-- Yönetici bile her şeyi görmez; "tüm şubeler" yetkisi ayrı bir rolle ve süreli verilir.

زیبایی این رویکرد در این است که خطای کدنویسی در اپلیکیشن (فراموش شدن شرط where) به نشت داده تبدیل نمی‌شود.

دسترسی مدیریتی زمان‌دار

حق دسترسی دائمی مدیر سیستم، اصلی از صفر تراست است که بیش از همه نقض می‌شود. مدل عملی: یک حساب کاربری جداگانه برای عملیات مدیریتی، دسترسی این حساب در زمان نیاز و برای یک مدت مشخص (مثلاً یک ساعت) باز می‌شود، دلیل باز شدن ثبت می‌شود و در پایان زمان به طور خودکار بسته می‌شود. در تیم‌های کوچک، این کار را می‌توان با یک جریان تأیید ساده و یک وظیفه زمان‌بندی‌شده راه‌اندازی کرد؛ نیازی به یک محصول مدیریت دسترسی ممتاز پیچیده نیست.

دسترسی تأمین‌کنندگان و پشتیبانی خارجی

تأمین‌کنندگان نرم‌افزار، مشاوران حسابداری و تیم‌های پشتیبانی خارجی به سیستم‌ها دسترسی پیدا می‌کنند؛ این دسترسی‌ها اغلب ضعیف‌ترین حلقه هستند. قوانین: حساب کاربری جداگانه برای هر فرد خارجی (بدون حساب «پشتیبانی» مشترک)، اجباری بودن MFA، دسترسی فقط به اپلیکیشن مربوطه و به صورت زمان‌دار، و ثبت تمام نشست‌ها. بسته شدن دسترسی در پایان قرارداد باید جزء آیتم‌های چک‌لیست باشد.

پیاده‌سازی مرحله‌ای: نمونه‌ای از برنامه ۹۰ روزه (فرضی)

دورهگامخروجی ماه اولMFA، بستن حساب‌های مشترک، موجودی دستگاه‌هافهرست حساب‌ها، فهرست دستگاه‌هاماه دومجداسازی شبکه‌های مهمان و اینترنت اشیاء، موجودی سرویس‌های در معرض دید عمومطرح بخش‌بندی، سرویس‌های بسته شدهماه سومRLS درون اپلیکیشن، لاگ‌های مرکزی، دسترسی مدیریتی زمان‌دارتست‌های سیاست، قوانین هشدار

این تقویم نمونه است؛ بسته به اندازه و وضعیت فعلی کسب‌وکار تغییر می‌کند. نکته مهم ترتیب آن است: ابتدا هویت، سپس شبکه و بعد اپلیکیشن.

سوءتفاهم‌های رایج

• «صفر تراست یعنی خرید یک محصول.» خیر؛ مجموعه‌ای از اصول است که با ابزارهای موجود آغاز می‌شود. محصولات برخی از گام‌ها را آسان‌تر می‌کنند، اما جایگزین اصل اصلی نمی‌شوند.
• «اگر VPN داریم، پس در امنیت هستیم.» VPN کاربر را به داخل شبکه می‌آورد؛ صفر تراست دقیقاً عکس این را می‌خواهد.
• «ما کوچک هستیم، هدف قرار نمی‌گیریم.» حملات خودکار هدف انتخاب نمی‌کنند؛ بلکه به دنبال پورت‌های باز و رمز عبور ضعیف می‌گردند.
• «یک بار راه‌اندازی می‌شود و تمام.» صفر تراست فرآیندی است که با هر اپلیکیشن جدید و هر کارمند جدید دوباره پیاده‌سازی می‌شود.

مجموعه کنترل‌های ISO/IEC 27001:2022 در بخش‌های کنترل دسترسی، امنیت شبکه و مدیریت لاگ تا حد زیادی با این گام‌ها هم‌پوشانی دارند؛ بنابراین سفر صفر تراست، زمینه را برای یک هدف گواهینامه در آینده نیز آماده می‌کند. خدمات امنیت سایبری سای لوژیک (Cy Logic) این رویکرد را از مرحله طراحی در پروژه‌های نرم‌افزاری و زیرساختی اعمال می‌کند.