Zero Trust — это не только для корпораций: практическая дорожная карта для малого и среднего бизнеса

Адаптируем принципы NIST SP 800-207 под бюджет и команду малых и средних предприятий: идентичность, устройства, сегментация сети, наименьшие привилегии и непрерывная верификация.

2026-09-16

Традиционная модель безопасности похожа на замок: если внешняя стена (межсетевой экран) надежна, то внутри считается безопасным. Однако сегодня сотрудники подключаются из дома, приложения работают в облаке, а значительная часть атак начинается «изнутри» с захваченной учетной записи пользователя. Подход Zero Trust (нулевое доверие) переворачивает это предположение: ни одному пользователю, устройству или сети не доверяют из-за их местоположения; каждый запрос на доступ проверяется и ограничивается минимальными правами.

Источник: NIST SP 800-207

Документ SP 800-207 Национального института стандартов и технологий США определяет основные принципы архитектуры Zero Trust: все источники данных и службы рассматриваются как ресурсы, вся связь защищается независимо от сетевого расположения, доступ предоставляется на основе сеансов и с помощью динамической политики, а состояние активов постоянно мониторится. Эти принципы не зависят от конкретных продуктов; они могут быть реализованы с помощью инструментов, уже имеющихся у МСП.

Шаг 1: Идентичность в центре

Основой Zero Trust является надежная аутентификация. Минимальный применимый набор:

Многофакторная аутентификация (MFA) для всех корпоративных учетных записей; вместо SMS предпочтительнее использовать приложения или аппаратные ключи.
Единый вход (SSO) для сокращения количества учетных записей; доступ увольняющегося сотрудника должен отключаться из одного места.
Устранение общих учетных записей; «общий пароль администратора» несовместим с Zero Trust.

Шаг 2: Состояние устройства

Недостаточно того, чтобы учетная запись была правильной; подключающееся устройство также должно быть известным и актуальным. Практическим путем для небольших команд является ведение инвентаризации корпоративных устройств, обязательное шифрование дисков и автоматические обновления, а также ограничение доступа с личных устройств только определенными приложениями.

Шаг 3: Сегментация сети

Единая плоская сеть означает, что компрометация одного устройства приводит к компрометации всей сети. Серверы, пользовательские устройства, гостевая сеть и IoT-устройства (камеры, принтеры, внутрикомнатные телевизоры) должны находиться в отдельных сегментах; межсегментный трафик должен быть ограничен только необходимыми портами. Пример: внутрикомнатные IPTV-устройства обращаются только к серверу вещания, но никогда к серверу бухгалтерского учета.

# Пример (концептуальный) правила сегмента — только необходимый трафик
# исходный сегмент      целевой сегмент     порт     решение
kullanici_lan      -> uygulama_sunucu   443      разрешить
kullanici_lan      -> veritabani        5432     запретить
uygulama_sunucu    -> veritabani        5432     разрешить
misafir_wifi       -> *                 *        запретить (только интернет)

Шаг 4: Наименьшие привилегии и уровень приложения

Zero Trust — это не только сетевой вопрос; он применим и внутри самого приложения. Каждый пользователь должен видеть только те данные, которые необходимы для его работы, и это правило должно применяться на уровне базы данных (например, PostgreSQL Row Level Security). Права администратора не должны быть постоянными, они должны предоставляться по мере необходимости и на определенный срок.

Zero Trust — это не продукт, а привычка принимать решения: заставлять систему при каждом новом запросе на доступ задавать вопрос: «действительно ли этому человеку с этого устройства нужны эти данные в данный момент?».

Шаг 5: Видимость и логирование

Централизованный сбор журналов провайдера идентификации, сервера и приложений позволяет вовремя замечать необычное поведение (вход из другой страны посреди ночи, массовая загрузка данных). Сроки хранения журналов и права доступа к ним должны быть определены; журналы — это тоже данные.

Шаг 6: Переосмысление удаленного доступа

Классический VPN помещает пользователя внутрь сети; в подходе Zero Trust пользователь получает доступ только к нужному приложению после проверки подлинности личности и устройства. Для небольших команд промежуточные слои доступа на основе приложений (identity-aware proxy) делают этот переход возможным.

Zero Trust на уровне приложений: пример с PostgreSQL

Не менее важной, чем сегментация на сетевом уровне, является оценка приложением каждого запроса с учетом личности и полномочий пользователя. PostgreSQL Row Level Security переносит этот принцип на слой данных: какой бы запрос ни отправил клиент, условие политики будет применено.

-- Пример: доступ на основе филиалов (концептуальный)
alter table orders enable row level security;

create policy orders_by_branch on orders
  for select using (branch_id = any (current_user_branches()));

-- Даже администратор не видит всего; права на «все филиалы» выдаются отдельной ролью и на время.

Прелесть этого подхода заключается в том, что ошибка в коде приложения (забытое условие where) не превратится в утечку данных.

Временные права администратора

Постоянные права администратора — наиболее часто нарушаемый принцип Zero Trust. Практическая модель: отдельная учетная запись для административных операций, права которой активируются по мере необходимости и на определенный срок (например, один час), причина активации фиксируется в журнале, а по истечении времени она автоматически закрывается. В небольших командах это можно настроить с помощью простого процесса утверждения и запланированной задачи, без необходимости приобретения сложного продукта управления привилегированным доступом.

Доступ поставщиков и внешней поддержки

Поставщики программного обеспечения, бухгалтеры-консультанты и внешние группы поддержки получают доступ к системам; этот доступ зачастую является самым слабым звеном. Правила: отдельная учетная запись для каждого внешнего лица (никаких общих учетных записей «поддержки»), обязательная MFA, доступ только к соответствующему приложению и на время, все сеансы записаны. Отключение доступа по окончании контракта должно быть пунктом в контрольном списке.

Поэтапное внедрение: пример 90-дневного плана (вымышленный)

ПериодШагРезультат Первый месяцMFA, закрытие общих учетных записей, инвентаризация устройствСписок учетных записей, список устройств Второй месяцРазделение гостевых и IoT-сетей, инвентаризация внешних сервисовСхема сегментов, закрытые сервисы Третий месяцВнутриприложений RLS, централизованное логирование, временные права администратораТесты политик, правила предупреждений

Этот календарь является примером; он меняется в зависимости от размера и текущего состояния бизнеса. Важен порядок: сначала идентичность, затем сеть, затем приложение.

Распространенные заблуждения

«Zero Trust — это покупка продукта». Нет; это совокупность принципов, с которых начинают с использованием существующих инструментов. Продукты облегчают некоторые шаги, но не заменяют сам принцип.
«Если есть VPN, мы в безопасности». VPN помещает пользователя внутрь сети; Zero Trust требует ровно противоположного.
«Мы маленькие, нас не выберут целью». Автоматические атаки не выбирают цели; они ищут открытые порты и слабые пароли.
«Настраивается один раз и навсегда». Zero Trust — это процесс, который применяется заново с каждым новым приложением и каждым новым сотрудником.

Пункты управления доступом, сетевой безопасности и управления журналами из набора средств контроля ISO/IEC 27001:2022 в значительной степени совпадают с этими шагами; то есть путь Zero Trust также готовит почву для будущей сертификации, если таковая планируется. Услуга кибербезопасности от Cy Logic применяет этот подход в проектах программного обеспечения и инфраструктуры с этапа проектирования.