Af Lars Bennetzen, Alt om Data
Denne artikel er oprindeligt bragt på Alt om Data. Computerworld overtog i november 2022 Alt om Data. Du kan læse mere om overtagelsen her.
En af de metoder virksomheder i stigende grad gør brug af for at beskytte sig mod cyberkriminalitet er at prioritere den såkaldte zero trust-metode. Det viser en ny undersøgelse fra sikkerhedsfirmaet Ericom.
Selskabet har spurgt omkring 1300 sikkerhedseksperter. 80 procent af dem har planer om at bruge denne metode i deres sikkerhedssetup inden for de næste 12 måneder. Over halvdelen, 56 procent, har planer om at gøre det allerede inden for de næste 6 måneder.
Et krav fra regeringen
Beslutningen er dog ikke kun drevet af sikkerhedsmæssige bekymringer. 83 procent af virksomhedslederne fortæller i undersøgelsen, at det er en beslutning taget af strategiske årsager.
Det gælder ikke mindst virksomheder, der har kontrakter med amerikanske offentlige institutioner.
Det amerikanske forsvarsministerium har for nylig gjort zero trust til et krav for alle, der arbejder for eller med amerikanske institutioner.
Definitionen på zero trust
Zero trust bliver mere og mere udbredt som princip. Men hvordan skal man egentlig forstå det?
Der er ingen autoriseret beskrivelse af det, men nogle generelle metoder. Det store amerikanske it-selskab Palo Alto Networks beskriver det således:
”Zero trust er et strategisk initiativ, der hjælper med at forhindre succesrige dataindbrud ved at eliminere begrebet tillid fra en organisations netværksarkitektur. Med rod i princippet om "Stol aldrig på noget, få alting bekræftet”."
Herhjemme udbredes princippet også. I en tidligere artikel i AOD beskriver Christian Mark fra det danske it-selskab Progressive zero trust således:
”I sikkerhedsverdenen arbejder vi med begrebet “zero trust”, som direkte kan oversættes til, at virksomheden ikke skal stole på nogen eller noget. Nogen vil måske sige, det smager lidt for meget af paranoia, men i en tid, hvor hackerangrebene har rigtig mange forskellige ansigter, giver det god mening som udgangspunkt at betragte ethvert log-on-forsøg som et forsøg på kriminel indtrængen i virksomhedens netværk. Det betyder, at enhver adgang til data skal verificeres, og at det ikke engang er nok, at det sker fra en ip-adresse, som er godkendt af virksomheden.”
