سالها معماری امنیت شبکه بر پایهی یک تصور ساده بنا شده بود: «داخل شبکه امنتر است، بیرون شبکه خطرناکتر.» نتیجهاش هم شد دیوار آتش، تفکیک محیط داخلی و خارجی، و اتکا به مرز شبکه بهعنوان نقطهی اصلی دفاع. اما دنیای امروز دیگر مثل گذشته نیست؛ سرویسهای ابری، دورکاری، موبایل، SaaS، زنجیره تأمین نرمافزار، و مهاجمانی که از طریق فیشینگ یا سرقت دسترسی وارد میشوند، همه باعث شدهاند «مرز» معنای قدیمیاش را از دست بدهد.
در چنین وضعیتی، زیرو تراست (Zero Trust) بهجای اینکه امنیت را به «مکان» و «مرز» گره بزند، به «هویت، وضعیت، و اثبات مداوم» گره میزند. یعنی حتی اگر چیزی داخل شبکه شما باشد، قرار نیست ذاتاً قابل اعتماد باشد. این نگاه، از یک شعار شروع میشود اما برای موفقیت نیاز به نقشهراه، اولویتبندی، و اجرای مرحلهای دارد—دقیقاً همان جایی که راهنماهای پیادهسازی زیرو تراست به کار میآیند.
زیرو تراست به زبان ساده: «هر درخواست باید دوباره ثابت کند حق دسترسی دارد»
زیرو تراست معمولاً با دو اصل کلیدی شناخته میشود:
هرگز اعتماد نکن، همیشه راستیآزمایی کن (Never trust, always verify)
نفوذ را فرض بگیر (Assume breach)
اصل اول یعنی احراز هویت و مجوزدهی باید «دائمی» و «پویا» باشد، نه یکبار برای همیشه. اصل دوم یعنی طراحی دفاعی شما باید طوری باشد که اگر مهاجم وارد شد، نتواند راحت در شبکه حرکت کند، دسترسیها را گسترش دهد، و به دادههای حیاتی برسد. در عمل، این دو اصل یعنی تمرکز روی چند محور: هویتها (انسانی و غیرانسانی)، دستگاهها، دادهها، برنامهها، شبکه/ارتباطات، و مشاهدهپذیری (Logging/Monitoring) برای تصمیمگیری.
مشکل اصلی: زیرو تراست «یک محصول» نیست، «یک سفر» است
یکی از اشتباهات رایج این است که سازمانها زیرو تراست را مثل خرید یک ابزار امنیتی میبینند: «فلان محصول را میخریم، تمام میشود.» اما واقعیت این است که زیرو تراست یک مدل عملیاتی است که باید در فرایندها، سیاستها، معماری، و حتی فرهنگ سازمانی جا بیفتد. به همین دلیل، راهنماهای خوب تأکید میکنند که نسخهی واحد و یکسان برای همه وجود ندارد؛ هر سازمان باید با توجه به وضعیت فعلی، شکافها، اولویتها، و محدودیتهایش مسیر پیادهسازی را انتخاب کند.
این دقیقاً همان نقطهای است که رویکردهایی مثل ZIG (راهنماهای پیادهسازی زیرو تراست) ارزش پیدا میکنند: به جای اینکه فقط بگویند «باید زیرو تراست باشید»، کمک میکنند آن را به مجموعهای از «قابلیتها» و «فعالیتهای قابل انجام» تبدیل کنید.
ZIG یعنی چه و چه کمکی میکند؟
ZIG را میتوان اینطور خلاصه کرد: یک بستهی راهنمای اجرایی که زیرو تراست را به شکل فعالیتهای مشخص، خروجیهای مورد انتظار و مسیر مرحلهای ارائه میدهد؛ بدون اینکه وابسته به یک فروشنده (Vendor) یا محصول خاص باشد.
ایدهی مرکزی این است:
1) زیرو تراست از «ستونها» تشکیل میشود (مثل هویت، دستگاه، شبکه، داده، برنامه/بارکاری و …).
2) هر ستون چند «قابلیت» (Capability) دارد. قابلیت یعنی چیزی که باید در سازمان بهعنوان توانمندی امنیتی ایجاد شود.
3) هر قابلیت با چند «فعالیت» (Activity) قابل تحقق است. فعالیت یعنی کار مشخصی که میشود آن را برنامهریزی، اجرا، و خروجیاش را سنجید.
این ساختار باعث میشود زیرو تراست از حالت مفهومی خارج شود و به زبان برنامهریزی پروژه تبدیل گردد: «چه کاری؟ توسط چه تیمی؟ با چه پیشنیازهایی؟ خروجی چیست؟»
چرا رویکرد مرحلهای مهم است؟ چون ۱۵۰+ فعالیت را نمیشود یکجا اجرا کرد
پیادهسازی زیرو تراست معمولاً شامل تعداد زیادی فعالیت است؛ اگر یکباره وارد اجرا شوید، یا هزینه میترکد، یا پروژه نیمهکاره میماند، یا تیمها خسته میشوند و همه چیز به چند تنظیم سطحی محدود میشود. به همین خاطر رویکرد مرحلهای (Phased) طراحی شده تا کارها قابل مدیریت شوند.
یک مدل رایج، فعالیتها را در چند فاز مرتب میکند:
- Discovery (کشف و شناخت وضع موجود)
- Phase One (ساخت پایههای امن و کنترلهای بنیادین)
- Phase Two (یکپارچهسازی کنترلها و اعمال سیاستهای زیرو تراست در سطح گستردهتر)
و سپس فازهای پیشرفتهتر (Advanced) که بسته به سازمان میتواند بعداً توسعه یابد.
در این مدل، سه فاز اول معمولاً شما را به سطح «هدف» یا Target-level میرساند؛ یعنی جایی که یک زیرو تراست عملی و قابل اتکا دارید، حتی اگر هنوز در سطح پیشرفتهترین پیادهسازیها نباشید.
فاز Discovery: اگر داراییها و جریانها را نشناسی، زیرو تراست را کورکورانه اجرا میکنی
Discovery شاید جذابترین بخش نباشد، اما حیاتیترین بخش است. زیرو تراست بدون شناخت دقیق از «چه چیزی داریم؟ چه کسی استفاده میکند؟ کجا ذخیره شده؟ چه ارتباطی با چه چیزی دارد؟» عملاً تبدیل میشود به حدس و گمان.
در Discovery معمولاً روی این خروجیها تمرکز میشود:
- فهرستبرداری از داراییها: سرورها، ایستگاهها، موبایلها، سرویسها، اکانتها، کلیدها، گواهیها و…
- نقشهی هویتها: کاربران انسانی، سرویساکانتها، ماشینها، APIها و هویتهای غیرانسانی
- شناخت برنامهها و وابستگیها: کدام برنامه به کدام دیتابیس یا سرویس متصل است؟ از کجا احراز هویت میشود؟
- طبقهبندی داده: دادههای حساس کجاست؟ چه کسی به آن دسترسی دارد؟
- مشاهدهپذیری پایه: لاگها، تلهمتری، و نقاط کور (Blind Spots) کجا هستند؟
اگر Discovery را خوب انجام دهید، در فازهای بعدی تصمیمها دقیقتر میشوند: میدانید اولویت با کدام سیستمها و کدام جریانهای حیاتی است.
فاز یک: ساخت «پایهی امن» قبل از اینکه سراغ سیاستهای پیچیده برویم
در فاز یک معمولاً هدف این است که کنترلهای پایهای زیرو تراست را برقرار کنید؛ چیزی شبیه ساخت فونداسیون. اینجا اغلب تمرکز روی «هویت» و «دستگاه» بسیار پررنگ است، چون بسیاری از نفوذها از همینجا شروع میشوند: سرقت اعتبارنامه، دستگاه آلوده، یا دسترسی بیشازحد.
نمونههایی از اقدامات رایج در فاز یک:
- تقویت احراز هویت: MFA برای دسترسیهای حساس، حذف استثناهای خطرناک، کاهش اتکا به پسورد
- حداقلسازی دسترسیها (Least Privilege): نقشها، گروهها، دسترسیهای ادمین، و سیاستهای موقتسازی دسترسی
- حالت/سلامت دستگاه (Device Posture): اینکه دستگاه وصله است؟ رمزگذاری دیسک دارد؟ EDR فعال است؟
- بهبود لاگ و مانیتورینگ: یکپارچهسازی لاگها، ثبت رخدادهای مهم، و ایجاد حداقل توان تشخیص
- سختسازی پایه: تنظیمات امنیتی استاندارد، بستن سرویسهای غیرضروری، و مدیریت پیکربندی
فاز یک قرار نیست همه چیز را کامل کند؛ قرار است «حداقلهای لازم» را ایجاد کند تا اجرای سیاستهای زیرو تراست در فاز دو قابل اتکا باشد.
فاز دو: یکپارچهسازی و اعمال زیرو تراست در مقیاس واقعی
در فاز دو، سازمان از مرحلهی «پایهسازی» عبور میکند و به سمت «یکپارچهسازی کنترلها» میرود. اینجا زیرو تراست بیشتر خودش را نشان میدهد: تصمیمگیریهای دسترسی بر اساس ترکیبی از هویت، دستگاه، زمینه (Context)، حساسیت داده، و ریسک.
در فاز دو معمولاً این اتفاقها پررنگتر میشود:
- سیاستهای دسترسی پویا (Conditional Access): مثلاً اگر دستگاه سالم نیست یا کاربر ریسک بالا دارد، دسترسی محدود یا قطع شود.
- قطعهبندی (Segmentation) و کنترل جریانها: کاهش امکان حرکت جانبی مهاجم (Lateral Movement)
- کنترل دسترسی به برنامهها و دادهها: با سیاستهای دقیقتر و نزدیکتر به سطح سرویس و داده
- همگرایی مشاهدهپذیری: تبدیل لاگها به هشدارهای قابل اقدام، و ایجاد بازخورد برای سیاستها
- استانداردسازی فرایندها: مدیریت تغییر، مدیریت هویتها، چرخه عمر دسترسیها، و پاسخ به رخدادها
در این فاز، خروجیها ملموستر است: کاربران کمتر دسترسی اضافه دارند، دستگاههای ناسالم محدود میشوند، و نفوذها سریعتر شناسایی و مهار میشوند.
«ستونها → قابلیتها → فعالیتها»: چطور از این ساختار برای برنامهریزی پروژه استفاده کنیم؟
اگر بخواهیم این ساختار را در یک برنامه عملی تبدیل کنیم، میتوانید این روش را به کار ببرید:
1) ستونهای اولویتدار را انتخاب کنید: مثلاً «هویت + دستگاه» برای شروع، چون بیشترین بازگشت امنیتی را دارد.
2) قابلیتهای هدف را مشخص کنید: مثلاً «احراز هویت قوی»، «حداقلسازی دسترسی ادمین»، «قابلیت ارزیابی سلامت دستگاه».
3) فعالیتها را به تسکهای قابل انجام تبدیل کنید: با مالک، پیشنیاز، خروجی، و معیار موفقیت.
4) وابستگیها را شفاف کنید: برخی فعالیتها پیشنیاز برخی دیگرند؛ برنامهریزی بدون دیدن وابستگیها باعث بنبست میشود.
5) خروجیها را قابل سنجش کنید: مثلاً درصد اکانتهای دارای MFA، درصد دستگاههای دارای رمزگذاری، یا کاهش دسترسیهای ادمین دائمی.
مزیت این روش این است که شما هم «دید کلان» دارید، هم «گامهای اجرایی». زیرو تراست از یک پروژهی مبهم تبدیل میشود به مجموعهای از کارهای قابل پیگیری.
چند اشتباه رایج در پیادهسازی زیرو تراست (و راه جلوگیری از آنها)
۱) شروع از ابزار به جای مسئله: اول شکافها و اولویتها را مشخص کنید، بعد ابزار را انتخاب کنید.
۲) نادیده گرفتن Discovery: بدون شناخت داراییها و جریانها، سیاستها یا خیلی سختگیرانه میشوند یا پر از استثنا.
۳) نداشتن معیار موفقیت: اگر نتوانید اندازهگیری کنید، نمیفهمید پیشرفت کردهاید یا نه.
۴) رها کردن مدیریت تغییر: زیرو تراست روی تجربه کاربر اثر میگذارد؛ بدون مدیریت تغییر و ارتباط با تیمها، مقاومت شکل میگیرد.
۵) یکپارچه نکردن مشاهدهپذیری: اگر سیاستها داده و بازخورد نداشته باشند، یا زیادی سفت میشوند یا زیادی شل.
اگر بخواهید همین هفته شروع کنید، این چکلیست کمکتان میکند:
داراییهای حیاتی و حساس را لیست کنید (سیستمهای کلیدی، دادههای حیاتی).
مسیرهای دسترسی مهم را مشخص کنید (چه کسی به چه چیزی از کجا وصل میشود).
وضعیت هویتها را بسنجید (MFA، اکانتهای ادمین، سرویساکانتها).
وضعیت دستگاهها را بسنجید (Patch، EDR، رمزگذاری، مدیریت مرکزی).
لاگهای پایه را یکپارچه کنید (حداقل برای نقاط حساس).
یک «پایلوت محدود» تعریف کنید (مثلاً یک برنامه یا یک تیم) و فاز یک را روی آن اجرا کنید.
زیرو تراست، یک برنامهی مرحلهای و قابل اندازهگیری است
زیرو تراست وقتی موفق میشود که از سطح شعار پایین بیاید و وارد زبان اجرا شود: «قابلیتها» و «فعالیتها» با خروجیهای مشخص. رویکرد مرحلهای به شما اجازه میدهد به جای یک پروژهی عظیم و فرسایشی، قدمهای منطقی بردارید: اول شناخت دقیق (Discovery)، بعد ساخت پایههای امن (Phase One)، و سپس یکپارچهسازی کنترلها و سیاستها (Phase Two). در نهایت هم مسیر برای بلوغ پیشرفتهتر باز میماند.
