Jy kan deesdae nêrens na 'n sekuriteitsgebeurtenis kyk sonder om die frase 'nul vertroue' te sien nie. Dis wel 'n modewoord, maar dis 'n nuttige een. Die kern daarvan is 'n fundamentele verskuiwing in sekuriteitsfokus weg van perimetersekuriteit.
Nul vertroue is reeds 'n ou term wat rondom 2010 in bedryfsjare opduik, maar die beginsels daarvan strek verder terug as dit tot die Jericho Forum, 'n versameling senior kuberveiligheidsbestuurders.
Lede van Jericho het die term 'deperimeterisering' omstreeks 2004 vir die eerste keer geskep. Dit het erken dat 'n 'ring van yster'-beskermende perimeter rondom die ondernemingsnetwerk nie meer genoeg was nie. Namate kontrakteurs en ander sakevennote meer toegang tot die netwerk gekry het, het die idee van 'n 'binne' en 'buite' toenemend ingewikkeld geword. Eens 'n kasteel met 'n grag, het die netwerk ontwikkel in 'n stad, met verskeie poorte en baie mense wat vrylik in en uit vloei.
Deperimeterisering en die opvolger daarvan, zero trust, het hul fokus verskuif na die beskerming van individuele bates binne die netwerk. Die beste manier om dit te doen, is om voortdurend te verifieer wie toegang tot daardie bates verkry het, en wat hulle toegelaat is om daarmee te doen. Dit het beteken dat daar op identiteit as die nuwe sekuriteit gefokus is.
Diegene wat nie daardie oorgang maak nie, loop die risiko van meer oortredings. ISMS-toestand van inligtingsekuriteitsverslag 2025 plaas selfs 'n syfer daarop: verifikasie-oortredings het die afgelope jaar tienvoudig toegeneem, van 2% tot 20% van voorvalle. Verizon se Data-oortreding bevestig dat geloofsbriewe die grootste aanvalsvektor bly.
Waarom geloofsbriewe die skeletsleutel geword het
Waarom het geloofsbriewe die skeletsleutel tot ondernemingstelsels geword? 'n Deel daarvan het te doen met die evolusie van die rand. Dit is moeilik om selfs die netwerkrand vandag te definieer, met soveel daarvan wat nou versprei is oor verskillende streeksdatasentrums en wolkdienste. Hibriede werk het ook 'n rol gespeel, wat die behoefte vir mense om op afstand toegang tot die netwerk te verkry, versnel het.
Nog 'n dryfveer was die inligtingsdief-ekonomie, wat geïndustrialiseer het. Hierdie wanware het in 2024 alleen 2.1 miljard geloofsbriewe gesteel, volgens GoogleSodra 'n inligtingsdief-veldtog aanmeldbewyse steel, is dit maklik om dit op die donker web te verkoop, en aanvallers wat geloofsbriewe steel, kan dit dan gebruik om digitale deurknoppe oor die internet te laat ratel.
Wanneer hulle wel 'n treffer kry en nog 'n rekening ontsluit, kan aanvallers seker wees dat hulle genoeg tyd sal hê om daardie gekaapte rekening te benut en weg te kom. Gemiddeld 292 dae, neem geloofsbriewe-oortredings ook die langste om op te spoor, volgens IBM.
Nie-menslike gebruikers oortref nou mense
Daar is nog 'n rede waarom identiteit toenemend belangrik geword het as deel van sekuriteit: nie-menslike identiteite. Destyds was die hoofgebruikers van ondernemingsrekenaarhulpbronne mense. Vandag, danksy mikrodienste, API's en 'n ontluikende generasie agentiese KI-dienste, is nie-menslike gebruikers mense in die minderheid 144:1 in ondernemings gedurende 2025. Dit was 56% hoër as die vorige jaar.
Die groei van KI-agente is veral relevant hier omdat daardie dienste meer outonoom word. Namate hulle vertroue in KI-outomatisering kry, is organisasies meer geneig om hierdie agente meer verantwoordelikheid te gee. Die persentasie van sulke dienste met bevoorregte toegang sal toeneem.
Identiteit is fundamenteel
Hierdie tendense is waarom voldoeningsraamwerke op identiteit fokus. ISO 27001:2022 Aanhangsel A 5.15-5.18 kodifiseer identiteitsbeheer as deel van 'n breër stel organisatoriese maatreëls wat toegangsbeheer, identiteitsbestuur, verifikasie-inligting en toegangsregte dek.
Robuuste sekuriteitsbeheerraamwerke deel 'n gemeenskaplike draad: elke identiteit moet uniek wees, die minste voorreg moet die norm wees, en ouditeerbaar. MFA moet verpligtend wees vir bevoorregte toegang.
Hierdie raamwerke se fokus op identiteit is tydig, aangesien reguleerders baie meer aandag aan hierdie kwessie gee. ENISA beskryf MFA as 'n slim manier om te wys dat jy aan NIS 2 voldoen. Maatskappye moet ag slaan, aangesien hierdie EU-regulasie boetes van tot €10 miljoen of 2% van die wêreldwye omset inhou vir organisasies wat nie daaraan voldoen nie.
Beweeg na 'n identiteitsgefokusde sekuriteitsposisie
So hoe kan maatskappye 'n identiteitsgebaseerde sekuriteitshouding aanneem wat onafhanklik is van amorfe omtrekgrense?
Daar is konkrete komponente wat nul vertroue onderlê. Sterk identiteits- en toegangsbestuur is een daarvan, wat behels dat elke gebruiker, diens en masjien uniek geïdentifiseer en voortdurend geverifieer word.
MFA is 'n duidelike manier om rekeningkaping te voorkom, maar dit is nie sonder risiko's nie. MFA-moegheid is werklik, terwyl proxy's ook gebruik kan word om MFA-sessies te onderskep, en inligtingsdiewe kan sessietokens steel. Tekendiefstal kan sommige MFA heeltemal omseil. In 2024, Microsoft het 147 000 tekenherhalingsaanvalle opgespoor, 'n styging van 111% teenoor die vorige jaar.
Wagwoordlose verifikasie met behulp van wagwoorde is nog 'n manier om te keer dat mense slagoffers van phishing-aanvalle word. Dit kan ook sommige van die gedrag stop wat eindgebruikers moeilik vind om te laat vaar wanneer hulle probeer om die werk gedoen te kry, soos om wagwoorde te deel vir gerieflike toegang.
Hierdie veranderinge mag dalk vir baie organisasies na uitdagende ondernemings lyk, veral dié wat hul IT-infrastruktuur oor tyd uit verskeie stelsels saamgestel het, deur verkrygings, gefragmenteerde spanne en strategiese tegnologieveranderinge. Maar hulle kan dinge makliker maak deur met 'n paar sleutelbeginsels te begin.
Implementeer ISO 27001 Aanhangsel A 5.15-5.18-kontroles as 'n basislyn. Dit sal jou lei in die beste praktyk implementering van toegangsbeleide, identiteitslewensiklusbestuur en verifikasiestandaarde. 'n Raamwerk soos hierdie sal jou 'n stewige grondslag in bestuur gee deur middel van maatreëls soos gereelde toegangsoorsigte.
Stem in om nie-menslike identiteite met dieselfde noukeurigheid wat op werknemers toegepas word, te inventariseer. Doen 'n gapingsanalise en kyk wat dit sou verg om omvattend rekening te hou met alle diensrekeninge en hul TLS-sertifikate of API-sleutels, byvoorbeeld.
Uiteindelik is die doel om te aanvaar dat identiteitssekuriteit nou 'n fundamentele deel van sekuriteitsbestuur is. Jy kan immers nie beskerm wat jy nie kan verifieer nie.
