Model "Zero Trust" dobio je snažan zamah tokom pandemije kovida 19, kada je rad na daljinu postao svakodnevica. Kompanije su morale da zaštite zaposlene koji su pristupali poslovnim sistemima s različitih lokacija, koristeći službene i lične uređaje.
U međuvremenu, razvoj vještačke inteligencije otvorio je nove izazove. Automatizovani agenti mogu obavljati zadatke brzinom i u obimu koji znatno nadmašuju ljudski rad, ali iste mogućnosti mogu koristiti i napadači.
Heder Adkins, potpredsjednica Googlea za bezbjednosni inženjering, i Arčana Ramamurti, viša direktorka za sajber bezbjednost i zaštitu podataka, u objavi na blogu kompanije objasnile su da AI mijenja osnovne pretpostavke poslovne bezbjednosti.
"Poslovno okruženje sada ulazi u novu eru koju oblikuje vještačka inteligencija, u kojoj AI mijenja pretpostavke o tome kako funkcioniše bezbjednost kompanija. AI agenti primjenjuju se širom svijeta kako bi ubrzali poslovne operacije i povećali produktivnost", napisale su.
Međutim, kako upozoravaju, veće mogućnosti istovremeno donose i nove rizike, navodi ITPro.
"Napadači mogu iskoristiti sličnu brzinu da kompromituju pristupne podatke s visokim ovlašćenjima i izvedu napade. To stvara potrebu za novim bezbjednosnim pristupom koji je sposoban da se odbrani od tih novih prijetnji", navele su.
"Beyond Zero" osmišljen je kao odgovor na takvo okruženje, u kojem zaštita mora pratiti i ljudske korisnike i automatizovane sisteme.
Googleovi inženjeri izdvajaju pet ključnih principa.
Umjesto širokog odobrenja pristupa čitavoj aplikaciji ili alatu, procjenjuje se svaka konkretna radnja i pristup određenom resursu.
Detaljna, unaprijed definisana pravila povezuju se s kontrolama koje pojačavaju zaštitu u složenim situacijama ili kada sistem prepozna veći rizik.
Sistem za donošenje odluka treba da raspolaže informacijama o tome na čemu korisnik treba da radi, kojim podacima pokušava da pristupi, šta namjerava da uradi s njima i koje mjere mogu smanjiti rizik.
Kada se pojave rizični signali, bezbjednosna provjera pokreće se odmah i samostalno. Sistem tada može zatražiti dodatnu provjeru korisnika ili primijeniti mjere ograničavanja aktivnosti.
Bezbjednosna pravila mogu zahtijevati da korisnik ili agent na zahtjev dostavi dodatne podatke potrebne za procjenu rizika, odnosno pokrenuti postupke za ograničavanje potencijalno opasnih radnji.
Din Gefen, osnivač i izvršni direktor kompanije NukuDo, koja se bavi razvojem kadrova za sajber bezbjednost, ističe da je "Zero Trust" uveo trajno važan princip: legitimni pristup ne treba poistovjećivati s neograničenim povjerenjem.
Prema njegovim riječima, mijenja se nivo na kojem se povjerenje procjenjuje. Fokus se proširuje s odluke o ulasku u sistem na detaljne odluke o pojedinačnim radnjama i resursima.
"Kako organizacije uvode više automatizacije i AI u svoja okruženja, utvrđivanje da li neki identitet treba da uđe u sistem predstavlja samo dio bezbjednosnog izazova", objasnio je Gefen.
"Organizacije moraju razumjeti i šta taj identitet ili agent pokušava da uradi, s kojim resursom komunicira, kakav je kontekst zahtjeva i koji je potencijalni rizik povezan s tom radnjom."
Ovo je naročito važno kod autonomnih AI sistema. Čovjek tokom dana može izvršiti desetine ili stotine operacija, dok veliki broj agenata može obaviti znatno više. Svaka od tih radnji mora biti usklađena s pravilima pristupa.
Iako je široku primjenu dobio znatno kasnije, istorija ovog koncepta seže do doktorske disertacije Stivena Pola Marša o računarskoj bezbjednosti iz 1994. godine, nastale na Univerzitetu u Stirlingu.
Ideja "nikada ne vjeruj, uvijek provjeravaj" dobila je veću pažnju 2009. godine, kroz rad Džona Kindervaga iz kompanije Forrester.
