Zero Trust - tietoturvan nykymalli
Kunnari, Irene (2020)
Kunnari, Irene
2020
Julkaisun pysyvä osoite on
https://urn.fi/URN:NBN:fi:amk-202004024346
https://urn.fi/URN:NBN:fi:amk-202004024346
Tiivistelmä
Tämä opinnäytetyö käsittelee vuonna 2010 kehitettyä uudenlaista tietoturvamallia, Zero Trustia. Zero Trust poikkeaa pitkään standardina olleesta, luotettavan sisäverkon suojeluun keskittyvästä tietoturvamallista, johon usein saatetaan viitata nimityksellä castle-and-moat-tietoturvamalli. Opinnäytetyön alussa esitellään yleisesti castle-and-moat-tietoturvamalli, sekä nykypäivän ympäristöihin paremmin skaalautuva Zero Trust-tietoturvamalli. Zero Trust-tietoturvamallin periaatteena on lähtökohta, jonka mukaan yksikään verkko ei ole vahvasta suojauksestaan huolimatta luotettava. Koko IT-ympäristö tulee rakentaa edellä mainitusta lähtökohdasta ja Zero Trustin mottoon ”Never Trust, Always Verify” heijastaen.
Zero Trustin pääperiaatteiksi opinnäytetyössä määritellään kolme Zero Trust-ympäristön rakentamisessa huomioon otettavaa osa-aluetta; mikrosegmentaatio, autentikointi ja pääsynvalvonta, sekä monitorointi. Nämä kolme tavoitetta luovat moniulotteisen, mutta dynaamisen, turvallisen ja helposti hallittavan IT-ympäristön, joka parhaimmillaan skaalautuu erilaisten yritysten olemassa oleviin ympäristöihin. Zero Trustia sekä siihen mahdollisesti liittyviä teknologioita ja palveluita käsitellään opinnäytetyötä varten hahmotellun kuvitteellisen esimerkkiyrityksen ympäristön kautta. Esimerkkiyrityksen Zero Trust-ympäristö ja sen esittely antaa konkreettisemman kuvan yhdenlaisesta mahdollisesta Zero Trust toteutuksesta. Konkreettisuuden lisäämiseksi, opinnäytetyössä on käytetty myös mahdollisesti kuluttajille tuttuja esimerkkejä Zero Trustia mukailevista menetelmistä. Opinnäytetyössä on myös tutkittu lyhyesti Googlen ja Gartnerin kehittämiä, omia versioitaan Zero Trust-tyyppisestä tietoturvan mallista.
Opinnäytetyö luo suomenkielisen materiaalin yksilöille ja yrityksille Zero Trustista kokonaisuutena, mistä suomenkielistä materiaalia muuten on hyvin rajoitetusti saatavilla. This thesis is about a new cybersecurity model Zero Trust, which was founded in 2010. Zero Trust is a new approach to cybersecurity compared to the traditional Castle and moat-model which concentrates on protecting the trusted private network. In the beginning of this thesis, the main differences between the Castle and moat-model and the new Zero Trust model as a more scalable solution into today’s environments are explained. The main idea of Zero Trust is that no network is trusted despite its strong security. The whole IT-environment should be built based on Zero Trust motto “Never Trust, Always Verify”.
In this thesis, the main principles for building Zero Trust environment are defined into three areas; micro-segmentation, authentication and access control, and monitoring. These principles together form a dynamic, secure and easily manageable IT-environment that its best scales into different, already existing environments. Technologies and services related to Zero Trust are presented from a view of an example case that is fictional 50-100 employee company. The example case gives the reader a more concrete description about Zero Trust’s possible implementations. Whenever possible, the thesis also includes consumer-friendly examples of technologies supporting Zero Trust. The thesis also includes a short research about Zero Trust based models by Google and Gartner.
This thesis provides novel Finnish material for individuals and companies to explore Zero Trust and its dimensions in cybersecurity.
Zero Trustin pääperiaatteiksi opinnäytetyössä määritellään kolme Zero Trust-ympäristön rakentamisessa huomioon otettavaa osa-aluetta; mikrosegmentaatio, autentikointi ja pääsynvalvonta, sekä monitorointi. Nämä kolme tavoitetta luovat moniulotteisen, mutta dynaamisen, turvallisen ja helposti hallittavan IT-ympäristön, joka parhaimmillaan skaalautuu erilaisten yritysten olemassa oleviin ympäristöihin. Zero Trustia sekä siihen mahdollisesti liittyviä teknologioita ja palveluita käsitellään opinnäytetyötä varten hahmotellun kuvitteellisen esimerkkiyrityksen ympäristön kautta. Esimerkkiyrityksen Zero Trust-ympäristö ja sen esittely antaa konkreettisemman kuvan yhdenlaisesta mahdollisesta Zero Trust toteutuksesta. Konkreettisuuden lisäämiseksi, opinnäytetyössä on käytetty myös mahdollisesti kuluttajille tuttuja esimerkkejä Zero Trustia mukailevista menetelmistä. Opinnäytetyössä on myös tutkittu lyhyesti Googlen ja Gartnerin kehittämiä, omia versioitaan Zero Trust-tyyppisestä tietoturvan mallista.
Opinnäytetyö luo suomenkielisen materiaalin yksilöille ja yrityksille Zero Trustista kokonaisuutena, mistä suomenkielistä materiaalia muuten on hyvin rajoitetusti saatavilla.
In this thesis, the main principles for building Zero Trust environment are defined into three areas; micro-segmentation, authentication and access control, and monitoring. These principles together form a dynamic, secure and easily manageable IT-environment that its best scales into different, already existing environments. Technologies and services related to Zero Trust are presented from a view of an example case that is fictional 50-100 employee company. The example case gives the reader a more concrete description about Zero Trust’s possible implementations. Whenever possible, the thesis also includes consumer-friendly examples of technologies supporting Zero Trust. The thesis also includes a short research about Zero Trust based models by Google and Gartner.
This thesis provides novel Finnish material for individuals and companies to explore Zero Trust and its dimensions in cybersecurity.