Zero Trust modely

Proč Zero Trust v éře hybridních sítí

Tradiční perimetrická bezpečnost vychází z předpokladu, že vnitřní síť je „důvěryhodná“ a internet je „nedůvěryhodný“. S nástupem cloudových služeb, mobilní práce, IoT a partnerkých integrací se ale perimetr rozpadl. Zero Trust proto přináší paradigma „nikdy nevěř, vždy ověř“ a posouvá řízení rizik z hranice sítě ke každému uživateli, zařízení, aplikaci i datům. V oblasti Firewall a VPN to znamená přechod od plošné konektivity k jemnozrnné autorizaci a segmentované, dynamicky vyhodnocované komunikaci.

Definice a principy Zero Trust

• Žádná implicitní důvěra: Neukládá se předpoklad, že vnitřní síť je bezpečná. Každý požadavek se ověřuje.
• Kontinuální verifikace: Identita, stav zařízení, kontext a riziko se validují při každém přístupu a průběžně během relace.
• Nejmenší možná privilegia (PoLP): Přidělují se pouze nezbytná oprávnění pro konkrétní úlohy a na omezený čas.
• Mikrosegmentace: Síť je rozdělena na malé, izolované zóny s granularity na úrovni aplikací a služeb.
• Viditelnost a telemetrie: Rozhodování je řízeno daty (identity signály, posture, chování, anomálie).

Referenční rámce a standardy

Zero Trust není produkt, ale architektonický model. Opírá se o rámce jako NIST SP 800-207 (Zero Trust Architecture), CSA, ISO/IEC 27001/27002 a MITRE ATT&CK pro mapování hrozeb. Tyto referenční body pomáhají definovat policy decision points (PDP) a policy enforcement points (PEP), governance i metriky zralosti.

Architektonické stavebnice Zero Trust

• Identita a přístup (IAM/IdP): Silná identita (MFA, phishing-resistant metody), životní cyklus účtů, správa rolí a atributů.
• Správa oprávnění (PAM/JIT/JEA): Privilegovaný přístup na dobu nezbytnou, se schvalováním a auditní stopou.
• Stav a důvěryhodnost zařízení (EMM/MDM/EDR): Posture assessment (šifrování, aktualizace, EDR), atestace a neustálá kontrola souladu.
• Policy Engine a Context: PDP vyhodnocuje pravidla na základě identity, zařízení, lokace, času, citlivosti dat a rizika.
• Policy Enforcement: PEP na úrovni aplikace, proxy/agentů, síťových prvků a koncových bodů vynucuje rozhodnutí PDP.
• Telemetrie a analytika (SIEM/XDR/UEBA): Sběr, korelace a detekce anomálií, které krmí risk-engine a adaptivní politiky.

Zero Trust Network Access (ZTNA) vs. tradiční VPN

VPN poskytuje síťové tunelování do privátního segmentu, často s plnou boční konektivitou po autentizaci. ZTNA zveřejňuje pouze konkrétní aplikace a kontextově je propouští po ověření identity a stavu zařízení. Klíčové rozdíly:

• Granularita: VPN = síťový přístup; ZTNA = aplikační přístup (L7).
• Bezbočnostní postoj: VPN implicitně důvěřuje interní síti; ZTNA aplikuje PoLP a kontinuální ověřování.
• Viditelnost: ZTNA poskytuje detailní audit na úrovni žádostí, zatímco VPN obvykle loguje relace a objem.
• Rizikově řízené přístupy: ZTNA adaptivně upravuje politiky podle risk score (např. vyžádá silnější MFA či zablokuje přístup).

Role moderního firewallu v Zero Trust

Firewall již není pouze hranicí sítě, ale jedním z PEP v rámci Zero Trustu. Evoluce zahrnuje:

• L7 NGFW s kontrolou aplikací, IPS, filtrací DNS/URL a TLS dešifrováním (selektivním, s respektem k regulacím a soukromí).
• Distribuované vynucování: Host-based firewally a micro-policy agenty přenášejí enforcement ke zdrojům a uživatelům.
• Segmentace: NGFW/SDN síťové politiky a microsegmentace (např. na úrovni VM, kontejnerů, služeb).
• Integrace s identitou: Dynamické adresáře, skupiny a atributy v ACL (identity-aware firewally).

Software-Defined Perimeter (SDP) a aplikační publikace

SDP vytváří dynamické, individuální perimetry okolo aplikací. Princip „controller-gateway-client“ umožňuje autentizovat a autorizovat dříve, než je navázána jakákoli síťová komunikace. Výsledkem je skrytí aplikací (zero exposure) a minimalizace útokové plochy.

SASE a SSE: konvergence bezpečnosti a konektivity

SASE (Secure Access Service Edge) a SSE (Secure Service Edge) kombinují ZTNA, SWG, CASB/DLP, FWaaS a často SD-WAN. Přinášejí jednotnou politiku, inspekci a telemetrii napříč lokalitami, cloudem a uživateli. Zero Trust tak získává konzistenci a škálovatelnost.

Mikrosegmentace a řízení bočního pohybu

Zero Trust omezuje laterální pohyb útočníků pomocí mikrosegmentace a jemnozrnných politik. Klíčové přístupy:

• Identita a značení zdrojů: Tagy/labely pro služby, data a workloady (VM, kontejnery, serverless).
• Deklarativní politika: „Kdo může k čemu, jak, kdy a odkud“ na aplikační vrstvě.
• Just-in-time connectivity: Dynamické, časově omezené povolení toků.
• Traffic baselining: Povolení pouze známých, zdokumentovaných komunikací (allow-listing).

Ochrana dat v Zero Trust: DLP, šifrování a klasifikace

Data jsou chráněna od zdroje k uživateli: klasifikace a značení citlivosti, šifrování v klidu i za provozu, řízení sdílení (CASB), kontrola exfiltrace (DLP) a ochrana dokumentů (IRM) včetně prosazování politik i po opuštění perimetru.

Bezpečnost koncových bodů: EDR/XDR v roli senzorů i PEP

EDR/XDR agenty poskytují telemetrii o procesech, paměti, síťových spojeních a uživatelské aktivitě. V Zero Trustu mohou vynucovat politiky (blokovat rizikové akce), vyžadovat re-MFA nebo přepnout klienta do režimu „zvýšené kontroly“ při podezřelém chování.

Identity first: MFA a odolnost proti phishingu

Zero Trust vyžaduje silné ověření: FIDO2/WebAuthn, hardwarové klíče, platform autentikátory. Podmíněný přístup (CA) zohledňuje lokace, zařízení, citlivost aplikace, známé kompromitace a útokové signály (risk-based policies).

Zero Trust a OT/IoT prostředí

V průmyslu a IoT jsou běžná heterogenní, často nezáplatovatelná zařízení. Zero Trust zde staví na segmentaci (např. podle typů zařízení a kritičnosti), protokolových proxyn, pasivní identifikaci aktiv, síťových TAP/SPAN senzorech a politikách, které minimalizují přístup pouze na nezbytné služby.

Integrace s existujícími VPN: cesta evoluce

Zero Trust neznamená okamžité vypnutí VPN. Praktický postup:

1. Inventura aplikací a mapování datových toků.
2. Prioritizace podle citlivosti a rizika (rychlé vítězství: admin rozhraní, databáze, HR/finanční systémy).
3. Parallel-run: ZTNA pro vybrané aplikace, VPN ponechána pro zbytek.
4. De-scoping VPN: postupné omezování přístupů, zavádění aplikačních politik a JIT/JEA pro privilegované práce.

Provozní model: PDP, PEP a rozhodování v reálném čase

Rozhodovací logika může být centralizovaná (cloud PDP) nebo distribuovaná (edge). Důležitá je latence, spolehlivost a možnost „graceful degradation“ (např. cache posledního důvěryhodného stavu). PEP musí podporovat transactional enforcement – změna rizika během relace může vést k „step-up“ ověření či odpojení.

Metriky a KPI Zero Trust programu

• Pokrytí MFA a typy faktorů (odolné vs. neodolné).
• Mean Time to Detect/Respond (MTTD/MTTR) z pohledu XDR/SIEM.
• Podíl mikrosegmentovaných toků vs. plošných pravidel.
• Počet výjimek a jejich doba trvání (SLA pro výjimky).
• Drift politik (nesoulad mezi deklarovaným a efektivním stavem).
• Úspěšnost step-up MFA a míra zablokovaných rizikových přístupů.

Governance, risk a compliance (GRC)

Zero Trust vyžaduje jasnou správu politik: vlastníky aplikací, dat a přístupů, formalizované procesy pro schvalování, recertifikace přístupů (SoD), řízení výjimek a průběžné testování (red teaming, purple teaming). Soulad s regulací (např. GDPR) zahrnuje minimalizaci dat, zásadu nezbytnosti a auditovatelnost.

Nejčastější chyby při implementaci

• „Produkt = Zero Trust“: Nákup nástroje bez architektonické změny nepřinese očekávaný efekt.
• Přílišná síťová orientace: Ignorování identity, dat a aplikací vede k polovičatému řešení.
• Trvalé výjimky: Dočasné obchvaty se stávají standardem a erodují princip PoLP.
• Nedostatek telemetrie: Rozhodování bez dat vede k falešným povolením nebo přísným blokacím.
• Zapomenuté služby: Shadow IT a „zombie“ účty/klíče mimo governance.

Postup implementace: praktická roadmapa

1. Strategie a scope: Vymezit kritické aplikace a datové domény. Stanovit cílový stav a milníky.
2. Identita první: Zavést odolné MFA, sjednotit IdP a zlepšit hygienu účtů (JML procesy).
3. Viditelnost: CMDB/inventura aktiv, mapování toků, zapnutí telemetrie (XDR/SIEM, flow, proxy logy).
4. Rizikové politiky: Definovat podmíněný přístup a minimální privilegia; stanovit standardy segmentace.
5. Pilot ZTNA/SDP: Aplikační publikace pro vybrané kritické systémy; měření dopadu a UX.
6. Microsegmentace: Postupné zavádění podle clusterů služeb; automatizace politik (IaC).
7. SASE/SSE konsolidace: Unifikace inspekce, DLP a politik pro větve, cloud a vzdálené uživatele.
8. Automatizace a reakce: Orchestrace (SOAR), playbooky, JIT/PAM, kontinuální testování a recertifikace.

Zero Trust v multicloudu a Kubernetes

V prostředí IaaS/PaaS je nutné sjednotit identitu pracovních zátěží (service accounts, workload identity), používat policy as code (OPA/Rego), síťové politiky (např. Kubernetes NetworkPolicies/Service Mesh), tajemství v trezorech (KMS/HSM) a automatizovat posuzování souladu (CSPM/KSPM).

Role kryptografie a klíčové praktiky

• TLS všude s moderními sadami šifer, PFS a důsledným obratem klíčů/certifikátů (automatizace ACME).
• Šifrování dat v klidu (disky, databáze, objekty) s jasnou správou klíčů (rotace, přístupové politiky, audit).
• Integritní ochrany a podepisování artefaktů (supply chain security, SBOM, atestace buildů).

Bezpečnostní modely komplementární k Zero Trust

• Security by Design/Default: Bezpečnostní požadavky již v návrhu, defaultně uzavřené konfigurace.
• Defense in Depth: Více vrstev ochrany (identita, síť, endpoint, aplikace, data).
• Least Functionality: Redukce povrchů – vypínání nepotřebných služeb a portů.
• Continuous Compliance: Průběžná validace konfigurací a politik, ne jednorázové audity.

Model rozhodování: příklad politik podmíněného přístupu

Následující matrice ilustruje, jak může PDP rozhodovat podle rizika:

Rizikový signál	Stav zařízení	Citlivost aplikace	Akce PEP
Nízký	Kompatibilní	Nízká/Střední	Povolit bez step-up; sledovat telemetrii
Střední	Kompatibilní	Střední/Vysoká	Vyžádat step-up MFA; omezit funkce (read-only)
Vysoký	Nekompatibilní	Vysoká	Blokovat; izolovat relaci; spustit playbook reakce

Bezpečnostní testování a průběžné ověřování

Zero Trust vyžaduje iterativní validaci: bezpečnostní testy (STM, pen-testy), simulace útoků (BAS), red/purple teaming, chaos engineering bezpečnosti a pravidelné cvičení incident response. Politiky se revidují podle zjištění a měnících se hrozeb.

Uživatelská zkušenost a adopce

Zero Trust může zlepšit UX: bezheslové přihlášení, přístup k aplikacím bez plné VPN, menší počet výjimek a rychlejší schvalování díky JIT. Klíčová je komunikace změn, školení, měření dopadu na produktivitu a péče o edge případy (externisté, BYOD, offline scénáře).

Ekonomika Zero Trust: náklady a přínosy

Přímé náklady: licencování ZTNA/SSE, IdP/MFA, EDR/XDR, integrace a provoz. Nepřímé úspory: menší rozsah incidentů, kratší MTTR, nižší zátěž správy pravidel, lepší auditní připravenost, rychlejší onboarding/oddělení uživatelů a aplikací, snížení technického dluhu v bezpečnosti.

Use-cases ve sféře Firewall a VPN

• Administrátorské přístupy: JIT PAM s přístupem na skryté admin rozhraní přes ZTNA + step-up FIDO2.
• Partnerské integrace: Publikace jediných potřebných API endpointů místo plné site-to-site VPN.
• Home-office: Aplikační přístup bez boční konektivity; izolace nekompatibilních BYOD do prohlížečového izolátoru.
• Citlivé databáze: Mikrosegmentace, proxy s protokolovou inspekcí a řízený přístup pouze skrze broker.

Závěr: Zero Trust jako nepřetržitý program

Zero Trust není jednorázový projekt, ale dlouhodobý program, který sjednocuje identitu, síť, aplikace a data pod konzistentními, daty řízenými politikami. V oblasti firewallů a VPN znamená přesun od tunelování sítí k bezpečnému, kontextovému a auditovatelnému přístupu k aplikacím. Úspěch stojí na viditelnosti, automatizaci a kultuře, která dává bezpečnost na první místo již v návrhu.