Zero Trust – så funkar det!

När jag pratar med kunder som är på väg att starta sin molnresa, eller som redan har kommit en bit på väg, så är Zero Trust en benämning som dyker upp allt oftare. Men vad betyder det egentligen?

Även om konceptet inte är nytt så har det verkligen fått fart i och med att allt mer applikationsleverans rör sig åt ett Cloud Native-håll. Eftersom jag inser att "cloud native" inte är ett begrepp som är självklart för alla så tänkte jag börja med en mycket kort förklaring av det.

Ett enkelt sätt att uttrycka det är att det är ett samlingsnamn för alla teknologier, arkitekturmönster och utvecklingsmetoder som har vuxit fram tillsammans med - och drar nytta av - molntjänster. Några av de mest välkända exemplen är förmodligen containrar, mikrotjänster och serverlösa funktioner, tillsammans med en snabbt växande flora av verktyg för automation, konfigurationshantering, kontinuerlig leverans och orkestrering.

För den som är intresserad av att läsa mer om ämnet kan jag varmt rekommendera att besöka Cloud Native Computing Foundation som hittas på https://cncf.io.

Så, för att återgå till Zero Trust, var kommer det in i bilden?

Jo, en viktig aspekt hos Cloud Native-modellen är att den bygger på distribution, till skillnad från gamla tiders monolitiska applikationer. Istället för att ha all funktionalitet inkapslad i en entitet så består moderna molnbaserade applikationer i många fall av en mängd specialiserade tjänster, mikrotjänster, som kommunicerar med varandra. De här tjänsterna kan vara utvecklade av olika team, som i många fall inte ens tillhör samma organisation.

En annan viktig faktor är att det publika molnet i stor utsträckning suddar ut gränserna mellan privat och publikt. Vi som arbetat länge inom IT-drift har vant oss med att kunna skydda våra data bakom företagsbrandväggar och inuti segmenterade nätverk med olika zoner. I och med det publika molnet är det i många fall inte längre möjligt att göra på de sätt vi vant oss vid.

Om den nya, molnbaserade IT-världen inte längre är en inhägnad trädgård där jag känner till alla mina grannar, hur vet jag då vem jag ska lita på?

Och därmed kommer vi fram till en slutsats: Om den nya, molnbaserade IT-världen inte längre är en inhägnad trädgård där jag känner till alla mina grannar, hur vet jag då vem jag ska lita på? Kanske är det bästa att inte lita på någon annan än mig själv? Eller uttryckt på engelska: Zero Trust.

Det är precis det som är idén bakom Zero Trust. Istället för att anta att det är säkert att prata med alla som är i vårt nätverk, så utgår vi från att alla är okända och pratar inte med någon förrän de uttryckligen bevisat sin identitet.

I takt med att begreppet blivit allt mer spritt så har givetvis en lång rad företag och organisationer plockat upp det och tillhandahåller många olika lösningar och metoder för att implementera Zero Trust. Men i grund och botten så handlar det om ett synsätt på säkerhet som innebär att alla användare, enheter och tjänster måste autentisera sig mot en betrodd, gemensam identitetskälla innan de kan kommunicera med varandra. Till identiteten sedan knyts åtkomstkontroll och auktorisation för att få central kontroll över kommunikationen - även i väldigt komplexa och distribuerade miljöer.

Men i grund och botten så handlar det om ett synsätt på säkerhet som innebär att alla användare, enheter och tjänster måste autentisera sig mot en betrodd, gemensam identitetskälla innan de kan kommunicera med varandra.

En stor applikation kan bestå av hundratals, eller rent av tusentals mikrotjänster som interagerar på en mängd olika sätt, men genom att implementera Zero Trust – där ingen litar på någon om de inte explicit blivit tillsagda att göra det – så kan vi säkerställa att ingen information hamnar i fel händer på grund av någon felaktig interaktion som inte förutsetts av alla de olika parter som utvecklat systemet. Där finns den stora vinsten med Zero Trust.

Självklart är det här ett område där det går att dyka ner nästan hur djupt som helst, inte minst när vi börjar prata om specifika tekniska lösningar för att implementera konceptet. Det utrymmet finns inte här, men förhoppningsvis har begreppen klarnat något och vi hjälper mer än gärna till att guida vidare inom området.