Den gamla säkerhetsmodellen såg nätverket som en borg. Du byggde en stark perimeter, kontrollerade folk vid porten och litade på alla som var innanför. Den modellen sprack i samma stund som ditt team började jobba på distans, din data flyttade till molnet och dina leverantörer fick åtkomst till dina system. Det finns inget rent innanför och utanför längre.

Nolltillit utgår från ett annat antagande: ingen användare, enhet eller anslutning är betrodd som standard, oavsett var den befinner sig. Du verifierar varje begäran för sig, varje gång. Det låter som en säkerhetsfilosofi, och det är det, men det råkar också stämma nästan perfekt med vad moderna revisorer och tillsynsmyndigheter numera förväntar sig. Den här guiden går igenom grundtankarna i nolltillit och hur de kartläggs mot de ramverk du redan måste uppfylla.

Vad nolltillit egentligen betyder

Nolltillit är ingen produkt du köper eller en låda du installerar. Det är en designprincip: lita aldrig, verifiera alltid. Varje åtkomstbegäran måste bevisa vem som frågar, vad de använder och om de borde släppas in, utifrån aktuella signaler snarare än ett beslut du fattade för flera månader sedan.

Den förskjutningen spelar roll, för antagandena bakom perimetersäkerhet håller inte längre. En angripare som kommer över ett par inloggningsuppgifter ska inte få fritt spelrum i dina system. En laptop som var godkänd förra veckan ska inte få åtkomst om den halkat efter med uppdateringarna i dag. Nolltillit behandlar varje begäran som obetrodd tills motsatsen bevisats, vilket är precis den hållning en revisor vill se att du intar.

Identiteten är den nya perimetern

När nätverksgränsen löses upp blir identiteten det du faktiskt kan styra. Identitetsbaserad åtkomst innebär att varje beslut börjar med en verifierad användare eller tjänst, uppbackad av stark autentisering. Flerfaktorsautentisering slutar vara ett trevligt tillägg och blir baslinjen, för ett lösenord ensamt säger nästan ingenting.

Det är också här de flesta ramverk börjar. Både SOC 2 och ISO 27001 förväntar sig att du hanterar identiteter noggrant: unika konton, stark autentisering och en tydlig bild av vem som har åtkomst till vad. När identiteten är grunden i din åtkomstmodell slutar de kontrollerna vara pappersarbete och blir i stället själva sättet systemet fungerar på.

Lägsta behörighet som standard

Lägsta behörighet innebär att ge varje person och tjänst den minsta åtkomst som krävs för uppgiften, och inget mer. Det är lätt att säga och svårt att upprätthålla, för behörigheter tenderar att växa. Folk byter team, tar sig an projekt och behåller rättigheterna från varenda roll de någonsin haft.

Nolltillit tvingar dig att se varje tilldelning som medveten. Du ger åtkomst av ett skäl, du granskar den enligt ett schema och du tar bort den när skälet försvinner. Den disciplinen kartläggs direkt mot de kontroller för åtkomstgranskning som revisorer frågar om, och det är en av de första sakerna en säkerhetsgranskning nagelfar. När du kan visa en färsk granskning med ägare och beslut kopplade förvandlar du en svår fråga till ett kort svar.

Enhetsstatus som villkor

En verifierad användare på en komprometterad enhet är fortfarande en risk. Enhetsstatus tar in tillståndet hos enheten i åtkomstbeslutet: är disken krypterad, är operativsystemet uppdaterat, körs skyddet för slutpunkter? Klarar enheten inte kontrollen begränsas eller nekas åtkomsten, oavsett vem som håller i den.

Det täpper till en lucka som identiteten ensam inte kan. Det genererar också precis den sortens bevis som ramverk vill se kring hantering av slutpunkter och konfigurationsstandarder. I stället för att påstå att din flotta är krypterad och uppdaterad upprätthåller du det som ett villkor för åtkomst och sparar dokumentationen.

Segmentering begränsar skadeområdet

Segmentering delar upp din miljö i zoner så att åtkomst till en del inte lämnar över resten. Går något fel hålls skadan inom sitt område i stället för att sprida sig. Det är skillnaden mellan ett låst rum och ett öppet kontorslandskap.

För reglerade företag är det mer än god hygien. Både NIS2 och DORA förväntar sig att du begränsar hur långt en incident kan färdas och att du skyddar dina mest kritiska system hårdare än resten. Segmentering är hur du visar att en enda kompromettering inte sätter allt på spel, vilket är en fråga de här regelverken ställer rakt ut.

Kontinuerlig verifiering

Den sista biten är tid. En engångsinloggning i början av dagen säger ingenting om den timme då något går snett. Kontinuerlig verifiering fortsätter att kontrollera: värderar om sessioner, håller utkik efter riskabelt beteende och trappar upp autentiseringen när sammanhanget ändras.

Det är här nolltillit och kontinuerlig efterlevnad möts. Båda avvisar tanken att en kontroll du klarade en gång förblir sann för alltid. NIS2 förväntar sig i synnerhet löpande riskhantering snarare än en årlig ögonblicksbild, och kontinuerlig verifiering är hur du gör den förväntan till praktik i stället för att bara dokumentera den.

Så kartläggs nolltillit mot dina ramverk

Här är delen som förvandlar en säkerhetsstrategi till en efterlevnadsfördel. Kontrollerna som utgör nolltillit är samma kontroller som dina ramverk redan kräver, bara ordnade kring en tydligare princip.

• SOC 2 Type II bryr sig om åtkomstkontroller som fungerar över tid, vilket är precis vad kontinuerlig verifiering och åtkomstgranskningar visar.
• ISO 27001 förväntar sig identitetshantering, lägsta behörighet och segmentering som en del av ditt ledningssystem för informationssäkerhet.
• NIS2 höjer ribban för åtkomstkontroll, riskhantering och incidentbegränsning för väsentliga och viktiga verksamheter.
• DORA driver finansiella aktörer mot strikt åtkomststyrning och motståndskraft, där segmentering och lägsta behörighet gör verklig nytta.
• GDPR belönar lägsta behörighet direkt, för ju färre som kan nå personuppgifter, desto mindre är din exponering.

Bygg nolltillit en gång, så uppfyller du delar av alla fem samtidigt.

Att göra nolltillit till bevis

En princip en revisor inte kan se hjälper dig inte. Gapet de flesta team stöter på ligger mellan att göra nolltillit och att bevisa det. Du upprätthåller flerfaktorsautentisering, kör åtkomstgranskningar och segmenterar ditt nätverk, men bevisen ligger i fem olika verktyg och ingen kan samla ihop dem på begäran.

Det är här OptiTech gör strategin till ett program. I OptiTech Console kartlägger du varje nolltillitskontroll mot de ramverk den uppfyller, bifogar beviset som visar att den fungerar och håller kopplingen aktuell i stället för att bygga om den inför varje revision. När en revisor frågar hur du upprätthåller lägsta behörighet är kontrollen, ägaren och den senaste åtkomstgranskningen redan kopplade. Och eftersom samma program matar ditt trust center kan köpare se din hållning utan att vänta på ett säkerhetsformulär.

Din datalagring spelar också roll här. Med regioner enbart inom EU i Stockholm och Frankfurt kan du besvara frågorna om datalagring som ligger sida vid sida med åtkomstkontroll på varje seriös säkerhetsgranskning, utan att lägga till en brasklapp.

Kom igång

Du behöver inte bygga om allt på en gång. En praktisk väg ser ut så här:

1. Gör identiteten till grunden. Upprätthåll stark autentisering överallt och ge varje användare och tjänst en unik identitet.
2. Strama åt åtkomsten till lägsta behörighet. Granska vad folk kan nå, ta bort det de inte behöver och sätt ett schema för att fortsätta göra det.
3. Lägg till enhetsstatus och segmentering. Ta in enheternas tillstånd i åtkomstbesluten och avgränsa dina mest kritiska system.
4. Kartlägg kontroller mot dina ramverk och bevis. Koppla varje kontroll till de ramverk den uppfyller så att arbetet räknas en gång och bevisar många.

Nolltillit är ingen slutdestination du når och glömmer. Det är en hållning du behåller, och de företag som behåller den väl upptäcker att efterlevnad slutar vara ett separat projekt. Samma kontroller som håller angripare ute är de som revisorer och tillsynsmyndigheter vill se.

Redo att göra nolltillit till ett program du kan bevisa? Boka en demo och se hur OptiTech kartlägger dina kontroller mot dina ramverk och bevis.