Zero Trust i air gap bywają przedstawiane jako przeciwstawne podejścia: jedno zakłada szczegółową ocenę dostępu w połączonym środowisku, drugie usuwa połączenie. W rzeczywistości odpowiadają na różne pytania. Zero Trust zakłada brak zaufania wynikającego wyłącznie z lokalizacji sieciowej i wymaga jawnej oceny podmiotu, zasobu oraz kontekstu. Fizyczna izolacja pyta, czy ścieżka powinna w ogóle istnieć, gdy nie jest używana.
Połączenie obu mechanizmów może być szczególnie wartościowe dla systemów krytycznych dostępnych tylko okresowo. Air gap ogranicza czas osiągalności, a zasady Zero Trust kontrolują, kto i na jakich warunkach korzysta z połączenia po jego otwarciu. Ani fizyczna granica, ani silna polityka tożsamości nie powinny być traktowane jako samodzielna gwarancja bezpieczeństwa.
Najważniejsze wnioski
W skrócie
- Zero Trust usuwa domyślne zaufanie do użytkownika lub urządzenia na podstawie położenia w sieci.
- Fizyczna izolacja usuwa domyślną dostępność ścieżki, gdy komunikacja nie jest potrzebna.
- Otwarcie granicy powinno być poprzedzone oceną tożsamości, urządzenia, celu i ryzyka sesji.
- Płaszczyzna sterowania izolacją sama wymaga silnej ochrony, monitoringu i rozdziału obowiązków.
O co pyta Zero Trust
NIST SP 800-207 opisuje Zero Trust jako podejście, w którym nie udziela się niejawnego zaufania na podstawie fizycznej lub sieciowej lokalizacji. Decyzja o dostępie dotyczy konkretnego zasobu i uwzględnia tożsamość podmiotu, stan urządzenia, żądane działanie oraz dostępny kontekst. Dostęp jest możliwie wąski, a jego zasadność może być ponownie oceniana podczas sesji.
Zero Trust nie oznacza jednego produktu ani obowiązkowej likwidacji sieci. Wymaga inwentaryzacji zasobów, wiarygodnej tożsamości, mechanizmu egzekwowania polityki, telemetrii i zdolności reagowania. W środowisku OT część urządzeń nie obsługuje nowoczesnej tożsamości, dlatego decyzje mogą być egzekwowane przez bramy, punkty pośrednie i segmentację.
O co pyta fizyczna izolacja
Fizyczna izolacja zaczyna od prostszego pytania: czy ten system potrzebuje aktywnego toru komunikacji teraz? Jeżeli nie, tor może pozostać fizycznie przerwany. Mechanizm nie ocenia samodzielnie tożsamości użytkownika ani treści pakietów; ogranicza osiągalność przez zmianę stanu połączenia.
W ścisłym modelu air gap nie ma automatycznej ścieżki. W modelu kontrolowanym połączenie pojawia się dla zatwierdzonego zadania. To właśnie moment otwarcia łączy się naturalnie z Zero Trust: żądanie powinno dotyczyć konkretnego zasobu, celu, wykonawcy i czasu, a otwarta ścieżka nie może dawać szerszego dostępu niż wymaga zadanie.
Jedna decyzja łącząca oba podejścia
Przykładowa polityka może wymagać, aby technik miał indywidualne konto z MFA, korzystał z zarządzanego urządzenia o odpowiednim stanie bezpieczeństwa, posiadał zatwierdzone zlecenie i łączył się tylko do wskazanego zasobu. Dopiero po spełnieniu warunków otwierana jest fizyczna ścieżka na ograniczony czas. Firewall lub proxy egzekwuje dozwolone protokoły podczas sesji.
Decyzja nie powinna kończyć się w chwili otwarcia. Zmiana stanu urządzenia, przekroczenie czasu, nietypowy cel albo wycofanie zlecenia mogą spowodować zamknięcie sesji i fizycznej granicy. Log powinien łączyć ocenę polityki, stan połączenia i aktywność, aby zespół widział pełny kontekst zdarzenia.
Chroń płaszczyznę sterowania
Mechanizm otwierający połączenie staje się elementem o wysokiej wartości. Jeżeli napastnik może wydać polecenie bez właściwej autoryzacji, fizyczna granica traci znaczną część zapewnienia. Kanał sterowania powinien być oddzielony od chronionego toru danych, stosować indywidualne tożsamości, rejestrować decyzje i ograniczać uprawnienia do konkretnych urządzeń.
Dla krytycznych granic warto rozważyć rozdział obowiązków lub zatwierdzenie przez dwie osoby. Należy przetestować utratę łączności sterującej, zasilania, niespójny stan i próbę wielokrotnego otwarcia. Bezpieczny stan domyślny powinien być znany, a operator mieć niezależny sposób potwierdzenia rzeczywistego stanu fizycznego.
Umieść izolację w mapie wdrożenia Zero Trust
Nie zaczynaj od instalowania granic w wielu lokalizacjach. Najpierw zidentyfikuj zasoby, przepływy i właścicieli. Oceń dojrzałość tożsamości, urządzeń i monitoringu. Następnie wybierz jedną ścieżkę, która jest jednocześnie krytyczna i używana okresowo. Pilotaż powinien sprawdzić zarówno decyzję o dostępie, jak i fizyczne otwarcie oraz zamknięcie.
Wyniki włącz do szerszego programu: katalog zasobów, polityki dostępu, obsługa wyjątków, reagowanie i przegląd uprawnień. Fizyczna izolacja może być jednym z punktów egzekwowania polityki, ale nie powinna tworzyć odrębnego systemu bez właściciela i telemetrii. Skalowanie wymaga spójnego modelu nazw, ról, zdarzeń i dowodów.
Dojrzałość można zwiększać etapami. Na początku wystarczy jawne zatwierdzenie i ograniczenie czasu, później dochodzi automatyczna ocena stanu urządzenia, integracja z systemem tożsamości i ciągła analiza sesji. Każdy etap powinien zachowywać możliwość bezpiecznej pracy podczas awarii usług centralnych.
Przełóż połączenie mechanizmów na politykę
Polityka powinna być możliwa do przetestowania. Zamiast stwierdzenia „dostęp tylko dla uprawnionych” zapisz: konkretny zespół może otworzyć ścieżkę do wskazanego repozytorium na maksymalnie 45 minut, z zarządzanej stacji, po zatwierdzeniu zlecenia i z aktywnym monitoringiem. Po upływie czasu granica zamyka się niezależnie od stanu aplikacji.
Określ również zachowanie negatywne: brak zgodnego urządzenia, wygasłe zlecenie, niedostępny monitoring lub aktywny incydent blokują otwarcie. Dostęp awaryjny powinien mieć wyższy poziom zatwierdzenia, krótszy czas i obowiązkowy przegląd. Takie reguły łączą intencję Zero Trust z mierzalnym stanem fizycznej łączności.
Lista decyzyjna
Pytania, na które trzeba odpowiedzieć przed wdrożeniem
- Wskaż zasób, podmiot, urządzenie i cel każdej decyzji o dostępie.
- Zdefiniuj warunki, które muszą być spełnione przed otwarciem ścieżki.
- Ogranicz czas, protokoły i cele podczas aktywnego połączenia.
- Oddziel i zabezpiecz płaszczyznę sterowania fizyczną granicą.
- Połącz logi polityki, stanu połączenia i aktywności sesji.
- Przetestuj odmowę, odwołanie dostępu, awarię i scenariusz awaryjny.
Najczęstsze pytania
Pytania zadawane na początku
Czy air gap jest sprzeczny z Zero Trust?
Nie. Zero Trust określa sposób podejmowania i egzekwowania decyzji o dostępie, a air gap może usuwać ścieżkę, gdy dostęp nie jest uzasadniony. Mechanizmy mogą działać wspólnie na różnych warstwach.
Czy odłączony system nie potrzebuje kontroli tożsamości?
Potrzebuje jej przy każdym dostępie fizycznym, transferze ręcznym lub czasowym połączeniu. Izolacja nie rozwiązuje problemu osób wewnętrznych, urządzeń serwisowych ani uprawnień administratorów.
Czy AIRGAPNET jest produktem Zero Trust?
AIRGAPNET kontroluje stan fizycznej ścieżki Ethernet. Może uczestniczyć w architekturze realizującej zasady Zero Trust, ale kompletne podejście wymaga również tożsamości, polityki, telemetrii, ochrony urządzeń i procesów operacyjnych.
Źródła oficjalne