Gartner je v zadnjem četrtletju 2023 med 303 vodji varnosti izvedel anketo, ki je pokazala, da je 63 odstotkov anketiranih organizacij z vsega sveta v celoti ali delno uvedlo strategijo ničelnega zaupanja. Kot so odkrili pri Gartnerju, si 56 odstotkov organizacij prizadeva za strategijo ničelnega zaupanja predvsem zato, ker je navedena kot najboljša praksa v panogi.
"Kljub temu prepričanju podjetja ne vedo, katere so najboljše prakse za izvajanje strategije ničelnega zaupanja," je dejal John Watts, podpredsednik analitičnega oddelka KI Leader pri družbi Gartner.
V večini organizacij strategija ničelnega zaupanja običajno obravnava polovico ali manj okolja organizacije, pri čemer si zmanjšajo tveganja za četrtino ali manj.
Priporočila za uvajanje ničelnega zaupanja
Gartner je vodjem varnostnih služb, ki izvajajo strategijo ničelnega zaupanja, kot najboljšo prakso ponudil tri priporočila.
- Zgodnje določanje obsega strategije
Za uspešno izvajanje strategije morajo organizacije razumeti, kolikšen del okolja pokrivajo, katere domene so v obsegu in za koliko lahko zmanjšajo tveganja.
Ta strategija običajno ne vključuje celotnega okolja organizacije. Tako je recimo 16 odstotkov anketirancev izjavilo, da bo strategija pokrivala 75 odstotkov ali več okolja, medtem ko jih le 11 odstotkov meni, da bo pokrivala manj kot 10 odstotkov okolja organizacije.
"Obseg je najpomembnejša odločitev pri strategiji ničelnega zaupanja," pravi Watts. "Tveganje podjetja je veliko širše od obsega kontrol ničelnega zaupanja, zmanjšati pa je mogoče le toliko tveganja podjetja, kot ga zajamejo kontrole. Vsekakor predstavlja merjenje zmanjšanja tveganja in izboljšanja varnostne drže ključni kazalnik uspeha kontrol ničelnega zaupanja."
- Obveščanje o uspehu prek strateških in operativnih metrik
79 odstotkov organizacij, ki so v celoti ali delno uvedle ničelno zaupanje, ima strateške metrike za merjenje napredka, 89 odstotkov od njih pa ima vzpostavljene metrike za merjenje tveganja.
Varnostni vodje morajo pri sporočanju teh metrik upoštevati tudi svoje javnosti, še posebej, ker 59 odstotkov pobud za ničelno zaupanje podpirajo direktorji informatike, izvršni direktorji, predsedniki in upravni odbori.
Metrike ničelnega zaupanja morajo biti prilagojene glede na želene koristi uvedbe ničelnega zaupanja, pri čemer ne smejo ponavljati vrednotenj, ki se uporabljajo za druga področja, kot je recimo učinkovitost odkrivanja in odzivanja na končnih točkah.
- Predvidevajte povečanje števila zaposlenih in stroškov
62 odstotkov anketiranih organizacij pričakuje, da se bodo zaradi uvedbe ničelnega zaupanja povečali njihovi stroški, 41 odstotkov pa pričakuje tudi povečanje potreb po dodatnih kadrih. Za 78 odstotkov organizacij, ki že izvajajo strategijo ničelnega zaupanja, ta naložba predstavlja sicer manj kot 25 odstotkov celotnega proračuna za kibernetsko varnost, a vsekakor predstavlja finančno obremenitev, ki jo je treba obravnavati na strateški ravni.
Tekom uvajanja ničelnega zaupanja je 35 odstotkov organizacij naleteli na napako, ki je prekinila izvajanje strategije ničelnega zaupanja. Vendar prav strateški načrt z operativnimi metrikami in samo merjenje učinkovitosti politik ničelnega zaupanja zmanjšujeta tveganja za zamude pri uvedbi in povečujeta uspešnost strategije.
