Zero Trust w małej firmie zaczyna się od podejścia „identity-first”: MFA odpornego na phishing, porządku w kontach i uprawnieniach, kontroli urządzeń oraz segmentacji dostępu do danych. To najszybsza droga, by ograniczyć skutki phishingu i przejęć kont.
Czym jest Zero Trust w praktyce i dlaczego „VPN = bezpieczeństwo” już nie działa?
Zero Trust to podejście, w którym nie ufasz domyślnie – ani użytkownikowi, ani urządzeniu, ani sieci, nawet jeśli „jest w firmie”. Każde żądanie dostępu jest traktowane jako potencjalnie ryzykowne i powinno być:
- zweryfikowane (tożsamość, urządzenie, kontekst),
- ograniczone (najmniejsze uprawnienia),
- monitorowane (logi, wykrywanie anomalii),
- egzekwowane polityką (a nie uznaniowo).
W praktyce VPN daje tylko „tunel do środka”. Jeśli konto zostanie przejęte, atakujący często dostaje dokładnie to, co ma użytkownik. To sedno problemu, bo duża część naruszeń zaczyna się od człowieka i jego konta. W raporcie DBIR 2024 „czynnik ludzki” pojawia się w 68% naruszeń.
Od czego zacząć Zero Trust w firmie zatrudniającej 10–200 osób, żeby miało to sens i nie zabiło produktywności?
Najpierw zasada, którą powtarzam zarówno studentom, jak i klientom: Zero Trust to kolejność działań, a nie zakup jednego produktu.
Dla małej firmy najlepsza kolejność wygląda tak:
- Tożsamość i logowanie
- Urządzenia i ich stan
- Uprawnienia i dostęp do aplikacji
- Dane i kopie zapasowe
- Monitoring i reagowanie
Jest to też spójne z podejściem opartym na „filarach”, stosowanym w modelach dojrzałości Zero Trust.
Jak zbudować „minimum viable Zero Trust” w 30 dni?
Poniżej wersja, którą realnie da się wdrożyć w małej firmie bez ogromnego budżetu, o ile masz sensowną kontrolę nad IT.
1) Jak uporządkować tożsamości i konta jako fundament Zero Trust?
- Zrób listę: konta pracowników, konta współpracowników, konta serwisowe, konta administratorów.
- Wyłącz lub ogranicz nieużywane konta.
- Wprowadź zasadę: osobne konto administratora (nawet w małej firmie).
- Wymuś silne hasła tylko jako etap przejściowy, bo Twoim prawdziwym celem są metody odporne na phishing.
Efekt: mniej „cichych” kont, które są idealnym celem po wycieku haseł.
2) Jak wdrożyć MFA, żeby realnie blokowało przejęcia kont?
Dla małej firmy najlepszy start to:
- obowiązkowe MFA dla poczty, VPN, paneli administracyjnych, księgowości i CRM,
- preferowanie metod odpornych na phishing (FIDO2/WebAuthn, passkeys) dla administratorów i wrażliwych ról,
- ograniczenie SMS-ów i e-maili jako metody awaryjnej (to częsty wektor obejścia).
W podejściu Zero Trust MFA to nie „checkbox”, lecz warunek dostępu powiązany z ryzykiem.
3) Jak zapanować nad urządzeniami, żeby nie wpuszczać „nieznanych laptopów” do zasobów firmy?
- Określ, które urządzenia są zarządzane przez firmę.
- Wymuś szyfrowanie dysków, aktualizacje i blokadę ekranu.
- Ustal minimalny standard: wspierany, aktualny system operacyjny, EDR/antywirus, brak uprawnień lokalnego administratora „na co dzień”.
W praktyce to różnica między „konto przejęte” a „konto przejęte i atakujący od razu porusza się bocznie po sieci”.
4) Jak wyeliminować największy błąd: zbyt szerokie uprawnienia?
- Zrób szybki przegląd: kto ma dostęp do czego i dlaczego.
- Ogranicz dostęp do udziałów, paneli i danych do grup, a nie pojedynczych osób.
- Wprowadź zasadę: dostęp przyznawany jest na podstawie roli i potrzeby, a nie dlatego, że „ktoś poprosił”.
Tu Zero Trust daje natychmiastowy zwrot, bo ogranicza skalę szkód, nawet jeśli atak się powiedzie.
5) Jak ustawić logi i monitoring bez budowania „mini-SOC”?
W małej firmie nie zaczynasz od SIEM-a za fortunę. Zaczynasz od tego, by w ogóle mieć ślad:
- logi logowań do poczty i IdP,
- logi administracyjne (zmiany uprawnień, resety MFA),
- alerty o nietypowych logowaniach i masowych pobraniach danych,
- prosta retencja i osoba odpowiedzialna za przegląd alertów.
Mandiant podaje, że mediana dwell time w 2023 roku wyniosła 10 dni. Oznacza to, że bez sensownych alertów atakujący może pozostawać w środku „po cichu” wystarczająco długo, by wyrządzić realne szkody.
Jak wygląda praktyczny plan na 30–90 dni, gdy podstawy już działają?
Jak wdrożyć dostęp warunkowy i polityki oparte na ryzyku?
- Blokuj logowania z nietypowych lokalizacji, krajów lub sieci anonimizujących.
- Wymagaj silniejszego uwierzytelnienia przy wrażliwych operacjach (zmiany danych, eksporty, operacje finansowe).
- Ogranicz logowanie do paneli administracyjnych wyłącznie do urządzeń zarządzanych.
To klasyczny „Zero Trust policy engine” w praktyce, tylko wdrożony pragmatycznie.
Jak ograniczyć ruch boczny (lateral movement) w sieci, jeśli masz biuro i kilka serwerów?
- Segmentuj sieć: goście, IoT, komputery pracowników, serwery.
- Ogranicz ruch: zasada „tylko potrzebne porty i kierunki”.
- Zadbaj o to, by urządzenie użytkownika nie widziało wszystkiego „jak na dłoni”.
W małej firmie nawet prosta segmentacja często rozbraja najgorsze scenariusze ransomware.
Jak uporządkować dane, żeby Zero Trust obejmował „to, co najważniejsze”?
- Klasyfikuj dane: krytyczne, wrażliwe i zwykłe.
- Oddziel przechowywanie danych krytycznych od codziennych „udziałów”.
- Wprowadź kontrolę udostępnień i linków, zwłaszcza w narzędziach chmurowych.
Jak przejść na passwordless i czy ma to sens w małej firmie?
Ma sens, pod warunkiem że nie zepsujesz procesu odzyskiwania kont.
Dobre podejście:
- passwordless najpierw dla wrażliwych ról (administratorzy, finanse),
- potem dla reszty organizacji,
- zawsze z planem awaryjnym: co się stanie, jeśli ktoś zgubi telefon, zmieni urządzenie lub straci dostęp do klucza.
Passwordless jest elementem dojrzalszego IAM, ale samo w sobie nie „robi Zero Trust”, jeśli nadal masz szerokie uprawnienia i brak segmentacji.
Jakie błędy najczęściej zabijają Zero Trust w małej firmie?
- MFA włączone, ale niewymuszone dla wszystkich krytycznych usług.
- Metody odzyskiwania dostępu łatwiejsze do obejścia niż samo MFA.
- Wszyscy mają szerokie uprawnienia, „bo tak wygodniej”.
- Brak rozdzielenia kont administratorów i użytkowników.
- Brak logów i osoby odpowiedzialnej za przegląd alertów.
To rzeczy, które regularnie widzę w małych organizacjach po ich pierwszym incydencie.
Jak sprawdzić, czy Zero Trust faktycznie działa, a nie tylko „ładnie brzmi”?
Ustal 6 prostych mierników:
- % kont z MFA i % kont z MFA odpornym na phishing (dla ról krytycznych),
- liczba kont administratorów i czas korzystania z uprawnień administracyjnych,
- liczba wyjątków od polityk (i kto je zatwierdza),
- czas wykrycia nietypowego logowania i czas reakcji,
- liczba „niezarządzanych” urządzeń z dostępem do zasobów firmy,
- liczba zasobów z dostępem publicznym lub „dla wszystkich”.
Jeśli te liczby zmieniają się we właściwym kierunku, Zero Trust nie jest teorią – to realna zmiana poziomu ryzyka.
Źródła
- NIST SP 800-207: Zero Trust Architecture: (NIST Pubs)
- CISA: Zero Trust Maturity Model v2.0: (CISA)
- Verizon: 2024 Data Breach Investigations Report (m.in. 68% „human element”): (Verizon)
- Google Cloud / Mandiant: M-Trends 2024 (mediana dwell time 10 dni w 2023 roku): (services.google.com)