Network Security in Zero Trust

Abstract

Yritysverkot ovat perinteisesti olleet suljettuja verkkoja, joissa pääsynhallinta on sijannut pääosin verkon reunalla. Pääsy yrityksen verkkoon on tarkoittanut pääsyä myös yrityksen sisäisiin palveluihin. Nykyään, kun yritykset käyttävät entistä enemmän pilvipohjaisia palveluita, tämä lähestymistapa ei enää ole riittävä.

Zero Trust -konseptin pääperiaate on poistaa luottamus verkosta itsestään ja siirtyä verkon suojaamisesta palveluiden ja sovellusten suojaamiseen. Tässä työssä tutkitaan, miten yritys voisi hyödyntää Zero Trust -konsepteja verkon toteutuksessa sekä mikä vaikutus sillä on perinteisiin verkon tietoturvatoteutuksiin.

Tutkimus toteutettiin kokeellisena tutkimuksena, jossa kuvattiin ylätasolla kuvitteellisen yrityksen perinteisen verkon tietoturvamalli sekä sen toteutus Zero Trust -konseptilla esimerkkitoteutuksen kautta. Tutkimuksessa kuvataan Zero Trust -konseptiin liittyvää teoriaa sekä esitellään sen toteuttamiseen liittyviä käytännön lähestymistapoja.

Tutkimuksessa vertaillaan Zero Trust -esimerkkitoteutusta perinteisiin tietoturvamalleihin. Tutkimus tehtiin kuvaten aiheeseen liittyviä konsepteja ylätasolla, ja se ottaa enemmän kantaa Zero Trust -konseptin mahdollisiin toteutusmalleihin kuin tuotteiden ominaisuuksiin.

Tutkimuksen lopputuloksena todetaan, että Zero Trust -konsepteja käyttämällä yritys voi lisätä verkon tietoturvaa. Konseptin käyttöönotto kuitenkin vaatii yrityksiltä panostusta, sillä käyttöönotto vie aikaa ja perinteisen verkon tietoturvamallia joudutaan pitämään usein yllä samanaikaisesti Zero Trust -konseptin käyttöönoton ajan. Tämä luo yritykselle päällekkäisiä kustannuksia käyttöönoton ajan.

Enterprise IT networks have traditionally been closed networks with access controls mostly in network edges. Access to internal network has given automatically access to internal services as well. While companies have started to utilize more and more cloud-based services, this approach has become obsolete.

Key concept for Zero Trust is to remove trust element from network itself and focus on protecting the services and applications. Objective was to investigate if Zero Trust concepts could be utilized in enterprise to implement network security and observe how it would affect the traditional network security perimeter.

Research was implemented as constructive research, modelling an example Zero Trust implementation as a case study for imaginary company with traditional network security controls. Research approach was theoretical, first explaining the Zero Trust theory and describing different implementation approaches.

Later, the example Zero Trust implementation was evaluated against traditional network security models and standards to see how they compared. Research was kept in a high-level, focusing rather on Zero Trust concepts and principles instead of commercial Zero Trust products and their features.

It was concluded that Zero Trust concepts could be used to improve network security. While transforming into Zero Trust Enterprise, companies would have to run their traditional network security setup in parallel. Zero Trust implementation would not bring immediate monetary savings, but could offer instant security improvements compared to traditional network security designs.