Kolme eri näkökulmaa samaan riskiin
Zero Trust tarjoaa arkkitehtuuriperiaatteen: luottamusta ei myönnetä verkon sijainnin perusteella, vaan pääsypäätös tehdään tunnistettujen ehtojen perusteella. NIS2-pohjainen sääntely korostaa organisaation riskienhallintaa, vastuita, jatkuvuutta ja toimitusketjua. ISO/IEC 27001 antaa hallintajärjestelmän riskien ja kontrollien johtamiseen.
Yhteinen nimittäjä on hallittu pääsy. Eri viitekehysten termejä ei kuitenkaan pidä esittää suorina vastaavuuksina ilman organisaatiokohtaista soveltamisalaa.
Rakenna kontrolliketju
Yksi käytännöllinen tapa kuvata yhteys on dokumentoida jokaisesta kriittisestä pääsypolusta seuraavat asiat.
- Liiketoimintariski ja suojattava palvelu
- Sallitut identiteetit, laitteet, käyttötarkoitukset ja aikarajat
- Tekninen ja hallinnollinen kontrolli sekä nimetty omistaja
- Hyväksynnöistä, muutoksista, lokeista ja katselmuksista syntyvä evidenssi
- Poikkeamamenettely, jatkuvuusratkaisu ja korjaustoimien seuranta
Pidä vaatimustenmukaisuusraja selvänä
Zero Trust -kartoitus voi tuottaa riskikuvan ja määrittää pääsynhallinnan kontrollien evidenssitarpeita. Se ei ole sertifiointi, viranomaisarvio tai oikeudellinen tulkinta.
Lopullinen soveltamisala ja riittävyys arvioidaan organisaation oman hallintajärjestelmän, lakisääteisten velvoitteiden ja toimivaltaisten arvioijien kautta. Selkeä rajaus lisää uskottavuutta ja ehkäisee väärää turvallisuuden tunnetta.
