Proč Zero Trust

Tradiční "perimetr + VPN" model selhává — uživatelé pracují z domova, kaváren, hotelů. Cloudové aplikace jsou mimo váš firewall. Útočník, který prolomí VPN, má přístup ke všemu.

Zero Trust = žádný implicitní trust. Každý požadavek se ověřuje, autorizuje a loguje.

3 principy

1. Ověřuj explicitně — vždy, ne jen na perimetru
2. Least privilege — jen minimální nutná oprávnění
3. Assume breach — předpokládej, že útočník je uvnitř

5 kroků pro SMB s 20-50 zaměstnanci

Krok 1: Identita (Okta/Entra ID + MFA)

• Všichni uživatelé v Entra ID (Azure AD) nebo Okta
• MFA povinné pro všechno (phishing-resistant: FIDO2 klíče nebo Windows Hello)
• Privileged accounts: PIM (Entra ID P2) nebo Okta IGA
• Náklady: $6/user/mo Entra ID P1, $9/user/mo P2

Krok 2: Zařízení (Intune/MDM)

• Všichni pracovní zařízení v Intune nebo Mosyle
• Compliance: encryption at rest, OS patch, EDR přítomen
• Náklady: $8/device/mo Intune Plan 1 (součást Microsoft 365 Business Premium)

Krok 3: Aplikace (Cloud App Security)

• Katalogovat všechny SaaS aplikace (BetterCloud, Zylo)
• Nasadit Microsoft Defender for Cloud Apps nebo Netskope
• Conditional access policies (jen compliant zařízení, jen z povolených zemí)
• Náklady: $3/user/mo Defender for Cloud Apps

Krok 4: Síť (Zero Trust Network Access)

• Nahradit VPN: Cloudflare Zero Trust, Zscaler Private Access, nebo Tailscale
• App-level tunely (ne network-level)
• Inline DLP inspekce
• Náklady: $7/user/mo Cloudflare Zero Trust (50 uživatelů)

Krok 5: Data (DLP + šifrování)

• Klasifikovat data (Sensitivity labels v M365)
• DLP politiky (čísla karet, PII nesmí opustit firmu)
• Šifrování at rest + in transit
• Náklady: Součást Microsoft 365 Business Premium nebo P2

Minimální stack pro 25-user SMB

Praktické tipy

• Nekupujte všechno najednou — postupně, podle rizika
• Pilot na 5 lidech — IT tým + 1-2 power users
• Změřte MFA adoption rate, zařízení compliance rate, conditional access blocks
• Dokumentujte výjimky — kdo, proč, do kdy

Bezpečnostní sada za ~$1,100/měsíc pro 25 uživatelů = dosažitelné pro většinu SMB.

Více zdrojů: https://linktr.ee/hermesalexcarter

#zerotrust #bezpecnost #smb #it