Što je Zero Trust model sigurnosti?

Question

Accepted Answer

**Zero Trust** je model sigurnosti zasnovan na principu **nikada ne vjeruj, uvijek provjeri** — umjesto da se vjeruje bilo čemu na temelju mjesta u mreži (interno vs vanjsko), svaki zahtjev za pristup se autentificira, autorizira i provjerava. Rješava neuspjehe tradicionalne perimetrske sigurnosti.

## Problem s perimetrskom sigurnosti

```text
TRADITIONAL ("castle and moat") security:
  → a strong PERIMETER (firewall); trust everything INSIDE the network
  ✗ once an attacker gets IN (breach, insider, compromised device), they move FREELY
    (lateral movement) — the inside is implicitly trusted
  ✗ doesn't fit modern reality: cloud, remote work, mobile, distributed services (no clear
    perimeter)
```

## Zero Trust: nikada ne vjeruj, uvijek provjeri

```text
ZERO TRUST assumes NO implicit trust — verify EVERY request regardless of location:
  → AUTHENTICATE & AUTHORIZE every access (every request, every resource), inside or out
  → "assume breach" — act as if attackers are already inside
  → LEAST PRIVILEGE → minimal access; verify continuously (identity, device, context)
  → MICRO-SEGMENTATION → limit lateral movement (a breach in one area is contained)
→ trust is never assumed based on network location; it's continuously established.
```

## Ključne komponente

```text
✓ Strong IDENTITY & authentication (MFA); verify the user AND device
✓ Least-privilege, fine-grained access control (per resource); continuous verification
✓ Micro-segmentation; encrypt everything; monitor/log all access (detect anomalies)
✓ Context-aware policies (who, what, where, device posture, behavior)
```

## Zašto je važno

Razumijevanje Zero Trust modela sigurnosti vrijedno je znanje na razini seniora jer je to **važan moderni pristup sigurnosti** koji rješava neuspjehe tradicionalne perimetrske sigurnosti, sve više se usvaja u modernim okruženjima, pa je relevantno za sigurnu arhitekturu.

Razumijevanje **problema s perimetrskom sigurnosti** — tradicionalnog modela "dvorca i željeznog rova" koji vjeruje svemu unutar mreže, koji pada jer kada napadač uđe (preko provjere, insajdera ili zaraženog uređaja) mogu se **slobodno kretati (bočni pokret)**, i što ne odgovara modernoj stvarnosti (cloud, udaljeni rad, mobilnost, distribuirane službe bez jasnog perimetra) — objašnjava zašto je potreban novi pristup. **Zero Trust** to rješava s principom **nikada ne vjeruj, uvijek provjeri**: pretpostavljajući nikakvo implicitno povjerenje, autentificirajući i autorizirajući **svaki zahtjev bez obzira na lokaciju**, **pretpostavljajući da je došlo do kršenja** (delujući kao da su napadači već unutar), primjenjujući **najmanju privilegiju** s kontinuiranom provjerom, i koristeći **mikro-segmentaciju** da se sprječenije kršenja i ograniči bočni pokret.

Razumijevanje tih principa — i da povjerenje nikada nije pretpostavljeno na temelju mjesta u mreži već se kontinuirano uspostavlja — hvata suštinu modela.

Razumijevanje **ključnih komponenti** — jakog identiteta i autentifikacije (MFA, provjera korisnika i uređaja), pristupa s najmanjom privilegijom s finom granularnom kontrolom, mikro-segmentacije, enkripcije, sveobuhvatnog praćenja i politika svjesnih konteksta — odražava kako se Zero Trust primjenjuje.

Zero Trust je sve više moderni standard za arhitekturu sigurnosti, posebno jer cloud i udaljeni rad rastapaju tradicionalni perimetar, čineći ga relevantnim znanjem za trenutni siguran dizajn.

Pošto tradicionalna perimetrska sigurnost pada u modernim distribuiranim/cloud/udaljenim okruženjima (omogućujući bočni pokret nakon kršenja) i Zero Trust to rješava s principima nikada-ne-vjeruj-uvijek-provjeri (kontinuirana provjera, najmanja privilegija, pretpostavi-kršenje, mikro-segmentacija), i pošto se sve više usvaja kao moderni pristup sigurnosti, razumijevanje Zero Trust modela sigurnosti je vrijedno znanje na razini seniora — važan moderni sigurnosni paradigma koji rješava neuspjehe perimetrske sigurnosti, sve više relevantan za cloud i distribuirana okruženja, i što odražava suvremeno razmišljanje o arhitekturi sigurnosti očekivano za više uloge koja osmišljavaju sigurnost modernih sustava.