Zero Trust Architecture Implementation: A Practical Guide for Businesses

روایتی پیری میٹر پر مبنی سیکیورٹی ماڈل --- "نیٹ ورک کے اندر ہر چیز پر بھروسہ کریں، باہر کی ہر چیز کو بلاک کریں" --- بنیادی طور پر ٹوٹا ہوا ہے۔ دور دراز کے کام، کلاؤڈ ایپلی کیشنز، اور موبائل آلات نے نیٹ ورک کے دائرے کو تحلیل کر دیا ہے۔ Forrester کی تحقیق سے پتہ چلتا ہے کہ 80 فیصد ڈیٹا کی خلاف ورزیوں میں سمجھوتہ شدہ اسناد شامل ہیں جو نیٹ ورک کے اندر استعمال کیے جا رہے ہیں، بالکل اسی جگہ جہاں پریمیٹر سیکیورٹی کوئی تحفظ فراہم نہیں کرتی ہے۔

زیرو ٹرسٹ مضمر اعتماد کو واضح تصدیق سے بدل دیتا ہے۔ اصول آسان ہے: کبھی بھروسہ نہ کریں، ہمیشہ تصدیق کریں۔ رسائی کی ہر درخواست کی توثیق، مجاز، اور خفیہ کردہ ہے قطع نظر اس کے کہ یہ کہاں سے شروع ہوتی ہے۔ یہ گائیڈ تمام سائز کے کاروبار کے لیے عملی نفاذ کا روڈ میپ فراہم کرتا ہے۔

---

زیرو ٹرسٹ کے بنیادی اصول

Principle 1: Verify Explicitly

رسائی کی ہر درخواست کی تمام دستیاب ڈیٹا پوائنٹس کی بنیاد پر تصدیق ہونی چاہیے:

• صارف کی شناخت (کون درخواست کر رہا ہے؟)
• ڈیوائس کی صحت (کیا ڈیوائس کے مطابق ہے؟)
• مقام (کیا یہ معلوم مقام ہے؟)
• سروس/کام کا بوجھ (وہ کس چیز تک رسائی حاصل کرنے کی کوشش کر رہے ہیں؟)
• ڈیٹا کی درجہ بندی (وسائل کتنا حساس ہے؟)
• بے ضابطگی کا پتہ لگانا (کیا یہ رویہ اس صارف کے لیے عام ہے؟)

اصول 2: کم سے کم استحقاق تک رسائی کا استعمال کریں۔

کام کے لیے درکار کم از کم اجازتیں دیں، کم از کم وقت کے لیے۔

اصول 3: خلاف ورزی فرض کریں۔

سسٹمز کو اس طرح ڈیزائن کریں جیسے حملہ آور پہلے سے ہی آپ کے نیٹ ورک کے اندر موجود ہوں:

• پس منظر کی نقل و حرکت کو محدود کرنے کے لیے نیٹ ورکس کو تقسیم کریں۔
• تمام ٹریفک کو خفیہ کریں، یہاں تک کہ اندرونی ٹریفک
• غیر معمولی رویے کی مسلسل نگرانی کریں۔
• خودکار خطرے کا جواب
• تفصیلی آڈٹ لاگز کو برقرار رکھیں

---

زیرو ٹرسٹ کے پانچ ستون

ستون 1: شناخت

شناخت ایک نیا دائرہ ہے۔ رسائی کا ہر فیصلہ شناخت کی تصدیق سے شروع ہوتا ہے۔

عمل درآمد کی فہرست:

• تمام صارفین کے لیے ملٹی فیکٹر توثیق (MFA)، کوئی استثنا نہیں۔
• تمام ایپلیکیشنز میں سنگل سائن آن (SSO)
• اہل درخواستوں کے لیے بغیر پاس ورڈ کی تصدیق (FIDO2، بایومیٹرکس)
• مشروط رسائی کی پالیسیاں (نئے مقامات/آلات سے MFA کی ضرورت ہے)
• ایڈمن اکاؤنٹس کے لیے مراعات یافتہ رسائی کا انتظام (PAM)
• شناخت کی حکمرانی (باقاعدہ رسائی کے جائزے، خودکار ڈیپروویژننگ)
• ناممکن سفر کا پتہ لگانا (ایک ہی صارف کے دو دور دراز مقامات سے لاگ ان ہونے پر الرٹ)

ستون 2: آلات

سمجھوتہ شدہ ڈیوائس پر تصدیق شدہ صارف اب بھی خطرہ ہے۔

عمل درآمد کی فہرست:

• ڈیوائس انوینٹری اور مینجمنٹ (MDM/UEM)
• رسائی دینے سے پہلے ڈیوائس کی صحت کا اندازہ
• تمام آلات پر خفیہ کاری درکار ہے (مکمل ڈسک کی خفیہ کاری)
• آپریٹنگ سسٹم اور سافٹ ویئر موجودہ ہونا چاہیے (پیچ کی تعمیل)
• اینڈ پوائنٹ کا پتہ لگانے اور رسپانس (EDR) انسٹال اور فعال
• پرسنل ڈیوائس پالیسی (BYOD) کم از کم حفاظتی تقاضوں کے ساتھ
• ہر رسائی کی درخواست پر ڈیوائس کی تعمیل کی جانچ کی جاتی ہے، نہ کہ صرف اندراج

ستون 3: نیٹ ورک

خلاف ورزیوں پر قابو پانے اور پس منظر کی نقل و حرکت کو محدود کرنے کے لیے نیٹ ورک کو الگ کریں۔

عمل درآمد کی فہرست:

• مائیکرو سیگمنٹیشن (ایپلیکیشن لیول نیٹ ورک کی پالیسیاں)
• ایپلیکیشن تک رسائی کے لیے سافٹ ویئر ڈیفائنڈ پریمیٹر (SDP)
• معلوم نقصاندہ ڈومینز کو بلاک کرنے کے لیے DNS فلٹرنگ
• خفیہ کردہ اندرونی ٹریفک (تمام داخلی APIs اور خدمات کے لیے TLS)
• فزیکل نیٹ ورک کنکشن کے لیے نیٹ ورک ایکسیس کنٹرول (NAC)
• دور دراز کے صارفین کے لیے صفر اعتماد نیٹ ورک رسائی (ZTNA) کے ساتھ VPN کی تبدیلی
• مشرقی مغربی ٹریفک کی نگرانی (پس منظر کی نقل و حرکت کا پتہ لگانا)

ستون 4: درخواستیں اور کام کا بوجھ

ایپلیکیشنز کو لازمی طور پر رسائی کے کنٹرول کو نافذ کرنا چاہیے اور استعمال میں ڈیٹا کی حفاظت کرنا چاہیے۔

عمل درآمد کی فہرست:

• درخواست کی سطح کی توثیق اور اجازت
• API سیکورٹی (تصدیق، شرح محدود، ان پٹ کی توثیق)
• کنٹینر اور سرور لیس سیکیورٹی اسکیننگ
• بے ضابطگیوں کے لیے درخواست کے رویے کی نگرانی
• شیڈو آئی ٹی کی دریافت اور گورننس
• SaaS سیکورٹی کرنسی مینجمنٹ (SSPM)
• ویب ایپلیکیشن فائر وال (WAF) عوام کو درپیش ایپلی کیشنز کے لیے

ستون 5: ڈیٹا

ڈیٹا حتمی اثاثہ ہے۔ صفر اعتماد کو مقام سے قطع نظر ڈیٹا کی حفاظت کرنی چاہیے۔

عمل درآمد کی فہرست:

• ڈیٹا کی درجہ بندی کی اسکیم (عوامی، اندرونی، خفیہ، محدود)
• ڈیٹا ضائع ہونے کی روک تھام (DLP) پالیسیاں نافذ
• حساس ڈیٹا کے لیے آرام اور ٹرانزٹ میں خفیہ کاری
• تمام حساس ڈیٹا آپریشنز کے لیے لاگنگ تک رسائی حاصل کریں۔
• دستاویز کی سطح کے تحفظ کے لیے ڈیٹا کے حقوق کا انتظام
• بیک اپ انکرپشن اور رسائی کنٹرولز
• ریگولیٹڈ ڈیٹا کے لیے ڈیٹا ریذیڈنسی کی تعمیل

---

نفاذ کا روڈ میپ

مرحلہ 1: بنیاد (ماہ 1-3)

اعلی سیکورٹی اثرات کے ساتھ فوری جیت:

1. تمام صارفین کے لیے MFA کو فعال کریں (مرحلہ وار ہونے پر منتظم اکاؤنٹس سے شروع کریں)
2. تمام SaaS ایپلیکیشنز کے لیے SSO لاگو کریں۔
3. تمام آلات پر اینڈ پوائنٹ کا پتہ لگانے اور رسپانس (EDR) تعینات کریں۔
4. اہم ایپلیکیشنز کے لیے مشروط رسائی کی پالیسیوں کو فعال کریں۔
5. تمام ایپلیکیشنز اور ڈیٹا اسٹورز کی انوینٹری

بجٹ کا تخمینہ: SMB کے لیے $5K-$30K، وسط مارکیٹ کے لیے $30K-$150K

فیز 2: مرئیت (ماہ 3-6)

1. مشرق-مغربی ٹریفک کے لیے نیٹ ورک مانیٹرنگ تعینات کریں۔
2. شناخت کے تجزیات کو لاگو کریں (غیر معمولی رسائی کے نمونوں کا پتہ لگائیں)
3. ڈیٹا کی درجہ بندی کی مشق کریں۔
4. کلاؤڈ سیکورٹی کرنسی کے انتظام کو تعینات کریں
5. سیکورٹی آپریشنز مانیٹرنگ قائم کریں (SIEM یا مساوی)

بجٹ کا تخمینہ: SMB کے لیے $10K-$50K، وسط مارکیٹ کے لیے $50K-$250K

مرحلہ 3: نفاذ (ماہ 6-12)

1. اہم ایپلی کیشنز کے لیے مائیکرو سیگمنٹیشن لاگو کریں۔
2. VPN کو تبدیل کرنے کے لیے ZTNA تعینات کریں۔
3. ایپلیکیشن تک رسائی کے لیے ڈیوائس کی تعمیل کے تقاضوں کو نافذ کریں۔
4. درجہ بند ڈیٹا کے لیے DLP پالیسیاں لاگو کریں۔
5. صارف کی فراہمی اور فراہمی کو خودکار بنائیں

بجٹ کا تخمینہ: SMB کے لیے $20K-$100K، وسط مارکیٹ کے لیے $100K-$500K

مرحلہ 4: اصلاح (ماہ 12-18)

1. خطرے پر مبنی انکولی تصدیق کو نافذ کریں۔
2. خودکار خطرے کا جواب (SOAR) تعینات کریں
3. OT/IoT آلات پر صفر اعتماد کو بڑھائیں (اگر قابل اطلاق ہو)
4. واقعے اور آڈٹ کے نتائج کی بنیاد پر مسلسل بہتری
5. سالانہ دخول کی جانچ اور ریڈ ٹیم کی مشقیں۔

---

زیرو ٹرسٹ میچورٹی ماڈل

---

زیرو ٹرسٹ کی تاثیر کی پیمائش

---

متعلقہ وسائل

• زیرو ٹرسٹ آرکیٹیکچر برائے انٹرپرائز --- اعلی درجے کے زیرو ٹرسٹ تصورات
• کلاؤڈ سیکیورٹی کے بہترین طرز عمل --- کلاؤڈ ماحول میں صفر اعتماد
• واقعہ رسپانس پلان ٹیمپلیٹ --- جب صفر اعتماد خلاف ورزی کا پتہ لگاتا ہے
• سیکیورٹی کمپلائنس فریم ورک گائیڈ --- تعمیل کی سیدھ

---

زیرو ٹرسٹ وہ پروڈکٹ نہیں ہے جسے آپ خریدتے ہیں --- یہ ایک فن تعمیر ہے جسے آپ وقت کے ساتھ بناتے ہیں۔ شناخت کے ساتھ شروع کریں (سب کے لیے MFA)، مرئیت شامل کریں (جانیں کہ آپ کے نیٹ ورک پر کیا ہے اور یہ کیسے برتاؤ کرتا ہے)، پھر نافذ کریں (ہر رسائی کی درخواست کی تصدیق کریں)۔ سفر میں 12-18 مہینے لگتے ہیں، لیکن حفاظتی کرنسی میں بہتری فوری طور پر شروع ہو جاتی ہے۔ ECOSIRE سے رابطہ کریں زیرو ٹرسٹ آرکیٹیکچر کی تشخیص اور نفاذ کی منصوبہ بندی کے لیے۔