Zero Trust, noul standard în securitate cibernetică: Ce înseamnă și de ce contează?

Securitatea cibernetică s-a schimbat radical în ultimii ani, nu doar pentru că atacatorii sunt mai sofisticați, ci și pentru că modul în care lucrează organizațiile nu mai seamănă deloc cu cel de acum un deceniu. O companie nu mai are, în practică, un singur sediu, câteva servere și o rețea internă bine delimitată. Astăzi există angajați care lucrează de acasă, aplicații în cloud, dispozitive personale conectate la resurse de business, furnizori terți cu acces la sisteme critice și volume uriașe de date care circulă permanent între medii diferite. În acest context, vechiul model de securitate, bazat pe ideea unui „castel” bine apărat la exterior și relativ sigur la interior, a devenit insuficient. Tocmai de aici pornește relevanța conceptului Zero Trust. NIST definește Zero Trust drept un set evolutiv de paradigme de securitate care mută accentul de pe perimetrele statice de rețea pe utilizatori, active și resurse.

Pe scurt, Zero Trust înseamnă că nu mai presupui automat că cineva sau ceva este de încredere doar pentru că se află „în interiorul rețelei”. Nu mai tratezi accesul intern ca fiind implicit sigur și nu mai pornești de la premisa că un dispozitiv conectat la infrastructura companiei merită, prin simpla lui prezență, libertate de mișcare. CISA și NSA formulează aceeași idee în termeni foarte direcți: organizația trebuie să opereze cu mentalitatea că o breșă este posibilă sau chiar deja prezentă, iar accesul trebuie verificat continuu, limitat strict la ce este necesar și monitorizat permanent.

Tocmai de aceea, Zero Trust nu mai este privit ca un moft teoretic sau ca un buzzword bun pentru prezentări corporate. În multe industrii a devenit cadrul de referință pentru modernizarea securității. NIST a transformat conceptul într-o arhitectură clară prin SP 800-207, CISA l-a dezvoltat într-un model de maturitate, iar NSA a extins în 2024 și 2026 ghidurile de implementare pe piloni și faze concrete. Cu alte cuvinte, nu mai vorbim despre o idee vagă, ci despre un model operațional care influențează tot mai vizibil felul în care organizațiile își proiectează accesul, identitatea, segmentarea și răspunsul la incidente.

Ce este, de fapt, Zero Trust

Cea mai simplă explicație pentru Zero Trust este aceasta: nimeni nu primește încredere implicită. Nici utilizatorul, nici laptopul, nici aplicația, nici serverul, nici dispozitivul IoT, nici măcar o conexiune care vine dintr-o zonă considerată tradițional „sigură”. Fiecare cerere de acces este evaluată în funcție de context. Cine cere acces, de pe ce dispozitiv, din ce locație, la ce resursă, cu ce nivel de risc, cu ce tip de autentificare și pentru cât timp. NIST subliniază că o arhitectură Zero Trust folosește principii Zero Trust pentru a planifica infrastructura și fluxurile de lucru astfel încât accesul să fie acordat dinamic, granular și bazat pe politici.

Asta nu înseamnă că Zero Trust este un produs pe care îl cumperi și îl instalezi într-o după-amiază. Este mai degrabă o filozofie tehnică și operațională care se traduce în mai multe mecanisme: autentificare puternică, verificare continuă a identității, evaluarea stării dispozitivului, politici de acces cu privilegii minime, microsegmentare, monitorizare permanentă și automatizare a răspunsului. CISA tratează maturizarea Zero Trust pe mai mulți piloni, inclusiv identitate, dispozitive, rețea, aplicații și date, tocmai pentru a arăta că modelul nu poate fi redus la o singură soluție, cum ar fi autentificarea multifactor.

Aici este și una dintre cele mai frecvente confuzii. Multe organizații cred că, dacă au activat MFA și folosesc un VPN, sunt deja „aproape Zero Trust”. În realitate, acestea sunt doar câteva piese dintr-un puzzle mult mai mare. Zero Trust cere ca accesul să fie decis în mod continuu și contextual, nu doar la momentul autentificării inițiale. Un utilizator autenticat corect dimineața poate deveni un risc după-amiaza dacă dispozitivul său este compromis, dacă încearcă să acceseze resurse neobișnuite sau dacă un comportament anormal sugerează compromitere de cont. Exact această trecere de la încredere statică la evaluare dinamică este esența modelului.

Mai important este că Zero Trust nu pleacă de la paranoia inutilă, ci de la realism. Modelul recunoaște că rețelele moderne sunt prea complexe și prea distribuite pentru a mai funcționa sănătos pe baza graniței clasice dintre intern și extern. Odată ce ai aplicații SaaS, medii multi-cloud, echipe remote, integrare cu parteneri și infrastructuri hibride, granița tradițională devine aproape simbolică. NIST și CISA insistă exact pe această idee: securitatea trebuie mutată mai aproape de resursă și de identitate, nu lăsată să depindă exclusiv de poziția în rețea.

Vezi și:

Kaspersky avertizează: AI-ul poate modifica complet chipurile oamenilor, dar sistemele biometrice îi recunosc în continuare

Portofelul digital european: promisiune de identitate sau încă un cont de gestionat

De ce modelul vechi nu mai este suficient

Ani la rând, multe companii au funcționat pe o logică simplă: dacă ești în interiorul rețelei, primești mai multă libertate; dacă ești în afara ei, treci prin controale mai dure. Modelul a avut sens într-o epocă în care datele și aplicațiile stăteau aproape exclusiv în centre de date controlate local, iar angajații lucrau mai ales din birouri. Problema este că această împărțire a devenit depășită. Astăzi, o bună parte din resursele critice nu mai sunt „în sediu”, iar utilizatorii legitimi pot lucra din aproape orice colț al lumii. În același timp, atacatorii profită tocmai de acest amestec pentru a se infiltra prin conturi compromise, endpoint-uri vulnerabile sau servicii slab segmentate.

În vechiul model, dacă un atacator reușea să intre în rețea, de multe ori găsea prea multă libertate de mișcare. Putea explora sisteme, putea căuta privilegii mai mari, putea face mișcare laterală și putea ajunge în zone sensibile fără să fie oprit suficient de repede. Zero Trust atacă exact această problemă. Nu încearcă doar să blocheze intrarea, ci și să limiteze drastic ce se poate întâmpla după un compromis inițial. NSA a insistat în mai multe ghiduri recente că organizațiile trebuie să opereze cu presupunerea că amenințările există deja în interiorul mediului lor și că arhitectura trebuie să reducă oportunitățile de exploatare a lacunelor.

Contează și faptul că atacurile moderne nu mai arată ca în filme. De foarte multe ori nu încep prin spargerea spectaculoasă a unui firewall, ci printr-un credential furat, o sesiune hijacked, o aplicație prost configurată sau un laptop care pare legitim. Într-un astfel de scenariu, simplul fapt că cineva a trecut de prima poartă nu mai spune mare lucru. Tocmai de aceea, Zero Trust tratează accesul ca pe o serie de verificări repetate, nu ca pe un bilet unic de intrare. Dacă contextul se schimbă, se schimbă și drepturile. Dacă riscul crește, accesul poate fi redus, reautentificat sau blocat.

În plus, presiunea de reglementare și de guvernanță internă împinge și ea organizațiile în această direcție. CISA folosește modelul de maturitate Zero Trust ca instrument practic pentru modernizare, iar în SUA conceptul a fost împins puternic și la nivel federal după ordinul executiv din 2021 privind îmbunătățirea securității cibernetice. Chiar și pentru companiile private din afara administrației americane, acest lucru contează, pentru că marile standarde operaționale tind să fie preluate rapid de furnizori, parteneri și piețe întregi.

Cum funcționează în practică

În practică, Zero Trust înseamnă o serie de decizii tehnice foarte concrete. Primul pilon este identitatea. Cine ești și cât de sigur este sistemul că tu ești, într-adevăr, persoana sau serviciul care pretinzi că ești. Aici intră autentificarea multifactor, managementul identității, controlul privilegiilor și revizuirea permanentă a drepturilor. NSA a publicat ghiduri dedicate maturizării identității, credentialelor și controlului accesului tocmai pentru că acest pilon este considerat fundația întregii arhitecturi.

Al doilea pilon este dispozitivul. Zero Trust nu întreabă doar cine ești, ci și de pe ce dispozitiv încerci să accesezi resursele. Este un laptop administrat corect, patch-uit, criptat, cu agent de securitate activ și fără semne de compromitere, sau este un dispozitiv vechi, neconform, care încearcă să intre într-un sistem sensibil? În multe implementări mature, accesul nu este condiționat doar de parolă și MFA, ci și de „starea de sănătate” a terminalului. Dacă endpoint-ul nu respectă politicile, accesul poate fi redus sau refuzat. CISA include explicit componenta de device maturity în modelul său.

Al treilea pilon este rețeaua și segmentarea. Aici apare microsegmentarea, una dintre ideile cele mai puternice din Zero Trust. În loc să ai o rețea internă mare în care multe sisteme se văd între ele prea ușor, fragmentezi accesul astfel încât doar conexiunile strict necesare să fie permise. Dacă un atacator compromite o stație sau un server, capacitatea lui de a se deplasa lateral este mult redusă. CISA are resurse dedicate inclusiv pentru microsegmentare în context Zero Trust, iar NSA a publicat ghiduri pentru maturizarea pilonului de rețea și mediu.

Al patrulea pilon este aplicația și workload-ul. Într-o lume cloud-native și hibridă, protecția nu se oprește la utilizatori umani. Serviciile, API-urile, containerele și workload-urile trebuie și ele tratate după aceleași principii. NIST a extins cadrul inițial prin SP 800-207A tocmai pentru a oferi un model de control al accesului în aplicații cloud-native și medii multi-locație. Asta arată clar că Zero Trust nu este doar o temă de rețea, ci una care se mută tot mai mult în stratul aplicației și al identității serviciilor.

Ultimul pilon major este protecția datelor și observabilitatea. Zero Trust cere monitorizare continuă, telemetrie, analiză de comportament și politici care urmăresc nu doar cine accesează datele, ci și ce face cu ele. Nu este suficient să permiți accesul la un document; trebuie să poți vedea dacă acel document este accesat neobișnuit, extras în volum anormal, transferat către sisteme neautorizate sau folosit într-un tipar suspect. În ghidurile recente, NSA insistă tot mai mult pe automatizarea reacțiilor și pe integrarea mai strânsă a capabilităților de detectare și răspuns.

De ce contează pentru companii, instituții și utilizatori

Pentru companii, miza este simplă: reducerea riscului real. Zero Trust nu promite imunitate totală, dar promite ceva mult mai valoros și mai realist: o șansă mai bună de a limita impactul unui compromis inevitabil. În loc să construiești securitatea exclusiv pe ideea „să nu intre nimeni”, o construiești și pe întrebarea „ce se întâmplă dacă totuși intră?”. Într-o epocă în care phishing-ul, credential theft-ul, atacurile asupra identității și exploatarea lanțurilor de aprovizionare sunt omniprezente, această schimbare de mentalitate contează enorm.

Pentru instituții publice și operatori de infrastructură critică, importanța este și mai mare. Acolo unde un incident poate afecta servicii esențiale, date sensibile sau funcționarea unor procese naționale, dependența de modele învechite de securitate devine greu de justificat. De aceea, agenții precum CISA și NSA au investit atâta energie în a traduce Zero Trust din teorie în modele, piloni și faze de implementare. Faptul că NSA a lansat în 2026 un nou set de ghiduri de implementare pe faze arată că subiectul este tratat ca prioritate operațională actuală, nu ca exercițiu conceptual.

Pentru utilizatorul obișnuit dintr-o organizație, Zero Trust poate părea uneori incomod. Mai mult MFA, mai multe verificări, mai puțin acces „din reflex”, mai mult control asupra dispozitivului. Dar acest mic cost de fricțiune este, de fapt, prețul unei securități mai credibile. Într-un model Zero Trust bine implementat, compromiterea unui cont sau a unui laptop nu mai ar trebui să însemne automat acces larg la datele companiei. Pe termen lung, tocmai această disciplină reduce șansele unui incident major care să afecteze toată organizația.

Mai există și un beneficiu strategic mai puțin discutat: vizibilitatea. Organizațiile care adoptă Zero Trust sunt obligate să-și înțeleagă mai bine propriul ecosistem. Cine are acces la ce, ce dispozitive există, ce aplicații sunt critice, ce fluxuri sunt cu adevărat necesare și unde stau datele sensibile. Acest exercițiu de igienă tehnică este valoros chiar și înainte ca modelul să fie complet matur. De multe ori, procesul de implementare Zero Trust scoate la iveală haos vechi, privilegii excesive și dependențe prost documentate.

Ce urmează și de ce Zero Trust devine noua normalitate

Cel mai probabil, Zero Trust nu va rămâne o etichetă separată pentru mult timp. Va deveni, pur și simplu, felul normal în care ar trebui proiectată securitatea modernă. Exact asta sugerează și evoluția standardelor și a ghidurilor. NIST a pus baza arhitecturală, CISA a oferit traseul de maturizare, iar NSA continuă să detalieze implementarea practică, inclusiv prin noi documente publicate în 2026. Pe măsură ce tehnologia se mută tot mai mult în cloud, iar identitatea devine noul perimetru, organizațiile vor avea tot mai puțin spațiu să funcționeze sănătos în afara acestui cadru.

Asta nu înseamnă că toate companiile trebuie să reconstruiască peste noapte totul de la zero. De fapt, ghidurile serioase insistă exact pe opusul acestei tentații. Zero Trust este un proces de maturizare, nu un comutator. Începi de la identitate, vizibilitate, politici de acces, segmentare și controlul dispozitivelor. Apoi integrezi mai bine datele, aplicațiile, automatizarea și răspunsul. CISA și NSA tratează explicit această tranziție în faze și niveluri tocmai pentru a arăta că drumul realist este unul incremental.

În final, motivul pentru care Zero Trust contează atât de mult este că răspunde direct lumii în care trăim, nu lumii în care am vrea să trăim. Este un model construit pentru rețele distribuite, utilizatori mobili, cloud, integrare permanentă și amenințări care folosesc identitatea legitimă ca armă. Nu promite perfecțiune, dar promite ceva mult mai important: control mai bun, suprafață de atac mai redusă și șanse mai mari ca un incident inevitabil să rămână incident, nu catastrofă. Tocmai de aceea, Zero Trust nu mai este doar un nou standard în securitate cibernetică. Devine, treptat, standardul de bază după care va fi judecată seriozitatea unei organizații în raport cu propriile riscuri digitale.