Det är en paradox.
Arbetsgivarna övervinner de första problemen och litar mer på sin personal att arbeta på distans, samtidigt som IT-infrastrukturen som krävs påverkas av ökade cyberattacker.
Enligt analytiker Gartner slutade 51 procent av kompetenta medarbetare förra året med att arbeta på distans – en ökning från 27 procent året innan. Framöver kommer USA att stå för den största andelen distansarbetare (53 procent) 2022 med Europa en procentenhet efter.
Trots dessa siffror saknar distansarbetsplatsen mognad. Deloitte konstaterade att 37 procent av personer under 35 år som arbetar hemifrån har känt sig ”överväldigade” över tekniken och 29 procent kände sig inte säkra med den teknik som ingick i deras roller. Nyanställda hade också färre möjligheter att samarbeta med kollegor jämfört med de som anställdes före pandemin, enligt Microsofts omfattande The New Future of Work-rapport här.
Distansarbete under de första nedstängningarna handlade om försörjning – utrullning av VPN-åtkomst, enheter, Office 365-konton och videobaserade möten. Distansarbete i framtiden kräver mer polerade verktyg och erfarenheter som kräver en IT-infrastruktur som är mer integrerad, betjänar fler enheter och som – som ett resultat – innebär ett större antal transaktioner. IDC uttrycker det så här: “Alla regioner upplever samma utmaningar beträffande… bygga en tillförlitlighetskultur som är grundläggande för alla medarbetare så att de har samma åtkomst till de resurser de behöver.”
Platser för distansarbete är primära mål för hackare. Företag har rapporterat en 51-procentig ökning av attacker på molntjänster, applikationer, enheter och distansåtkomstverktyg under 2021. Mer än 80 procent av säkerhets- och företagschefer säger att distansarbete gjort deras företag mer utsatta för attacker.
För att säkra IT-infrastrukturen på den centraliserade arbetsplatsen användes en tydligt definierad modell: kontrollenheten var IP-adressen och en nätverksomkrets som kördes genom brandväggar, HSM, SIEM och andra åtkomstbegränsningar. Detta skalas dock inte för distansarbetsmiljöer.
Dessa är byggda med hjälp av tillfälliga och dynamiska molnbaserade och programvarudefinierade infrastrukturer som skalas upp och ner, vilket gör dem svåra att säkra med ett IP-baserat system. Tjänster korsar gränser, medan antalet transaktioner expanderar, vilket innebär att IP-adresser återanvänds. Distansarbetare loggar in på tjänster från olika enheter – vilket betyder fler IP-adresser.
Med IP-baserade säkerhetssystem kommer också stora praktiska utmaningar. De är komplexa för IT-team att skapa, implementera och driva och kräver mycket erfarenhet, särskilt i stor skala. Men den riktiga kickern? Om en användares autentiseringsuppgifter blir stulna eller en enhet komprometteras kan IP-adressen inte längre vara betrodd.
Det är tydligt att den traditionella modellen för IT-säkerhet inte längre är lämplig för denna nyligen spridda arbetsvärld och en ny modell behövs – en modell där kontrollenheten är identitet och där identitet är grunden för ett system för auktorisering och autentisering för varje enhet, tjänst och användare i ditt nätverk. Välkommen till Zero Trust, ett system som fungerar under antagandet att identitet måste verifieras.
Med tanke på övergången till digitala arbetsmiljöer med högt förtroende och i och med det ökade antalet attacker växer intresset för Zero Trust. Enligt Gartner kommer 40 procent av distansåtkomsten utföras med en Zero Trust-modell 2024 – upp från fem procent 2020. Distansarbete driver upptag och Zero Trust ses som ett snabbt sätt att uppnå säkerhet och efterlevnad, enligt en Microsoft-rapport.
Zero Trust implementeras genom konsekventa verktyg, arbetsflöden och processer som levereras som en uppsättning delade, centralt hanterade och automatiserade tjänster. Hur ser det här ut? Det innebär kodifiering av principer och procedurer för auktorisering och åtkomst över de teknikstackar, domäner och tjänsteleverantörer som utgör IT-infrastrukturen.
Det är viktigt att principer och procedurer hanteras centralt – liksom de tillgångar som används för att kontrollera åtkomst som tokens, användarnamn, lösenord, certifikat och krypteringsnycklar.
Centraliserad kontroll och hantering erbjuder flera fördelar.
För det första, ett bättre skydd. Dessa tillgångar är ofta spridda över IT-miljöer – till exempel databaslösenord kodade i oformaterad text eller konfigurationsfiler som lagras i ett Dropbox-konto. De kan inte operationaliseras och är lätta byten för hackare. Centralisering är ett sätt att skydda tillgångar och införliva dem i ett system med auktoriserings- och åtkomstkontroller.
För det andra, en plattform för att hantera livscykeln för auktorisering och åtkomst. När IT-infrastrukturen ändras med nya, ändrade eller pensionerade tjänster kan beroenden enkelt ändras mellan gateways, mellanprogram och enheter. Säkerhet och regelefterlevnad blir smidiga.
Slutligen automatisering. Manuellt drivna processer kan inte hålla jämna steg med den dynamiska karaktären eller komplexiteten i modern IT-infrastruktur. Automatisering låter dig dock tillämpa och genomdriva principer i stor skala. I kombination med en programkatalog är det möjligt att implementera ett serviceidentifieringsnät som definierar centrala routningsregler för åtkomst och auktorisering. Det blir möjligt att distribuera kryptografiskt signerade certifikat till ett program, så när proxyerna i ditt nätverk kommunicerar är det första de gör att autentisera.
Vi flyttar till en miljö där medarbetarna får förtroendet att arbeta på distans med hjälp av en generation av mer integrerade arbetsplatsapplikationer. Att säkra den arbetsplatsen innebär att överge en hög förtroendemodell för skydd och gå i motsatt riktning – mot Zero Trust.
Av Duncan Greenwood, VP EMEA, HashiCorp.