Zero Trust u srednjim poduzećima: segmentacija mreže, usklađenost uređaja i pragmatične roadmape umjesto buzzworda

„Zero Trust“ na prvi pogled izgleda kao program velikih korporacija. U mnogim srednjim poduzetničkim okruženjima ono je ipak pragmatičan odgovor na ustaljenu stvarnost: udaljene lokacije, hibridni timovi, pristupi partnera, Cloud-Dienste, mobilni uređaji i paralelno klasične serverske usluge, ERP-klijenti, Fileshares i specijalizirana oprema. Stari model „iznutra je pouzdano, izvana je opasno“ ovdje više ne vrijedi – jer kompromitirani klijent u internom mrežnom okruženju često pronađe previše puteva.

Zero Trust u srednjim poduzećima stoga prije svega znači: pristupi se ne odobravaju paušalno na temelju mrežne lokacije, već se odlučuje po identitetu, stanju uređaja (Device Compliance), kontekstu i minimalno potrebnim pravima. I: arhitektura se gradi tako da proboj ne preraste automatski u masovno širenje štete.

Ovaj članak ostavlja buzzworde po strani i koncentrira se na tri poluge koje u praksi donose najveći učinak: segmentacija mreže (tko smije kamo komunicirati?), Device Compliance (koje stanje uređaja je preduvjet?) i Roadmaps, koji isporučuju u etapama umjesto čekanja na savršenu ciljnu sliku. Fokus je na utjecajima za operacije, administraciju, poslovni softver, sučelja i uvođenje.

Što Zero Trust praktično znači – i što ne

Ako „Zero Trust“ ne treba postati platno za projekcije, pomaže jasna radna definicija. U praksi Zero Trust obuhvaća tri načela:

• Izričita verifikacija: Svaka odluka o pristupu temelji se na signalima (identitet, status MFA, stanje uređaja, rizik, osjetljivost ciljnog sustava).
• Načelo najmanjih privilegija (minimalno potrebna prava): Korisnicima, servisima i administratorima dodjeljuju se samo prava koja zaista trebaju za proces – po mogućnosti vremenski ograničena i sljediva.
• Pretpostavka kompromitacije: Arhitektura i operacije polaze od mogućnosti da je endpoint kompromitiran. Cilj je ograničavanje štete (Containment), a ne obećanje „spriječiti sve“.

Nije zamišljeno: „sve iznova“, „samo Cloud“, „zamijenit ćemo LAN potpuno mikrosegmentacijom“ ili „blokirat ćemo sve dok strukovne jedinice ne odustanu“. Zero Trust mora funkcionirati u svakodnevnom radu: skeneri skeniraju, ERP-klijenti rade, sučelja funkcioniraju, batch-procesi se pokreću noću, i postoji hitan put za administraciju.

Zašto srednja poduzeća često brže napreduju s Zero Trust nego što se misli

U srednjim poduzećima putovi donošenja odluka često su kraći, i postoji manje paralelno konkurirajućih sigurnosnih inicijativa. Istovremeno su resursi oskudniji, a poslovni softver ima duge životne cikluse. To se ipak može uskladiti ako su mjere usmjerene na tipične pokretače rizika:

• Ransomware-lanci: Phishing → kompromitirani klijent → lateralno kretanje (npr. SMB/RDP) → identitet/backup/pohrana → šifriranje.
• „Schatten“-pristupi: zaboravljeni VPN-računi, dijeljeni servisni računi, pristupi partnera bez jasno definiranog vlasništva, trajna administratorska prava.
• Legacy-integracije: Fileshares kao „integracijski autobus“, fiksne liste dopuštenih IP-adresa, otvoreni portovi bez provjere stanja uređaja i bez datuma isteka.

Velika korist nije toliko „više sigurnosti u osjećaju“, nego kontrolirani efekt: manje dostupnih ciljeva iz klijentske zone, manje privilegiranih računa u svakodnevnom radu i jasniji tokovi podataka i sučelja.

Segmentacija mreže kao Zero-Trust-gradivni blok

Segmentacija mreže je najuočljiviji početak jer izravno ograničava lateralno kretanje. Radi se o svjesnom odvajanja dijelova sustava, tipično preko VLANs/VRFs (logičko razdvajanje mreže na razini switcha odnosno routinga) uz firewall‑pravila između segmenata. Cilj nije izolirati svaki sustav pojedinačno, nego stvoriti zone s malo komunikacije u kojima su dostupni samo definirani protokoli i odredišta.

Pragmatična ciljna slika: zone koje objedinjavaju operacije i sigurnost

Realistična ciljana slika u naraslim okruženjima često je trostupanjska i po potrebi se proširuje:

• Klijentska zona: Office‑klijenti, prijenosna računala, mobilni uređaji. Iz ove zone što je moguće manje pristupa administracijskim protokolima i sustavima za upravljanje.
• Server-/Workload‑zona: poslovni softver (ERP/CRM/portali), baze podataka, integracijski servisi, datotečni servisi. Pristup samo preko definiranih portova i poželjno preko putanja aplikacija.
• Admin-/Management‑zona: identitet (npr. Domain Controller/IdP), Backup, virtualizacija, monitoring, upravljanje mrežom. Pristup samo s administratorskih radnih stanica ili preko bastion‑hostova, restriktivan i evidentiran.

Ovo razdvajanje nije samo „mreža“. Ono je preduvjet da kasnije kontrole (Device Compliance, privilegirani pristupi, zaštita servis‑to‑servis) ne budu potkopane ravnom Any‑to‑Any dostupnošću.

Zamke: SMB, pisači/IoT i „privremeno“ otvoreni portovi

Segmentacija rijetko zapne na switchevima ili firewallima, već na nejasnim tokovima prometa. Tri obrasca su tipična:

• SMB/Fileshares kao integracijski autobus: aplikacije zapisuju datoteke u mape, partneri ih preuzimaju, Excel‑workflowi koriste mrežne pogone. Segmentacija tada nameće odluke: koji su putovi zaista potrebni? Gdje je smislen prelazak na SFTP/HTTPS, portale ili message broker?
• Ispis/Skeniranje/IoT: višenamjenski uređaji, pisači etiketa, skeneri, proizvodni uređaji često komuniciraju s više servera. Ti uređaji trebaju biti u zasebnom segmentu s minimalnim, dokumentiranim izuzecima i urednom inventarizacijom.
• „Jednom otvoreno, uvijek otvoreno“: RDP, SQL‑portovi ili WinRM su otvoreni za projekt i ostanu otvoreni. Segmentacija funkcionira samo s vlasnicima pravila i datumom isteka za iznimke.

Segmentacija se pokazala učinkovitim kao program promjena: prvo vidljivost (Netflow/Firewall‑Logs), zatim pilot‑segmenti, potom rollout u valovima. Tko odmah nametne „Default Deny“ između svih VLANova, izazvat će prekide i izgubiti prihvaćanje.

Segmentacija za poslovni softver, baze podataka i integracije

Za individualni poslovni softver i procesno‑bliža softverska rješenja segmentacija donosi dvostruki učinak: manji rizik i jasnije operativne slike. Tipične smjernice:

• App‑Server → baza podataka: samo potreban DB‑port, samo iz definiranih app‑subneta; bez direktnih klijentskih veza prema bazi podataka.
• Klijenti → aplikacija: po mogućnosti HTTPS prema web‑frontendu ili API‑ju, umjesto direktnog pristupa internim servisima ili mrežnim dijeljenim resursima.
• Integracijska zona: posvećeni sustavi za REST/SOAP/SFTP/Message Broker, s kontroliranim putovima u ERP/CRM i prema partnerima.

Time postaju vidljive arhitektonske teme koje su inače „skrivene“ u mreži: fat clients koji direktno razgovaraju s bazama podataka; batch‑procesi koji trebaju administratorske dozvole; ili sučelja koja bez jasne odgovornosti „samo rade“.

Usklađenost uređaja: stanje uređaja kao preduvjet pristupa

Drugi poluga je usklađenost uređaja, jer su krajnji uređaji često ulazna točka. „Usklađenost“ ovdje ne znači pravnu sukladnost, već tehničke minimalne zahtjeve: stanje zakrpa, enkripcija (npr. BitLocker/FileVault), aktivna zaštita protiv zlonamjernog softvera, status firewalla, Secure Boot te dokaz da je uređaj pod upravom (MDM/Endpoint Management).

U Microsoft-okruženjima to se često provodi s Intune/Endpoint Manager uz Uvjetni pristup. Uvjetni pristup su pravila koja pri prijavi odlučuju je li pristup dozvoljen (npr. samo s MFA i samo s uređaja koji su usklađeni). U drugim tehnološkim stogovima slično se postiže kroz MDM, Identity Provider (IdP) i ZTNA/SSE-rješenja. Presudno nije alat, nego operativno održiva politika.

Politike koje podržavaju podršku i rad

Čest izvor frustracije su presna pravila bez višestepenih scenarija pristupa. Praktično je model u stupnjevima:

• Osnovno: MFA za sve; blok za nepoznate uređaje kod kritičnih aplikacija (admin-portali, financije, HR, udaljeni pristupi).
• Standard: pristup centralnim portalima i suradnji samo s registriranih uređaja; neregistrirani uređaji samo ograničeno (npr. samo putem weba), ako platforma to podržava.
• Visoko: administratorski pristupi samo s namjenskih admin-radnih stanica (PAW, Privileged Access Workstation) sa strožim pravilima usklađenosti i bez lokalnih administratorskih prava u svakodnevnom radu.

Važno: „usklađen“ nije trajno stanje. Uređaji mogu ispasti iz usklađenosti (zaostatak s ažuriranjima, greške enkripcije, zastarjeli OS). Zero Trust tada znači: ne raspravljati, nego kontrolirano degradirati pristup. Primjer: pristup portalu ostaje moguć, VPN ili pristup upravljačkim zonama se blokira dok se ne izvrši otklanjanje problema.

BYOD, specijalni uređaji i neupravljivi krajnji uređaji

Mala i srednja poduzeća često imaju klase uređaja koje se ne mogu upravljati kao standardni prijenosnici: mjerni uređaji, industrijski PC-ovi, terminalni sustavi, skeneri, stare Windows-verzije za specijalizirani softver. To je rješivo ako IT definira kategorije uređaja i veže prava pristupa uz te kategorije:

• Upravljani standardni uređaji: potpuna usklađenost putem MDM/GPO, standard za uredski rad i administraciju.
• Ograničeni uređaji: ograničeno upravljivi; smiju se povezivati samo u izolirane segmente i samo prema definiranim ciljanim sustavima (npr. proizvodna mreža → integracijski gateway).
• Neupravljani/BYOD: pristup samo ograničenim uslugama (npr. webmail/portal) s MFA i jasnim ograničenjima za odljev podataka.

Na taj način iz „ne može“ nastaje stabilan kompromis: specijalni uređaji ostaju mogući, ali je njihovo područje djelovanja ograničeno i time je rizik pod kontrolom.

NAC i 802.1X: kad mreža dopušta samo poznate uređaje

Usklađenost uređaja ne završava prijavom. Sljedeći korak je Network Access Control (NAC): uređaji dobivaju pristup mreži samo ako se identificiraju na switchu ili WLAN-u. 802.1X je standardna procedura pri kojoj se uređaj na mreži autentificira certifikatom ili korisničkim identitetom. Za uređaje bez 802.1X često se koristi MAB (MAC Authentication Bypass) – kao iznimka, manje sigurno, ali ponekad neizbježno.

NAC je vrlo učinkovit, ali operativno zahtjevan. Realnost je: mnogo iznimaka (printeri, IoT, gosti, stari uređaji) je normalno. NAC-projekt ostaje upravljiv ako se provede fazno:

• Pilot na jednoj lokaciji ili najprije samo u korporativnom WLAN-u.
• Start u monitor-/alert-modusu kako bi se upoznala stvarna inventura uređaja.
• Mreža za karantenu za nepoznate uređaje s jasnim procesima helpdeska i, gdje je moguće, samoposlužnom registracijom.

Dodatna korist: bolja inventarizacija. NAC nameće „točno stanje uređaja“ i time pruža temelje za segmentaciju, odgovor na incidente i odluke o životnom ciklusu.

Identiteti, uloge i servisni računi: Bez IAM-higijene ostaje fragmentarno

Zero Trust se često shvaća kao mrežno ili endpoint pitanje. U provedbi ipak strana identiteta odlučuje o preciznosti i održivosti. IAM (Upravljanje identitetima i pristupom) obuhvaća prijavu, uloge/grupe, procese joiner-mover-leaver i tehničke račune (Service Accounts).

Least Privilege u poslovnom softveru: konsolidirati uloge, administraciju odvojiti

U ERP/CRM i portalima prava često nastaju povijesno: nova funkcija, nova uloga, pa opet iznimka. Rezultat su preklapajuće autorizacije i nejasni odgovori na „tko smije što?“. Pogodno za Zero Trust postaje to kada se uloge modeliraju kao poslovne funkcije (npr. „odobriti račun“, „izmijeniti osnovne podatke“, „pokrenuti izvoz“) i tehnička administratorska prava od toga dosljedno odvoje.

Za operativu je važno da se uloge mogu ponovno potvrđivati: u fiksnim ciklusima odgovorni potvrđuju da su pristupi i dalje potrebni. To ne mora biti birokratski, ali zahtijeva jasne vlasnike po podatkovnom području.

Osigurati servisne račune i pristupe sučeljima

Mnogi kritični pristupi ne dolaze preko korisnika, nego preko servisa: integracijski poslovi, ETL, partner-sučelja, batch-procesi, Windows-servisi ili Linux-servisi. Tipični rizici su statičke lozinke, preširoke privilegije, nedostatak rotacije i nejasno definirano vlasništvo. U Zero-Trust kontekstu vrijedi:

• Vlastiti identitet po servisu: bez dijeljenih računa za više zadataka.
• Minimalna prava: npr. samo pravo pisanja u SFTP-inbox umjesto potpuni pristup dijeljenom resursu.
• Tajne tretirati profesionalno: ključeve/lozinke ne stavljati u konfiguracijske datoteke; omogućiti planiranu rotaciju, imenovati odgovorne.
• Mrežni putevi usklađeni sa segmentacijom: integracijski servis komunicira s jasno definiranih ciljevima, ne „u cijelu mrežu servera“.

Upravo kod sučelja Zero Trust postaje i arhitektonski zadatak: API-Gateway ili Integration-Proxy može centralizirati autentikaciju, rate-limitove i logiranje te smanjiti neuređeni razrast. To ne zamjenjuje sigurnost aplikacija, ali stvara bolju operativnu kontrolu.

Zero Trust u srednjim poduzećima kao roadmap: isporučivati etapno

Funkcionalna roadmapa ima dvije osobine: u nekoliko tjedana stvara vidljiva poboljšanja i ostaje spojiva s idućim fazama nadogradnje. U praksi se pokazao fazni model koji nije optimiziran za potpunost, nego za poluge rizika.

Faza 0: Evidentirati kritične sustave, tokove podataka i vanjske rubove

Prije nego se blokira i segmentira, potreban je minimum transparentnosti:

• Koji sustavi su kritični (ERP/DMS, baze podataka, backup, identitet, virtualizacija, integracijski serveri)?
• Koji putevi pristupa postoje (VPN, RDP/SSH, admin-alati, API, SMB, SFTP)?
• Koje vanjske granice postoje (partneri, lokacije, cloud tenant-i, vanjski admin-pristupi)?

Ovo nije poziv na savršenu CMDB. Ovo je radni popis koji će kasnije učiniti iznimke, pravila vatrozida i odgovornosti održivima.

Faza 1: Ojačavanje identiteta – MFA, hitni pristupi, razdvajanje administratorskih prijava

Mnogi sustavi imaju MFA, ali ne konzistentno. Pouzdani minimalni standardi su:

• MFA za sve korisnike, osobito za udaljene pristupe i administratorska sučelja.
• Definirani hitni pristup („Break Glass“): odvojeno zaštićen, nadziran i namijenjen samo za incidente.
• Razdvajanje korisničkih i administratorskih računa kako phishing ne bi automatski prenio privilegirane ovlasti.

Korist je neposredna: mnogi napadi zapnu na drugom faktoru, a kompromitirani standardni računi rjeđe vode izravno do razine upravljanja.

Faza 2: Primjena zahtjeva za usklađenost uređaja najprije na kritičnim ciljevima

Umjesto „svi uređaji odmah usklađeni“ često je učinkovitije vezati pravila uz kritične resurse:

• Administrativna sučelja (virtualizacija, backup, upravljanje mrežom) samo s usklađenih uređaja.
• VPN samo s usklađenih uređaja ili s jako ograničenim ciljanim mrežama.
• Portali za Finance/HR i osjetljivi izvoz podataka samo s provjerom uređaja i jasnim pravilima sesije.

To stvara smisleni pritisak za migraciju: tko treba puni pristup mora dovesti uređaj pod upravljanje. Istovremeno ne blokirate odmah sva radna mjesta.

Faza 3: Segmentacija mreže u valovima – prvo zaštititi backup i upravljanje

Ako se kratkoročno može primijeniti samo jedno pravilo segmentacije, često je to: Sistemi za backup i upravljanje nisu izravno dostupni iz klijentske zone. To je snažan blok protiv eskalacije ransomwarea. Nakon toga slijede zone servera i definirana integracijska zona.

Za svaki val potreban je plan povrata: što se smije privremeno otvoriti u hitnom slučaju, kako se to dokumentira, tko to ponovno zatvara? Bez ovog mehanizma segmentacija će se u praksi postupno erodirati.

Faza 4: Privileged Access Management (PAM) i administratorske radne stanice

PAM (Privileged Access Management) obuhvaća tehnologiju i procese za ograničavanje privilegiranih pristupa: Just-in-Time prava (vremenski ograničena), procesi odobravanja, rotacija lozinki/ključeva i zapisivanje. Praktičan početak u srednjem poduzetništvu često je:

• Namjenske administratorske radne stanice (PAW) ili bastion okruženje za RDP/SSH.
• Bez administratorskih aktivnosti s uobičajenih prijenosnika.
• Runbookovi i logovi koji su u incidentu zaista upotrebljivi.

To smanjuje vjerojatnost da kompromitiran korisnički uređaj posluži kao odskočna daska u zonu upravljanja.

Operativna realnost: Gdje Zero Trust donosi rezultate (i kako ga upravljati)

Zero Trust nije besplatan. Tko to otvoreno planira, kasnije ima manje političkih trzavica. Tipične operativne posljedice:

Više upravljanja politikama i iznimkama

U početku raste broj iznimki: politika usklađenosti je preoštra, lokacija ima specijalni hardver, servis ipak treba vezu. Razlika između kaosa i napretka je jasan proces iznimke: vremenski ograničen, s vlasnikom, dokumentiran, redovito provjeravan. Inače Zero Trust brzo postane opet „Any-to-Any, weil es eilig war“.

Logiranje postaje preduvjet za otklanjanje problema

Kada se pristupi odlučuju ovisno o kontekstu, logovi moraju biti pouzdani: IdP- i autentifikacijski logovi, status endpointa, firewall-/VPN-logovi i idealno centralna analiza (SIEM ili konsolidirano upravljanje logovima). Bez logova „Zašto korisnik ne može ući?“ nije moguće reproducirati, a politike se iz frustracije razvodnjavaju.

Utjecaj na poslovni softver: autentifikacija, putevi podataka, certifikati

Mnogi sustavi ne moraju se iznova graditi, ali moraju odgovarati novim sigurnosnim pretpostavkama. Tipične prilagodbe:

• SSO preko OIDC/SAML umjesto lokalnih lozinki, gdje je smisleno. OIDC (OpenID Connect) je moderan protokol za prijavu preko IdP-a; SAML je u Enterprise-SSO i dalje raširen.
• API umjesto Fileshare, gdje bi segmentacija inače trajno zahtijevala iznimke.
• Service-to-Service-absicherung (npr. mTLS): mTLS je TLS s obostranom provjerom certifikata, čime je i pozivajući servis jednoznačno identificiran.

Ove stavke nisu samo „Security“. One se tiču operacija: rokovi valjanosti certifikata, rotacija tajni (Secret-Rotation), deployimenti, monitoring i jasne odgovornosti za sučelja.

Mjerenje uspjeha, bez utapanja u metrike

Nekoliko mjerljivih točaka dovoljno je da napredak ostane upravljiv:

• Udio upravljanih uređaja (managed vs. unmanaged) i trend.
• Stopa compliant vs. non-compliant po grupi uređaja plus najčešći uzroci (ažuriranja, enkripcija, AV).
• Smanjenje plitkih mrežnih prava: broj Any-to-Any pravila između segmenata, broj privremenih iznimki i njihova starost.
• Privileged Access: udio admin-prijava koje još dolaze s uređaja koji nisu PAW; redukcija trajnih administratorskih prava.
• Incident-signale: blokirani pristupi upravljačkim zonama, neuobičajene autentifikacije, ponovljeni nalazi malwarea.

Pitanje je uvijek: koja mjera mjerljivo smanjuje rizik, a da ne blokira rad?

Zaključak: Zero Trust je odluka o operacijama, a ne rasprava o alatima

Zero Trust u srednjem poduzetništvu funkcionira ako se shvati kao kombinacija arhitekture, operacija i čiste kontrole pristupa. Segmentacija ograničava prostor za kretanje u mreži, usklađenost uređaja (Device Compliance) povećava ulaznu barijeru, a roadmap u etapama prvo štiti identitet, backup i upravljanje. Ključno je ne dopustiti da iznimke rastu neformalno, već ih voditi kao privremeni, dokumentirani proces – i rano planirati utjecaje na poslovni softver, sučelja te Zertifikats-/Secrets-Lifecycle.

Razgovarajte o projektu ili planu modernizacije s Net-Base.