Zero Trust у средњим предузећима: мрежна сегментација, усаглашеност уређаја и прагматичне мапе пута уместо празних маркетиншких фраза

„Zero Trust“ deluje na prvi pogled kao program velikih korporacija. U mnogim srednjim preduzećima to je pre pragmatičan odgovor na razvijenu realnost: spoljne lokacije, hibridni timovi, pristupi partnera, cloud-servisi, mobilni uređaji i paralelno s tim klasične serverske usluge, ERP-klijenti, deljeni fajlovi i specijalni hardver. Stari model „unutra je pouzdano, spolja je opasno“ ovde više ne drži – zato što kompromitovani klijent u internom mrežnom okruženju često pronađe previše puteva.

Zero Trust u srednjim preduzećima znači zato pre svega: pristupi se ne odobravaju paušalno na osnovu mrežne lokacije, već se odlučuje na osnovu identiteta, stanja uređaja (Device Compliance), konteksta i minimalno neophodnih prava. I: arhitektura se gradi tako da provala ne preraste automatski u opsežnu kompromitaciju.

Ovaj članak skida buzzword-e i koncentriše se na tri poluge koje u praksi donose najveći efekat: Segmentacija mreže (ko sme kome i kuda da komunicira?), Device Compliance (koje stanje uređaja je preduslov?) i Roadmaps koje isporučuju u etapama, umesto da se čeka na savršenu ciljnu sliku. Fokus je na posledicama za operacije, administraciju, poslovni softver, interfejse i rollout.

Šta Zero Trust praktično znači – a šta ne

Ako „Zero Trust“ ne treba da postane platno za projekcije, pomaže jasna radna definicija. Praktično, Zero Trust obuhvata tri principa:

• Ekslicitna verifikacija: Svaka odluka o pristupu zasniva se na signalima (identitet, MFA-status, stanje uređaja, rizik, osetljivost ciljnog sistema).
• Least Privilege (minimalno neophodna prava): Korisnicima, servisima i administratorima dodeljuje se samo ono što im je zaista potrebno za određeni proces – po mogućstvu vremenski ograničeno i praćeno.
• Pretpostavka kompromitovanja: Arhitektura i operacije polaze od toga da endpoint može biti kompromitovan. Cilj je ograničavanje štete (Containment), a ne obećanje „mi sprečavamo sve“.

Nije cilj: „sve iznova“, „samo Cloud“, „potpuno zamenimo LAN mikrosegmentacijom“ ili „blokiraćemo sve dok poslovne jedinice ne odustanu“. Zero Trust mora funkcionisati u svakodnevnom radu: skeneri skeniraju, ERP-klijenti rade, interfejsi rade, batch-procesi se pokreću noću, i postoji put za hitne intervencije administracije.

Zašto srednja preduzeća sa Zero Trust često napreduju brže nego što se misli

U srednjim preduzećima putevi donošenja odluka su često kraći i ima manje paralelnih i konkurišućih bezbednosnih inicijativa. Istovremeno su resursi ograničeniji, a poslovni softver ima duge životne cikluse. To se može uskladiti ako se mere usmere na tipične pokretače rizika:

• Ransomware-kaskade: Phishing → kompromitovani klijent → lateralno kretanje (npr. SMB/RDP) → identitet/backup/skladište → šifrovanje.
• „Senci“-pristupi: zaboravljeni VPN-nalozi, deljeni servisni nalozi, pristupi partnera bez jasno definisanog vlasnika, trajna administratorska prava.
• Legacy-integracije: deljeni fajlovi kao „integracioni bus“, fiksne IP-bela liste, otvoreni portovi bez provere stanja uređaja i bez datuma isteka.

Velika korist nije „više sigurnosti u osećaju“, već kontrolisan efekat: manje dostupnih ciljeva iz klijentske zone, manje privilegovanih naloga u svakodnevnom radu i jasniji putevi za podatke i interfejse.

Segmentacija mreže kao Zero-Trust-komponenta

Сегментација мреже је најопипљивији улаз јер директно ограничава латерално кретање. Реч је о свесном раздвајању системских области, типично преко VLAN-ова/VRF-ова (логичко раздвајање мреже на нивоу свича односно рутирања) уз фајервол правила између сегмената. Циљ није изоловање сваког система појединачно, већ стварање зона са мало комуникације у којима су доступни само дефинисани протоколи и циљеви.

Pragmatisches Zielbild: Zonen, die Betrieb und Sicherheit zusammenbringen

Реалистична целна слика у развијеним окружењима често је тростепена и по потреби се проширује:

• Client-зона: Office клијенти, ноутбуци, мобилни уређаји. Са овог нивоа што је могуће без приступа админ-протоколима и системима за менаџмент.
• Server-/Workload-зона: пословни софтвер (ERP/CRM/портали), базе података, интеграциони серивси, фајл-сервиси. Приступ само преко дефинисаних портова и по могућству преко апликационих путева.
• Admin-/Management-зона: идентитет (нпр. Domain Controller/IdP), backup, виртуализација, мониторинг, мрежни менаџмент. Приступ само са админ-радних станица или преко Bastion-Hosts, рестриктивно и протоколовано.

Ово раздвајање није само „мрежа“. Оно је предуслов да касније контроле (Device Compliance, привилеговани приступи, Service-to-Service-Absicherung) не буду поништене услед равне Any-to-Any доступности.

Stolperfallen: SMB, Drucker/IoT und „temporär“ offene Ports

Сегментација ретко пропада због свичева или фајервола, већ због неразјашњених токова саобраћаја. Три обрасца су типична:

• SMB/Fileshares као интеграциони бус: апликације уписују фајлове у фасцикле, партнери их преузимају, Excel-воркфлови приступају мрежним дисковима. Сегментација тада приморава на одлуке: који путеви су заиста неопходни? Где је смислен прелаз на SFTP/HTTPS, портале или Message Broker?
• Штампање/Скенирање/IoT: мултифункционални уређаји, уређаји за штампу етикета, скенери, производни уређаји често комуницирају са више сервера. Ови уређаји припадају посебном сегменту са минималним, документованим изузецима и прецизном инвентаризацијом.
• „Једном отворено, увек отворено“: RDP, SQL-портови или WinRM су отворени за пројекат и остају тако. Сегментација функционише само уз власнике правила и датум истека за изузетке.

Показало се да је сегментација ефикасна као програм промена: прво видљивост (Netflow/Firewall-Logs), затим пилот-сегменти, па rollout у таласима. Ко одмах спроведе „Default Deny“ између свих VLAN-ова, изазива падове у раду и губи прихватање.

Segmentierung für Unternehmenssoftware, Datenbanken und Integrationen

За појединачни корпоративни софтвер и софтверна решења блиска процесу, сегментација доноси двоструки ефекат: смањен ризик и јаснија оперативна слика. Типичне смернице:

• App-сервер → база података: само потребан DB-порт, само из дефинисаних app-подмрежа; нема клијентских веза директно ка бази података.
• Клијенти → апликација: пожељно HTTPS ка веб-фронтенду или API-ју, уместо директног приступа интерним сервисима или дељењима сервера.
• Интеграциона зона: посвећени системи за REST/SOAP/SFTP/Message Broker, са контролисаним путевима у ERP/CRM и ка партнерима.

Тако постају видљиве архитектонске теме које су иначе „сакривене“ у мрежи: fat клијенти који директно приступају базама података; batch процеси који захтевају админ-одобрења; или интерфејси који без јасне одговорности „само раде“.

Usklađenost uređaja: stanje uređaja kao uslov za pristup

Druga poluga je usklađenost uređaja, jer krajnji uređaji često predstavljaju ulaznu tačku. „Compliance“ ovde ne znači pravnu usklađenost, već tehničke minimalne zahteve: stanje zakrpa, enkripcija (npr. BitLocker/FileVault), aktivna zaštita od malvera, status vatrozida, Secure Boot kao i dokaz da je uređaj upravljan (MDM/Endpoint Management).

U Microsoft-okolini se to često sprovodi pomoću Intune/Endpoint Managera uz Conditional Access. Conditional Access su politike koje pri prijavi odlučuju da li je pristup dozvoljen (npr. samo uz MFA i samo sa usklađenih uređaja). U drugim stack-ovima slično se postiže preko MDM, Identity Provider (IdP) i ZTNA/SSE-rešenja. Presudno nije alat, već operativno održiva politika.

Politike koje izdrže podršku i operativu

Čest izvor frustracije su pRESTroga pravila bez stepenovanih scenarija pristupa. Praktično je model sa nivoima:

• Osnovni: MFA za sve; blokada za nepoznate uređaje kod kritičnih aplikacija (admin-portali, Finance, HR, udaljeni pristupi).
• Standard: Pristup centralnim portalima i alatima za saradnju samo sa registrovanih uređaja; neregistrovani uređaji samo ograničeno (npr. samo web), ako platforma to podržava.
• Visoki: Admin-pristupi samo sa posvećenih admin-radnih stanica (PAW, Privileged Access Workstation) sa strožijim pravilima usklađenosti i bez lokalnih administratorskih prava u svakodnevnom radu.

Važno: „compliant“ nije trajno stanje. Uređaji izlaze iz usklađenosti (zaostatak ažuriranja, greške enkripcije, zastareli OS). Zero Trust onda znači: ne diskutovati, već kontrolisano vratiti nivo pristupa. Primer: pristup portalu ostaje moguć, VPN ili pristup u zonama upravljanja se blokira dok se ne sprovede remedijacija.

BYOD, specijalni uređaji i neupravljivi endpointi

Srednja preduzeća često imaju klase uređaja koje se ne mogu upravljati kao standardni laptopovi: merni instrumenti, mašinski PC-ovi, terminal sistemi, skeneri, stare Windows-verzije za specijalni softver. To postaje upravljivo ako IT definiše kategorije uređaja i poveže prava pristupa sa njima:

• Managed Standard Devices: potpuna usklađenost putem MDM/GPO, standard za poslove zasnovane na znanju i administraciju.
• RESTricted Devices: ograničeno upravljivi; smeju samo u izolovane segmente i samo prema definisanim ciljanim sistemima (npr. proizvodna mreža → integracioni gateway).
• Unmanaged/BYOD: pristup samo ograničenim servisima (npr. webmail/portal) uz MFA i jasna ograničenja za odliv podataka.

Tako „ne može“ postaje stabilan kompromis: specijalni uređaji ostaju mogući, ali njihov domet je ograničen i samim tim je rizik pod kontrolom.

NAC und 802.1X: Wenn das Netz nur noch bekannte Geräte zulässt

Usklađenost uređaja ne završava prijavom. Sledeći korak je Network Access Control (NAC): uređaj dobija pristup mreži samo ako se identifikuje na switchu ili WLAN-u. 802.1X je standardna procedura pri kojoj se uređaj autentifikuje na mreži putem sertifikata ili korisničkog identiteta. Za uređaje bez 802.1X često se koristi MAB (MAC Authentication Bypass) – kao izuzetak, manje bezbedno, ali ponekad neizbežno.

NAC je vrlo efikasan, ali operativno zahtevan. Realnost: mnogi izuzeci (štampači, IoT, gosti, stari uređaji) su normalni. Projekat NAC ostaje upravljiv ako se fazira:

• Pilot на једној локацији или у почетку само у корпоративном WLAN‑у.
• Почетак у монитор/алерт режиму ради упознавања стварног стања уређаја.
• Карантински сегмент за непознате уређаје, са јасним Helpdesk‑процесима и, где је могуће, самоопслужном регистрацијом.

Додатна корист: боља инвентаризација. NAC тера на „истину о уређајима“ и тиме пружа основе за сегментацију, одговор на инциденте и одлуке о животном циклусу.

Идентитети, улоге и сервисни налози: Без IAM‑хигијене остаје комадно решење

Zero Trust се често схвата као мрежна или endpoint тема. У реализацији, међутим, страна идентитета одлучује о прецизности и одрживости. IAM (Identity and Access Management) обухвата пријављивање, улоге/групе, Joiner‑Mover‑Leaver процесе и техничке налоге (Service Accounts).

Least Privilege у бизнис‑софтверу: консолидација улога, раздвојити администраторска права

У ERP/CRM и порталима права често настају историјски: нова функција, нова улога, па опет изузетак. Резултат су преклапајуће дозволе и нејасни одговори на „ко сме шта?“. Погодно за Zero Trust постаје када се улоге моделују као пословне способности (нпр. „одобрити фактуру“, „изменити матичне податке“, „покренути експорте“) и када су техничка администраторска права доследно одвојена.

За рад је важно да улоге буду подложне рецертфикацији: у фиксним циклусима одговорна лица потврђују да су приступи још увек потребни. То не мора бити бирократско, али захтева јасне власнике по области података.

Заштитити сервисне налоге и приступе интерфејсима

Многи критични приступи не потичу од корисника, већ од сервиса: интеграциони задаци, ETL, партнерски интерфејси, batch процеси, Windows‑Services или Linux‑сервиси. Типични ризици су статичке лозинке, превише широка права, недостатак ротације и нејасно власништво. У Zero‑Trust контексту важе следећа правила:

• Сопствени идентитет по сервису: нема дељених налога за више послова.
• Минимална права: нпр. само право писања на SFTP‑инбокс уместо пуног приступа дељеном ресурсу.
• Третирати секрете професионално: кључеве/лозинке не чувати у конфигурационим фајловима; омогућити планску ротацију и именовати одговорна лица.
• Мрежни путеви у складу са сегментацијом: интеграциони сервис говори ка јасно дефинисаним циљевима, не „у целу serversku мрежу“.

Посебно код интерфејса Zero Trust тако постаје и архитектонски задатак: API‑gateway или integration‑proxy може централисовати аутентификацију, rate‑limits и логовање и смањити разрастање. То не замењује безбедност апликација, али омогућава бољу оперативну контролу.

Zero Trust у средњим предузећима као roadmap: испоручивати у етапама

Функционална roadmapа има две особине: производи видљива побољшања у неколико недеља и остаје прикладна за наредне фазе проширења. У пракси се показао фазни модел који је оптимизован не за потпуност, већ за полуге ризика.

Фаза 0: Евидентирати критичне системе, токове података и спољне ивице

Пре него што се блокира и сегментише, потребан је минимум транспарентности:

• Који системи су критични (ERP/DMS, базе података, backup, идентитет, виртуализација, интеграциони сервери)?
• Који начини приступа постоје (VPN, RDP/SSH, admin‑алати, API, SMB, SFTP)?
• Које спољне ивице постоје (партнери, локације, Cloud‑tenanti, екстерни admin‑приступи)?

Ово није позив на савршену CMDB. Ово је радни списак који касније чини изузетке, правила фајервола и одговорности одрживим.

Фаза 1: Ојачати идентитет – MFA, хитни приступи, раздвојити администраторске пријаве

Многе инфраструктуре имају MFA, али не исправно. Робусни минимални стандарди су:

• MFA за све кориснике, посебно за удаљене приступе и администраторске интерфејсе.
• Дефинисан хитни приступ („Break Glass“): посебно заштићен, надгледан и намењен само инцидентима.
• Раздвајање корисничких и администраторских налога, тако да фишинг не преузме аутоматски привилегована права.

Корист је непосредна: многе нападе зауставља други фактор, а компромитовани стандардни налози ређе воде директно у ниво управљања.

Фаза 2: Примењивати усаглашеност уређаја прво на критичним циљевима

Уместо „сви уређаји одмах усаглашени“ често је ефикасније везати правила за кључне ресурсе:

• Администраторски портали (виртуализација, Backup, управљање мрежом) само са усаглашеним уређајима.
• VPN само са усаглашеним уређајима или са строго ограниченим одредишним мрежама.
• Портали за финансије/HR и осетљиви извези података само са провером уређаја и јасним правилима сесија.

То ствара смислен притисак за миграцију: ко жели пун приступ, мора уређај довести под управу. Истовремено не блокирате одмах сва радна места.

Фаза 3: Сегментација мреже у таласима – прво заштитити системе за Backup и управљање

Ако се може краткорочно применити само једно правило сегментације, често је то: системи за Backup и управљање нису директно доступни из клиент зоне. То је снажан кочничар против ескалације ransomware-а. Након тога следе сервер-зоне и дефинисана интеграциона зона.

За сваки талас потребан је план враћања: шта сме у ванредном случају привремено да се отвори, како се то документује, ко то поново затвара? Без тог механизма сегментација се у пракси постепено урушава.

Фаза 4: Управљање привилегованим приступом (PAM) и администраторске радна станице

PAM (управљање привилегованим приступом) обухвата технологију и процесе за ограничење привилегованих приступа: Just-in-Time права (временски ограничена), путеви одобравања, ротација лозинки/кључева и логовање. Практичан улаз у средњим предузећима често је:

• Посвећене администраторске радне станице (PAW) или бастион окружење за RDP/SSH.
• Без админ активности са свакодневних лаптопова.
• Runbooks и логови који су у инциденту заиста употребљиви.

То смањује вероватноћу да компромитовани кориснички уређај послужи као одскочна даска у зону управљања.

Реалност у операцији: Где Zero Trust даје резултате (и како га контролисати)

Zero Trust није бесплатно. Ко то отворено планира има касније мање политичких трења. Типичне последице у раду:

Више управљања политиком и изузецима

У почетку расте број прилагођавања: политика усаглашености делује пресувише строго, локација има посебан хардвер, неки сервис ипак треба везу. Разлика између хаоса и напретка је јасан процес за изузетке: временски ограничен, са власником, документован и редовно провераван. У супротном Zero Trust ће брзо постати поново „Any-to-Any, јер је било хитно”.

Логовање постаје предуслов за решавање проблема

Када се приступи доносе контекстно-зависно, логови морају бити поуздани: IdP- и аутентификациони логови, статус крајње тачке, Firewall-/VPN-логови и по могућству централна анализа (SIEM или консолидовано управљање логовима). Без логова је „Зашто корисник не може да уђе?“ нерепродуктивно, и политике се из фрустрације омекшавају.

Утицај на корпоративни софтвер: аутентификација, путеви података, сертификати

Многи системи не морају да се граде испочетка, али морају да одговарају новим безбедносним претпоставкама. Типичне прилагођавања:

• SSO преко OIDC/SAML уместо локалних лозинки тамо где има смисла. OIDC (OpenID Connect) је савремени протокол за пријављивање преко IdP; SAML је у корпоративном SSO и даље распрострањен.
• API уместо дељења фајлова, тамо где би сегментација иначе захтевала трајне изузетке.
• Заштита сервис–сервис (нпр. mTLS): mTLS је TLS са двоструком провером сертификата, што омогућава јасну идентификацију и позивајућег сервиса.

Ове тачке нису само „Security“. Оне се тичу операција: рокови важења сертификата, ротација тајни, размештања, мониторинг и јасне одговорности за интерфејсе.

Мерење успеха, без утопљавања у метрике

Неколико мерних тачака је довољно да напредак буде управљив:

• Удео управљених уређаја (managed vs. unmanaged) и тренд.
• Удео усклађених у односу на неусклађене по групи уређаја и најчешћи узроци (ажурирања, шифровање, AV).
• Смањење равних мрежних права: број Any-to-Any правила између сегмената, број привремених изузетака и њихова старост.
• Privileged Access: удео администраторских пријава које и даље долазе са уређаја који нису PAW; смањење трајних администраторских права.
• Сигнали инцидената: блокирани приступи менаџмент зонама, необичне аутентификације, поновљена открића малвера.

Увек остаје питање: која мера мерљиво смањује ризик, а да не блокира рад?

Закључак: Zero Trust је операциона одлука, а не дебата о алатима

Zero Trust у средњим предузећима функционише ако се схвати као комбинација архитектуре, операција и прецизне контроле приступа. Сегментација ограничава слободу кретања у мрежи, Device Compliance повећава улазну баријеру, а роадмап у фазама прво штити идентитет, backup и менаџмент. Кључно је да се изузећа не пуштају да неформално расту, већ да се воде као привремени, документовани процеси — и да се утицаји на корпоративни софтвер, интерфејсе и животни циклус сертификата/секрета рано планирају.

Разговор о пројекту или модернизацијском подухвату са Net-Base.