VPN czy ZTNA – dlaczego coraz więcej firm odchodzi od tradycyjnych sieci VPN?
Spis treści
VPN przez lata był domyślną odpowiedzią na pracę zdalną. Pracownik uruchamiał klienta, logował się i trafiał do firmowej sieci tak, jakby siedział przy biurku w biurze. Ten model działał dobrze, gdy większość aplikacji znajdowała się w lokalnym centrum danych, a granica między „wewnątrz firmy” i „poza firmą” była łatwa do narysowania.
Dziś ta granica praktycznie się rozmyła. Firmy pracują hybrydowo, korzystają z aplikacji SaaS, chmury publicznej, prywatnych systemów biznesowych i urządzeń mobilnych. Dostępu potrzebują nie tylko pracownicy, ale też kontraktorzy, administratorzy, partnerzy i zewnętrzne zespoły serwisowe.
Jak zapewnić bezpieczny zdalny dostęp do sieci firmowej, nie otwierając przy okazji drzwi szerzej, niż to konieczne?
ZTNA co to jest?
Najprościej: to model dostępu, w którym użytkownik nie dostaje wejścia do całej sieci, lecz wyłącznie do konkretnych aplikacji, do których ma prawo. Zero trust network access opiera się na zasadzie nie ufaj domyślnie, zawsze weryfikuj.
W praktyce oznacza to, że system sprawdza nie tylko login i hasło. Liczy się także to, kim jest użytkownik, z jakiego urządzenia korzysta, czy urządzenie spełnia wymagania bezpieczeństwa, skąd następuje połączenie i do jakiego zasobu użytkownik chce się dostać. Dopiero ten kontekst decyduje o przyznaniu dostępu.
ZTNA opiera się na bardziej szczegółowym podejściu: „czy ten konkretny użytkownik, w tym konkretnym momencie, z tego konkretnego urządzenia, powinien dostać dostęp do tej konkretnej aplikacji?”.
VPN dla firmy – wady, które dziś bolą bardziej
Najważniejszy problem dotyczy zakresu dostępu. Po zestawieniu połączenia VPN użytkownik często znajduje się głębiej w środowisku firmowym niż naprawdę powinien. Nawet jeśli dostęp jest ograniczany regułami firewall czy segmentacją, sama logika VPN sprzyja myśleniu sieciowemu: najpierw wpuszczamy użytkownika do środka, a potem próbujemy kontrolować, gdzie może pójść.
W czasach zaawansowanych ataków, phishingu i przejmowania kont to poważne ryzyko. Jeśli cyberprzestępca zdobędzie dane logowania albo przejmie słabo zabezpieczone urządzenie, VPN może stać się wygodnym punktem wejścia do infrastruktury.
Do tego dochodzą kwestie operacyjne. Koncentratory VPN trzeba utrzymywać, aktualizować, skalować i monitorować. Przy dużej liczbie użytkowników zdalnych mogą pojawić się spadki wydajności. Użytkownicy narzekają na rozłączanie sesji, wolniejsze aplikacje, problemy z klientem VPN albo konflikty z lokalną siecią. Dla IT oznacza to kolejne zgłoszenia, wyjątki i obejścia…
Niemniej trzeba jasno wskazać, że VPN nie jest „zły”, po prostu coraz częściej nie pasuje do sposobu, w jaki firmy naprawdę pracują.
ZTNA jak działa w praktyce?
Jako przykład dajmy pracownika finansów, który potrzebuje dostępu do systemu księgowego. W modelu VPN najpierw łączy się z siecią firmową, a dopiero potem z aplikacją. W modelu ZTNA nie musi wchodzić do całej sieci. Otrzymuje dostęp tylko do tej jednej aplikacji, zgodnie z polityką bezpieczeństwa.
Co więcej, aplikacja może pozostać niewidoczna dla osób nieuprawnionych. Użytkownik widzi tylko to, do czego ma dostęp. Atakujący nie może łatwo skanować całej infrastruktury, bo zasoby nie są wystawione w taki sposób jak w tradycyjnym modelu sieciowym.
Dobre ZTNA działa dynamicznie. Dostęp może zostać przyznany, ograniczony albo odebrany w zależności od ryzyka. Inaczej traktowane może być połączenie ze służbowego laptopa z aktualnymi zabezpieczeniami, a inaczej próba logowania z nieznanego urządzenia, nietypowej lokalizacji lub po podejrzanej aktywności na koncie.
Alternatywa dla VPN w firmie
ZTNA jest coraz częściej traktowane jako realna alternatywa dla VPN w firmie, szczególnie tam, gdzie chodzi o dostęp do aplikacji prywatnych, systemów wewnętrznych i środowisk hybrydowych. Zamiast budować tunel do sieci, firma udostępnia konkretną aplikację konkretnemu użytkownikowi na konkretnych warunkach.
To podejście lepiej pasuje do zasady najmniejszych uprawnień. Pracownik HR nie potrzebuje dostępu do całej infrastruktury, żeby korzystać z systemu kadrowego. Kontraktor nie musi widzieć sieci firmowej, żeby wejść do jednej aplikacji projektowej. Administrator nie powinien mieć szerokiego dostępu „na wszelki wypadek”, jeśli można przyznać mu go precyzyjnie i czasowo.
W ten kierunek wpisują się rozwiązania takie jak Forcepoint ONE ZTNA. Jego rola polega na zapewnieniu bezpiecznego, kontrolowanego dostępu do prywatnych aplikacji bez konieczności otwierania użytkownikowi całej sieci. To praktyczny przykład przejścia od szerokiego modelu VPN do dostępu opartego na kontekście, tożsamości i politykach bezpieczeństwa.
VPN vs ZTNA – najkrócej
Najprostsze porównanie wygląda tak: VPN daje dostęp do sieci, ZTNA daje dostęp do aplikacji.
VPN zakłada, że po poprawnym logowaniu użytkownik może zostać wpuszczony do środowiska firmowego. ZTNA zakłada, że każdą próbę dostępu trzeba ocenić osobno. VPN często opiera się na lokalizacji sieciowej. ZTNA opiera się na tożsamości, urządzeniu, kontekście i ryzyku.
Czy VPN zniknie?
Sądzimy, że nie od razu. W wielu organizacjach VPN nadal będzie używany w wybranych scenariuszach: do administracji, starszych systemów, połączeń awaryjnych albo tam, gdzie migracja byłaby zbyt kosztowna. Ale jego rola się zmienia.
VPN coraz rzadziej jest najlepszym domyślnym rozwiązaniem dla wszystkich pracowników. ZTNA przejmuje obszary, w których liczy się precyzja, kontrola i ograniczenie ryzyka. Najrozsądniejsza droga to stopniowa migracja: najpierw kluczowe aplikacje, później kolejne grupy użytkowników, a na końcu ograniczanie zależności od klasycznego VPN
Firmy odchodzą od tradycyjnych VPN nie dlatego, że VPN nagle przestał działać. Odchodzą, bo zmienił się świat: praca jest hybrydowa, aplikacje są rozproszone, a ataki coraz częściej zaczynają się od przejęcia tożsamości.
ZTNA odpowiada na te wyzwania lepiej, bo nie daje szerokiego dostępu do sieci. Daje precyzyjny dostęp do konkretnych aplikacji, na podstawie kontekstu i zasad bezpieczeństwa. Dzięki temu ogranicza powierzchnię ataku, poprawia kontrolę i lepiej pasuje do nowoczesnego środowiska IT.
Pytanie nie brzmi więc: „czy VPN działa?”. Brzmi: „czy sam VPN wystarczy firmie, która chce bezpiecznie pracować z dowolnego miejsca?”. Coraz częściej odpowiedź brzmi: nie. Dlatego ZTNA, w tym rozwiązania takie jak Forcepoint ONE ZTNA, staje się jednym z najważniejszych kierunków rozwoju bezpiecznego zdalnego dostępu. Jeżeli temat ZTNA, bezpiecznego dostępu zdalnego lub migracji z klasycznego VPN jest dla Was interesujący, chętnie odpowiemy na dodatkowe pytania i pomożemy dobrać podejście najlepiej dopasowane do środowiska organizacji.
