Zero Trust model sigurnosti: načela, ZTNA i primjena

Zero Trust je sigurnosni model u kojem nijedan korisnik, uređaj ni mreža nisu unaprijed pouzdani, pa se svaki pristup pojedinom resursu odobrava tek nakon provjere identiteta, stanja uređaja i konteksta, i to samo u opsegu koji je potreban za zadatak. Model ne ukida vatrozid ni VPN. Mijenja pretpostavku da je sve unutar mreže sigurno: prema NIST-u mrežna lokacija sama po sebi ne znači povjerenje.

Zero Trust nije proizvod koji se može uvesti instalacijom. To je način projektiranja pristupa koji se uvodi postupno, resurs po resurs. Vodič objašnjava načela, dijelove arhitekture, razliku između ZTNA-e i VPN-a, mjere iz Uredbe o kibernetičkoj sigurnosti koje se oslanjaju na Zero Trust i plan primjene. Stanje je na 4. studenoga 2026.

Ukratko

• Referentni dokument je NIST SP 800-207 iz kolovoza 2020. sa sedam načela. NIST SP 1800-35 iz lipnja 2025. opisuje 19 primjera primjene.
• Tri radna načela: eksplicitna provjera, najmanje potrebne ovlasti i pretpostavka da je napadač već unutra.
• CISA model zrelosti dijeli Zero Trust na pet stupova (identitet, uređaji, mreže, aplikacije, podaci) i četiri faze zrelosti.
• Uredba o kibernetičkoj sigurnosti izričito spominje načelo nultog povjerenja kod zaštite mreže (mjera 6.1.) i arhitekturu nultog povjerenja kod razvoja sustava (mjera 9.4.). MFA za VPN i SaaS alate dostupne s interneta obvezan je na svim razinama (mjera 5.3.).
• Zašto to vrijedi: napad na Colonial Pipeline 2021. počeo je ukradenom lozinkom za stari VPN račun bez MFA-a.
• Za male tvrtke prvi koraci ne traže novu platformu: inventar, MFA, odvojeni administratorski računi, ograničen pristup dobavljača i zapisi o prijavama.

Što je Zero Trust

NIST Zero Trust opisuje kao skup načela usmjerenih na zaštitu resursa: podataka, aplikacija, usluga i računa. Pitanje se mijenja iz „je li korisnik unutar mreže” u „smije li ovaj korisnik, s ovog uređaja, u ovom trenutku, izvršiti ovu radnju nad ovim resursom”.

Kratka povijest

Zašto granica mreže više nije dovoljna

Tradicionalni model „dvorca i jarka” štiti granicu mreže, a unutra daje široko povjerenje. Taj model slabi kada tvrtka koristi aplikacije u oblaku, udaljeni rad, osobne uređaje i pristup dobavljača. Napadač koji prođe granicu, primjerice ukradenom VPN lozinkom, dobiva pristup svemu što granica štiti.

Dva primjera:

• Colonial Pipeline, svibanj 2021.: direktor tvrtke potvrdio je pred američkim Senatom da su napadači ušli kroz stari VPN račun koji je imao samo lozinku, bez višefaktorske autentifikacije. Ransomware napad doveo je do višednevnog zaustavljanja rada cjevovoda.
• Ivanti VPN, siječanj 2024.: CISA je hitnom direktivom 24-01 naložila saveznim agencijama hitne mjere zbog aktivno iskorištavanih ranjivosti u Ivanti Connect Secure uređajima. Dopunom direktive agencije su morale odspojiti sve takve uređaje do 2. veljače 2024. Prema CISA-i, napadači su preko njih krali vjerodajnice i kretali se dalje kroz mrežu.

U oba slučaja jedna točka na granici bila je dovoljna za širok pristup. Zero Trust smanjuje takav rizik jer ulazak u mrežu ne daje automatski pristup resursima.

Načela Zero Trusta

Sedam načela prema NIST SP 800-207

1. Svi izvori podataka i računalne usluge smatraju se resursima.
2. Sva komunikacija štiti se neovisno o mrežnoj lokaciji. Zahtjev s mreže tvrtke mora ispuniti iste uvjete kao zahtjev izvana.
3. Pristup pojedinom resursu odobrava se po sesiji, uz najmanje potrebne ovlasti. Pristup jednom resursu ne daje pristup drugom.
4. Pristup određuje dinamička politika koja uzima u obzir identitet, aplikaciju, stanje uređaja i druge okolnosti.
5. Tvrtka prati stanje i sigurnost sve imovine. Nijedan uređaj nije pouzdan sam po sebi.
6. Autentikacija i autorizacija dinamične su i strogo se provode prije pristupa, uz MFA i ponovnu provjeru tijekom rada.
7. Tvrtka prikuplja što više podataka o imovini, mreži i komunikaciji i koristi ih za poboljšanje sigurnosti.

NIST naglašava da su načela cilj, a ne uvjet koji svaka organizacija mora odmah u potpunosti ispuniti.

Tri radna načela

Microsoftov model sažima Zero Trust u tri načela koja se često koriste u praksi:

Britanski NCSC daje osam načela za projektiranje, među kojima su: poznavanje arhitekture, korisnika, uređaja, usluga i podataka, jedinstveni identiteti korisnika, usluga i uređaja, autorizacija svakog zahtjeva prema politici i nepovjerenje prema bilo kojoj mreži, uključujući vlastitu.

Arhitektura odluke o pristupu

NIST-ov logički model ima tri dijela:

Odluka koristi signale iz sustava za upravljanje identitetima, upravljanja uređajima, evidencije imovine, klasifikacije podataka, SIEM-a i zaštite krajnjih točaka. Više signala ne znači bolju odluku. Svaki signal mora biti pouzdan, aktualan i povezan s jasnim pravilom.

Pet stupova CISA modela zrelosti

Kroz sve stupove protežu se vidljivost i analitika, automatizacija i upravljanje. CISA razlikuje četiri faze: tradicionalnu, početnu, naprednu i optimalnu. Tvrtka ne mora biti u istoj fazi u svim stupovima.

ZTNA i VPN

VPN ne mora odmah nestati. Može ostati za određene sustave dok se pristup prebacuje na ZTNA ili aplikacijski proxy. Važno je da sama VPN veza ne daje širok pristup bez provjere resursa, uređaja i ovlasti, i da VPN ima MFA.

Glavne sposobnosti

Identitet i autentikacija. Jedinstven životni ciklus korisnika, vanjskih suradnika i servisnih računa. MFA prema riziku, a za administratore i kritične pristupe metode otporne na phishing. Posebno zaštitite postupak oporavka računa, jer slab oporavak može zaobići jaku prijavu.

Autorizacija i najmanje ovlasti. Pristup prema ulozi i resursu, privremeni administratorski pristup kada je potreban, redovita revizija naslijeđenih i neiskorištenih ovlasti, zaštićeni hitni računi.

Stanje uređaja. Politika može uzeti u obzir podržan operacijski sustav, zakrpe, šifriranje diska, zaštitu krajnje točke i vlasništvo uređaja. Za aplikacije i mikroservise važan je identitet servisa, ne samo IP adresa.

Segmentacija. Granica može biti aplikacijski proxy, gateway, vatrozid na poslužitelju ili segment mreže. Pravilo dopušta potrebne tokove i odbija ostale, a provjerava se testom.

Zaštita podataka. Klasifikacija omogućuje različita pravila za javni dokument, osobni podatak i poslovnu tajnu, primjerice zabranu preuzimanja na neupravljani uređaj.

Zapisi i odgovor. Zapisi moraju pokazati tko je dobio pristup, na temelju kojih signala i s kojim ishodom. Promjena rizika može tražiti novu prijavu ili prekid sesije.

Zero Trust u hrvatskim propisima

Uredba o kibernetičkoj sigurnosti

Prilog II. Uredbe propisuje mjere upravljanja rizicima za ključne i važne subjekte u tri razine: osnovnoj, srednjoj i naprednoj. Razina se određuje pri kategorizaciji prema procijenjenom riziku subjekta (čl. 38.). Svaka podmjera označena je kao obvezna (A), obvezna pod uvjetom (B) ili dobrovoljna (C), a dobrovoljne se preporučuju prema procjeni rizika (čl. 44. i 45.).

Mjera 9.4. obvezna je za subjekte srednje i napredne razine koji sami razvijaju ili održavaju svoje sustave.

NIS2 i GDPR

NIS2 Zero Trust ne spominje izričito, ali čl. 21. st. 2. traži politike kontrole pristupa i upravljanje imovinom (točka i) te višefaktorsku ili kontinuiranu provjeru autentičnosti (točka j). Kupnja alata s oznakom Zero Trust nije dokaz usklađenosti. Mjera mora proizlaziti iz procjene rizika i dokazivo djelovati.

GDPR u čl. 25. i 32. traži integriranu zaštitu podataka i sigurnost obrade primjerenu riziku. Najmanje ovlasti, šifriranje i zapisi o pristupu izravno podupiru te obveze, a zapisi pomažu i pri procjeni povrede osobnih podataka.

Plan primjene korak po korak

1. Odaberite jedan važan resurs, primjerice administraciju Microsoft 365 ili Google Workspacea, financijsku aplikaciju ili portal za vanjske suradnike. Odredite vlasnika, korisnike, podatke i ovisnosti.
2. Nacrtajte stvarne tokove: tko pristupa, s kojih uređaja, kojim putem, uključujući servisne račune, API-je i dobavljače. Promatrajte promet prije blokiranja.
3. Uredite identitete: uklonite zajedničke i nepotrebne račune, uvedite centraliziranu prijavu i MFA, odvojite administratorske račune.
4. Napišite pravila: „Član financija može odobriti plaćanje samo s upravljanog uređaja, uz prijavu otpornu na phishing. Iznos iznad praga traži drugu osobu.” Pravilo ima resurs, radnju, identitet, kontekst i zapis.
5. Postavite provedbenu točku i plan za kvar: odredite što se događa kada sustav za identitete nije dostupan, kako rade hitni računi i kako se bilježi njihova uporaba.
6. Pilotirajte i mjerite: prvo način promatranja, zatim ograničen pilot uz podršku korisnicima. Mjerite točnost odluka i smanjenje širokih ovlasti, ne samo broj blokada.
7. Proširite na sljedeći resurs i ažurirajte inventar, procjenu rizika i plan odgovora na incidente.

Prioriteti za mala i srednja poduzeća

Mala tvrtka ne treba novu platformu da bi uklonila najveća mjesta implicitnog povjerenja:

1. popis najvažnijih aplikacija, podataka, administratora i pristupa dobavljača;
2. MFA za e-poštu, administraciju, aplikacije u oblaku i udaljeni pristup;
3. odvojeni administratorski i svakodnevni računi;
4. pristup dobavljača ograničen na potrebnu uslugu i vrijeme;
5. uvjetni pristup važnim aplikacijama samo s poznatih i ažurnih uređaja, kada alat to podržava;
6. odvojena mreža za goste, uređaje i proizvodnju;
7. zapisi o prijavama, promjenama ovlasti i administrativnim radnjama;
8. test opoziva računa i rada kada pružatelj identiteta nije dostupan.

To još nije potpuna Zero Trust arhitektura, ali uklanja najrizičnije široke pristupe i daje mjerljivu osnovu.

Najčešće pogreške i zablude

• „Zero Trust je proizvod.” Nijedan proizvod ne isporučuje Zero Trust sam. Potrebni su inventar, pravila, procesi i više tehnologija koje zajedno donose odluke.
• „Uveli smo MFA, dakle imamo Zero Trust.” MFA potvrđuje identitet, ali ne uređuje ovlasti, stanje uređaja ni segmentaciju.
• „Zero Trust znači da nikome ne vjerujemo.” Povjerenje se daje, ali na temelju provjere, za određeni resurs i ograničeno vrijeme.
• „Moramo zamijeniti cijelu infrastrukturu.” Primjena ide resurs po resurs i koristi postojeće sustave gdje je moguće.
• Preširoka pravila radi jednostavnosti. Jedna grupa s pristupom svemu vraća implicitno povjerenje.
• Zaboravljeni servisni računi i API ključevi. Često imaju trajne tajne i široke ovlasti, pa trebaju vlasnika, rotaciju i praćenje.
• Blokiranje bez plana dostupnosti. Pogrešno pravilo može zaustaviti proizvodnju. Hitni pristup i povratak na sigurnu konfiguraciju moraju biti testirani.

Kako mjeriti napredak

• udio kritičnih resursa s vlasnikom i dokumentiranim tokovima;
• udio administratorskih pristupa koji su vremenski ograničeni i zaštićeni jakom autentikacijom;
• broj širokih trajnih ovlasti i njihovo smanjenje;
• vrijeme opoziva pristupa korisnika, servisa i dobavljača;
• rezultat testa zabranjenog bočnog kretanja;
• broj pogrešnih blokada i vrijeme do povratka korisnika.

Broj licenci ili uključenih pravila ne mjeri smanjenje rizika.

Česta pitanja

Sljedeći korak

Procjenu postojećeg pristupa, identiteta i segmentacije te plan uvođenja Zero Trust mjera radimo u sklopu usluga kibernetičke sigurnosti. Koje mjere iz Uredbe vrijede za vašu tvrtku ovisi o kategorizaciji, opisanoj u vodiču NIS2 kategorizacija. Kako napadači iskorištavaju slabe točke pristupa pokazuju vodiči Kibernetički napadi i Penetracijski testovi.

Izvori i pregled

Pregledano 4. studenoga 2026. prema sljedećim izvorima:

• NIST SP 800-207: Zero Trust Architecture, kolovoz 2020.
• NIST SP 1800-35: Implementing a Zero Trust Architecture, lipanj 2025.
• CISA: Zero Trust Maturity Model, verzija 2.0
• NCSC: Zero trust architecture design principles
• Microsoft: Zero Trust overview
• CISA: Emergency Directive 24-01, Ivanti Connect Secure
• OMB M-22-09: Moving the U.S. Government Toward Zero Trust Cybersecurity Principles
• Direktiva (EU) 2022/2555, čl. 21.
• Uredba o kibernetičkoj sigurnosti, NN 135/2024, Prilog II.
• Senat SAD-a: saslušanje direktora Colonial Pipelinea, lipanj 2021.

Vodič daje arhitektonski i regulatorni okvir. Konkretna pravila pristupa projektiraju se i testiraju prema poslovnim procesima, tehničkim ograničenjima i procjeni rizika.