Безопасность и Zero Trust
Zero Trust на Microsoft: три принципа (verify explicitly, least privilege, assume breach), реализация на Entra, Defender и Azure и с чего начать.
Tugelbay Konabayev, Marketing Specialist · 19 июня 2026 г.
Эти блоки отвечают на практические вопросы без скрытого текста и без неподтвержденных обещаний по срокам, стоимости или результату.
Zero Trust («нулевое доверие») — это модель безопасности, при которой никому — даже внутри корпоративной сети — не доверяют по умолчанию. Каждый запрос на доступ явно проверяется: кто пользователь, с какого устройства, откуда и к каким данным, — и доступ выдаётся по минимуму необходимых прав. Девиз модели: «никогда не доверяй, всегда проверяй».
Отказаться от мысли, что «внутри сети безопасно». В мире облаков, удалёнки и SaaS чёткого периметра больше нет, и доверие строится не по расположению, а по явной проверке каждого запроса. Поэтому даже внутри сети доступ ограничивают, шифруют и мониторят — считая, что взлом может произойти в любой момент.
Assume breach («считай, что взлом уже произошёл») — один из трёх принципов Zero Trust. Он означает, что защиту строят не в расчёте на то, что злоумышленник не попадёт в сеть (он попадёт), а так, чтобы минимизировать ущерб: шифровать данные, сегментировать сеть, ограничивать привилегии, вести мониторинг и быстро реагировать.
С идентичности. Самые первые шаги с самым большим эффектом: включить MFA для всех администраторов, настроить Conditional Access (откуда, с каких устройств, в какое время можно входить), защитить привилегированные аккаунты (PIM) и включить базовый мониторинг. Это закрывает большую часть рисков до любых крупных инфраструктурных проектов.
«Zero Trust» — термин, который в последние годы звучит почти в каждом разговоре о корпоративной безопасности. При этом под ним часто понимают что угодно: от «просто включить MFA» до «полной перестройки сети». Из-за этого кажется, что Zero Trust — это разовый дорогой проект, который доступен только крупным корпорациям. На самом деле это архитектурная модель, которую внедряют итеративно, начиная с самого рискованного.
Этот гайд объясняет, что такое Zero Trust, какие у неё три принципа и опоры, как модель реализуется на технологиях Microsoft (Entra ID, Conditional Access, Defender, Intune, Azure), и с чего начать компании в Казахстане, Центральной Азии, на Кавказе и в Украине. Технические утверждения опираются на официальную документацию Microsoft Learn (Zero Trust Guidance Center), ссылки — в разделе «Источники».
Zero Trust («нулевое доверие») — это модель безопасности, при которой никто — ни внутри, ни снаружи сети — не получает доверия по умолчанию. Каждый запрос на доступ явно проверяется по доступным сигналам (идентичность, устройство, расположение, поведение), доступ выдаётся по принципу минимальных привилегий, а защита строится из расчёта, что компрометация уже возможна. Краткий девиз Microsoft: «never trust, always verify».
На Microsoft Zero Trust реализуется через Entra ID (идентичность, Conditional Access, MFA, PIM), Microsoft Defender (защита конечных точек, почты, приложений, identoty), Intune (управление устройствами и compliance) и Azure (сегментация сети, шифрование, мониторинг). Это не один продукт и не разовый проект, а дорожная карта: компании начинают с идентичности и закрывают самые большие риски, потом расширяют на устройства, приложения и данные. Подробнее про базовый слой идентичности — в гайде Entra ID: что это и зачем компании.
Классическая модель безопасности строилась на периметре: «внутри сети — свои, доверяем; снаружи — чужие, не пускаем». Эта модель работала, когда приложения стояли в офисе, а сотрудники заходили в них из офиса же. Но в реальности облачных сервисов, удалённой работы, личных устройств и SaaS чёткого периметра больше нет: сотрудник из дома обращается к CRM в облаке, подрядчик — к корпоративному порталу, а почта живёт у Microsoft. Где проходит «стена» — уже непонятно.
Zero Trust — это ответ на эту реальность. Модель не пытается построить идеальную стену, а меняет логику: доверие не даётся по расположению. Каждый запрос проверяется явно, доступ минимизируется, а система проектируется так, чтобы выдерживать компрометацию отдельных узлов. Это не «продукт Zero Trust», а набор принципов и практик, под которые подбираются конкретные технологии.
По официальной формулировке Microsoft, Zero Trust строится на трёх принципах:
Эти три принципа — не лозунги, а критерии для отбора технологий и настройки: каждая покупка и каждая конфигурация должны усиливать хотя бы один из них.
Microsoft группирует Zero Trust по шести опорам (pillars): идентичность, устройства, приложения, данные, сеть, инфраструктура — плюс сквозные видимость, автоматизация и управление. Для бизнеса практический смысл такой: Zero Trust — это не одна точка, а несколько направлений, и продвигаться по ним можно параллельно или по очереди, в зависимости от того, где риск выше.
Сквозные элементы — журналирование, SIEM (Microsoft Sentinel), автоматизация реагирования — связывают опоры в единую картину.
Каждая опора на платформе Microsoft закрывается конкретными технологиями:
Главное: эти инструменты работают вместе. Conditional Access может не пустить пользователя в приложение, если его устройство не соответствует политике Intune; Defender сигнализирует о риске устройства; Sentinel сводит всё в инцидент. Это и есть «интегрированный» Zero Trust.
Zero Trust — это дорожная карта, и пытаться «сделать всё сразу» — ошибка. Практический порядок для большинства компаний:
Первые два шага закрывают большую часть реальных рисков и требуют минимальных вложений. Полная зрелость по всем опорам — это уже multi-year roadmap.
Перед запросом оценки или первым проектом полезно зафиксировать:
Чем точнее эти вводные, тем реальнее план первого этапа Zero Trust — без распыления на «всё и сразу».
Технические утверждения опираются на официальную документацию Microsoft:
Состав лицензий, имена функций и доступность сервисов в регионе меняются — проверяйте в документации Microsoft Learn и у CSP-партнёра. Этот гайд не заменяет юридический или технический аудит конкретной инфраструктуры; ссылки на законы приведены справочно, действующая редакция — на официальных ресурсах (например, Adilet для РК).
Нет. Zero Trust — это модель безопасности и архитектурный подход, а не продукт. У Microsoft есть набор технологий (Entra ID, Conditional Access, Defender, Intune, Azure), которые реализуют эту модель, но сама концепция Zero Trust vendor-neutral и применяется на любой платформе. Microsoft — один из крупнейших поставщиков решений для неё.
Классическая модель строит «стену» вокруг корпоративной сети: внутри сети пользователю доверяют по умолчанию. Zero Trust не доверяет никому по умолчанию — даже внутри сети. Каждый запрос на доступ проверяется явно (кто, с какого устройства, откуда, к каким данным), и доступ выдаётся по принципу минимальных привилегий. Это ответ на реальность облачных и удалённых сценариев, где чёткого периметра больше нет.
По официальной формулировке Microsoft: verify explicitly (проверяй явно — аутентифицируй и авторизуй каждый запрос по всем доступным сигналам), use least privilege (используй минимальные привилегии — давай только нужный доступ на нужное время), assume breach (исполняйся от взлома — считай, что компрометация уже возможна, и шифруй, сегментируй, мониторь).
Нет. Zero Trust — это путь (roadmap), а не разовый проект. Компании обычно начинают с идентичности: MFA для администраторов, Conditional Access, защита привилегированных аккаунтов. Потом добавляют устройства (Intune, compliance), затем приложения, данные и сеть. Полная зрелость занимает годы и чаще наращивается итеративно, приоритет — по риску.
Нет, наоборот. Zero Trust создавалась под мир без чёткого периметра: облачные приложения, удалённые сотрудники, личные устройства, SaaS. Модель работает и для пользователя из офиса, и для удалённого из дома, и для гостя — потому что доверие строится не на «откуда», а на проверке идентичности, устройства и контекста запроса.
Базовые элементы (MFA, Conditional Access) требуют Microsoft Entra ID P1 — она входит в Microsoft 365 E3 и Business Premium. Продвинутые сценарии (Identity Protection, Privileged Identity Management, Conditional Access с риском) требуют Entra ID P2 (M365 E5 или Security add-on). Защита конечных точек — Microsoft Defender for Endpoint и Intune; облачная SIEM — Microsoft Sentinel. Точный состав зависит от приоритетов.
Да, Zero Trust — один из самых признанных ответов на требования регуляторов и стандартов по защите данных: явная аутентификация, минимизация доступа, журналирование, сегментация, шифрование. В регионе это особенно актуально для финансов, госсектора и компаний, попадающих под требования закона о персональных данных.
Нет. MFA (многофакторная аутентификация) — это один из инструментов Zero Trust, часть принципа «verify explicitly». Zero Trust — более широкая модель: помимо идентичности она охватывает устройства, приложения, данные, сеть и инфраструктуру. MFA без остальных опор Zero Trust не делает.
Если у вас уже есть пример отчета, выгрузка из 1С или спорные цифры между отделами, начните с короткого BI-разбора. Для коммерческого scope используйте Power BI/Fabric маршрут, а этот гайд оставьте как подготовку вводных.
