ज़ीरो ट्रस्ट आर्किटेक्चर: सिस्टम को सुरक्षित रखने का आधुनिक तरीका

आज लोग कहीं से भी काम करते हैं (घर, कोवर्किंग स्पेस, हवाई अड्डे, कैफ़े…) और निजी डिवाइस, क्लाउड ऐप्स तथा साझा SaaS टूल का उपयोग करते हैं जो कंपनी की परिधि से काफी बाहर होते हैं। ज़ीरो ट्रस्ट आर्किटेक्चर (ZTA) के साथ, हम यह मानकर चलते हैं कि उल्लंघन किसी भी क्षण हो सकता है, बजाय इसके कि डिफ़ॉल्ट रूप से भरोसा कर लिया जाए।

मैंने पहली बार ज़ीरो ट्रस्ट के बारे में कुछ साल पहले तब सुना जब मैं एक स्टार्टअप के साथ काम कर रहा था जिसके इंजीनियर तीन महाद्वीपों में फैले थे और ग्राहक डेटा कुछ अलग-अलग क्लाउड प्रदाताओं के बीच बह रहा था। यह ट्रैक करना कि किसके पास किस चीज़ तक पहुंच है, कम करके कहें तो चुनौतीपूर्ण था। हालांकि, कुछ zero-trust सिद्धांत अपनाने से तुरंत फर्क पड़ा। गलत अलर्ट कम हुए, जवाबदेही स्पष्ट हुई, और सभी के लिए तनाव में उल्लेखनीय कमी आई।

इस लेख में, हम देखेंगे कि ज़ीरो ट्रस्ट वास्तव में क्या है, यह व्यवहार में कैसे काम करता है, और कोई भी संगठन इसे अपनाना कैसे शुरू कर सकता है ताकि सुरक्षित रह सके। यदि आप साइबर सुरक्षा में नए हैं या आधुनिक खतरों के काम करने के तरीके पर त्वरित पुनरावलोकन चाहते हैं, तो हमारा Introduction to Data Security कोर्स एक बेहतरीन शुरुआती बिंदु है। यह प्रमाणीकरण, एन्क्रिप्शन, और एक्सेस नियंत्रण जैसे मूल सिद्धांतों को समझाता है।

ज़ीरो ट्रस्ट आर्किटेक्चर क्या है?

ZTA एक सुरक्षा मॉडल है जो एक प्रमुख विचार पर आधारित है: कभी भरोसा न करें, हमेशा सत्यापित करें। अपने नेटवर्क के अंदर मौजूद उपयोगकर्ताओं या डिवाइस को सुरक्षित मानने के बजाय, ज़ीरो ट्रस्ट हर रिक्वेस्ट को तब तक संभावित रूप से दुर्भावनापूर्ण मानता है जब तक कि अन्यथा सिद्ध न हो जाए। यह सख्त लग सकता है, लेकिन इससे किसी के चुपचाप अंदर घुस जाने की संभावना काफी घट जाती है।

ज़ीरो ट्रस्ट कोई एकल उत्पाद या टूल नहीं है जिसे आप खरीद लें। यह एक फ़्रेमवर्क है जो नीतियों, पहचान प्रबंधन, मॉनिटरिंग और स्वचालन को जोड़ता है ताकि हर एक्सेस रिक्वेस्ट वैध और संदर्भानुरूप हो। यह इन बातों को देखता है:

• रिक्वेस्ट कौन कर रहा है (उपयोगकर्ता की पहचान)
• वह कौन-सा डिवाइस उपयोग कर रहे हैं (डिवाइस की स्थिति)
• वे कहाँ से कनेक्ट कर रहे हैं (स्थान और जोखिम स्तर)
• वे क्या करने की कोशिश कर रहे हैं (कम-से-कम विशेषाधिकार एक्सेस)

इन कारकों को लगातार सत्यापित करके, ज़ीरो ट्रस्ट संगठनों को चोरी हुए क्रेडेंशियल्स, अंदरूनी दुरुपयोग, और उल्लंघन के बाद लैटरल मूवमेंट जैसे आधुनिक खतरों से बचाने में मदद करता है।

ठीक है, लेकिन व्यवहार में इसका मतलब क्या होता है? मूल मॉडल तीन साधारण लेकिन शक्तिशाली सिद्धांतों पर टिकता है:

1. सतत सत्यापन

ज़ीरो ट्रस्ट मानता है कि भरोसा जल्दी समाप्त हो जाना चाहिए। हर लॉगिन, हर एक्सेस रिक्वेस्ट, और कभी-कभी हर कार्रवाई को रीयल-टाइम में सत्यापित किया जाता है। मल्टी-फैक्टर ऑथेंटिकेशन, डिवाइस हेल्थ चेक, और व्यवहार विश्लेषण यह पुष्टि करने में मदद करते हैं कि उपयोगकर्ता वही हैं जो वे दावा करते हैं और उनके डिवाइस कनेक्ट करने के लिए सुरक्षित हैं।

2. कम-से-कम विशेषाधिकार एक्सेस

यहाँ तक कि विश्वसनीय उपयोगकर्ताओं को भी हर चीज़ तक व्यापक पहुंच नहीं होनी चाहिए। विचार यह है कि लोगों और सिस्टम को बस उतनी ही पहुंच दी जाए जितनी उनके काम के लिए आवश्यक है, उससे ज़्यादा नहीं। जस्ट-इन-टाइम (JIT) और जस्ट-इनफ एक्सेस (JEA) जैसी तकनीकें जोखिम को सीमित रखती हैं, ताकि यदि कोई एक खाता समझौता हो भी जाए, तो नुकसान नियंत्रित रहे।

3. उल्लंघन मानकर चलना

ज़ीरो ट्रस्ट इस धारणा पर काम करता है कि हमलावर पहले से अंदर हो सकता है। केवल रोकथाम पर निर्भर रहने के बजाय, यह रोकथाम-नियंत्रण पर केंद्रित रहता है, और माइक्रोसेगमेंटेशन, विसंगति पहचान, और सतत मॉनिटरिंग जैसी तकनीकों से खतरों को फैलने से पहले रोकता है।

ज़ीरो ट्रस्ट के स्तंभ

ZTA के स्तंभ इस दर्शन को ठोस फोकस क्षेत्रों में अनुवादित करते हैं। अलग-अलग फ़्रेमवर्क इन स्तंभों को थोड़ा अलग परिभाषित करते हैं (CISA पाँच का उपयोग करता है, जबकि रक्षा विभाग इसे सात तक बढ़ाता है), पर लक्ष्य एक ही है: पूरे संगठन में हम जोखिम को कैसे सत्यापित करें, सुरक्षित रखें और नियंत्रित करें?

मुझे पता है यह बहुत कुछ लगता है, लेकिन आपको सब कुछ एक साथ सुरक्षित करने की ज़रूरत नहीं! वास्तव में, अधिकांश संगठन छोटे स्तर से शुरू करते हैं (अक्सर पहचान और डिवाइस से) और जैसे-जैसे उनके सिस्टम और टीमें परिपक्व होती हैं, धीरे-धीरे विस्तार करते हैं। आइए इसे और करीब से देखें।

ज़ीरो ट्रस्ट कैसे लागू करें

मैं छिपाऊँगा नहीं, ZTA को लागू करना बड़ा काम हो सकता है। लेकिन, जैसा कि मैंने पहले कहा, इसे एक ही बार में करना जरूरी नहीं। सबसे सफल कार्यान्वयन क्रमिक रूप से होते हैं—दृश्यता और छोटे, उच्च-प्रभाव वाले कदमों से शुरू करके—और फिर सिस्टम और टीमों में विस्तार करते हैं।

जब मैंने एक स्टार्टअप को उसके पहले ज़ीरो ट्रस्ट नियंत्रण लागू करने में मदद की, तो हमने न तो किसी उन्नत स्वचालन से शुरुआत की और न ही नेटवर्क सेगमेंटेशन से। हमने बस यह मैप किया कि किसके पास किस चीज़ तक पहुंच है, हर जगह MFA लागू किया, और कुछ स्पष्ट नीतियाँ बनाईं। उतने भर से भी जोखिम काफी घट गया और यह पहचानना आसान हुआ कि बड़े सुधार कहाँ चाहिए।

यहाँ एक व्यावहारिक रोडमैप है जो अधिकांश संगठनों के लिए काम करेगा:

1. अपने एसेट और डेटा फ्लो का मानचित्र बनाएं

जिसका अस्तित्व ही न पता हो, उसकी सुरक्षा नहीं की जा सकती। उपयोगकर्ता, डिवाइस, एप्लिकेशन और डेटा की पहचान से शुरू करें, और यह भी कि वे कैसे परस्पर क्रिया करते हैं। इससे अनावश्यक एक्सेस पथ या चुपचाप जोखिम पैदा कर रही पुरानी प्रणालियाँ उजागर होती हैं।

2. उपयोगकर्ताओं और डिवाइस को सत्यापित करें

मजबूत पहचान और डिवाइस सत्यापन लागू करें। यानी MFA सक्षम करें, डिवाइस पोस्टर जाँचें, और पहचान प्रबंधन सिस्टम (जैसे IAM या SSO) को एकीकृत करें ताकि टूल्स में प्रमाणीकरण लगातार हो।

3. वर्कफ़्लो और निर्भरताएँ मैप करें

डेटा और एप्लिकेशन कैसे कनेक्ट होते हैं, इसे दस्तावेज़ करें। इससे आपको समझने में मदद मिलेगी कि कौन-से सिस्टम सबसे महत्वपूर्ण हैं, और किन्हें अलग या सीमित किया जा सकता है बिना दैनिक कामकाज को प्रभावित किए।

4. नीतियाँ परिभाषित करें और लागू करें

कम-से-कम विशेषाधिकार और संदर्भगत जोखिम के इर्द-गिर्द एक्सेस नीतियाँ लिखें। उदाहरण के लिए, किसी ठेकेदार को केवल व्यवसाय घंटों में, और केवल सत्यापित डिवाइस से, एक विशेष ऐप तक ही पहुँच मिले।

5. स्वचालन करें और सतत मॉनिटरिंग रखें

एक बार नियम स्थापित हो जाने के बाद, स्वचालन उन्हें सुसंगत रखता है। सतत मॉनिटरिंग टूल्स असामान्य लॉगिन, प्रिविलेज एस्केलेशन, या डेटा ट्रांसफर को रीयल-टाइम में फ़्लैग कर सकते हैं, इससे पहले कि वे बड़े घटनाक्रम बनें।

6. परीक्षण करें, सीखें, और दोहराएँ

यदि आप इस लेख से एक बात याद रखें, तो वह यह हो: ज़ीरो ट्रस्ट कोई ऐसी चेकबॉक्स नहीं है जिसे एक बार टिक कर दें! यह एक विकसित होती प्रणाली है। आपको नियंत्रणों का परीक्षण करना, अलर्ट की समीक्षा करना, और नियमित रूप से नीतियों को समायोजित करना होता है—खासकर जैसे-जैसे आपका संगठन बढ़ता है।

क्योंकि ज़ीरो ट्रस्ट का बहुत कुछ आपके क्लाउड परिवेश को समझने पर निर्भर करता है, हमारा Understanding Cloud Computing एक उपयोगी सहायक कोर्स है। यह समझाता है कि क्लाउड सेवाएँ अंदर से कैसे काम करती हैं और मल्टी-क्लाउड दुनिया में डेटा स्वामित्व, वर्कलोड और आर्किटेक्चर के बारे में कैसे सोचना चाहिए।

ज़ीरो ट्रस्ट के लाभ और चुनौतियाँ

जब ZTA सही ढंग से किया जाता है, तो यह पूरे संगठन में एक्सेस नियंत्रण और दृश्यता के लिए एक स्पष्ट, सुसंगत आधार तैयार करता है। लेकिन किसी भी बड़े बदलाव की तरह, इसके साथ चुनौतियाँ भी आती हैं।

यहाँ दोनों पहलों पर आप क्या उम्मीद कर सकते हैं:

एक और बात है जिसका यहाँ जिक्र बनता है। जब मैंने पहली बार एक ज़ीरो-ट्रस्ट रोलआउट पर काम किया, तो सबसे बड़ा रोड़ा तकनीक और टूल नहीं थे; बल्कि सामान्य कंपनी मानसिकता थी। लोग एक बार भरोसा करके आगे बढ़ने के आदी हैं। ज़ीरो ट्रस्ट उनसे कहता है कि हर बार सत्यापित करें। शुरुआत में यह अतिरिक्त काम जैसा लगता है, पर एक बार स्वचालन गति पकड़ ले, तो यह अंतिम उपयोगकर्ता के लिए लगभग अदृश्य हो जाता है। सभी को सचमुच प्रक्रिया पर भरोसा करना पड़ता है!

इसे कम करने के लिए आप अपनाने की प्रक्रिया को चरणबद्ध कर सकते हैं। छोटे स्तर से शुरू करें (शायद केवल पहचान और MFA से), मूल्य साबित करें, और धीरे-धीरे विस्तार करें। समय के साथ, आप सुरक्षा और सुगम उपयोगकर्ता अनुभव के बीच संतुलन पा लेंगे।

वास्तविक जीवन में ज़ीरो ट्रस्ट

ज़ीरो ट्रस्ट दुनिया के कुछ सबसे बड़े संगठनों द्वारा अपने सिस्टम, डेटा और लोगों की सुरक्षा के लिए लागू किया जाता है। दिलचस्प बात यह है कि हर सफल रोलआउट थोड़ा अलग दिखता है। कुछ ने उल्लंघन के बाद शुरुआत की, कुछ ने आधुनिकीकरण के हिस्से के रूप में।यहाँ कुछ उदाहरण हैं जो दिखाते हैं कि यह व्यवहार में कैसे काम करता है और हम उनसे क्या सीख सकते हैं:

Google: VPN से BeyondCorp तक

2009 में, Google को Operation Aurora नाम के एक बड़े साइबर हमले का सामना करना पड़ा। पुराने सिस्टम को पैच करने के बजाय, कंपनी ने यह पूरी तरह से नए सिरे से सोचा कि कर्मचारी संसाधनों तक कैसे पहुँचते हैं। परिणाम था BeyondCorp, एक शुरुआती ज़ीरो-ट्रस्ट मॉडल जिसने VPN की जरूरत ही खत्म कर दी।

आंतरिक ऐप्स पर हर रिक्वेस्ट को पहचान, डिवाइस की स्थिति, और संदर्भ (जैसे स्थान या नेटवर्क) के माध्यम से सत्यापित किया जाता है। इसका मतलब है कि चाहे कोई इंजीनियर माउंटेन व्यू से काम करे या टोक्यो के किसी कैफ़े से, एक्सेस एक ही तरीके से मिलता है: भरोसे के संकेतों के आधार पर गतिशील रूप से।

अब Google के पास वैश्विक कार्यबल है जो कहीं से भी सुरक्षित रूप से काम कर सकता है—नेटवर्क-आधारित एक्सेस की निरंतर घर्षण के बिना। BeyondCorp ने साबित किया कि ज़ीरो ट्रस्ट बड़े पैमाने पर काम कर सकता है, वह भी तब जब रिमोट वर्क मुख्यधारा नहीं था।

Capital One: सेगमेंटेशन से उल्लंघनों को सीमित करना

2019 में, एक गलत कॉन्फ़िगर फ़ायरवॉल के कारण Capital One में विशाल डेटा उल्लंघन हुआ, जिससे लाखों ग्राहक रिकॉर्ड उजागर हो गए। कंपनी की रिकवरी उसके क्लाउड इन्फ्रास्ट्रक्चर में ज़ीरो-ट्रस्ट सिद्धांत अपनाने पर केंद्रित थी।

उन्होंने हज़ारों AWS खातों में सूक्ष्म IAM रोल, माइक्रोसेगमेंटेशन, और सतत मॉनिटरिंग लागू की। एक बड़े “विश्वसनीय” आंतरिक नेटवर्क के बजाय, हर एप्लिकेशन अपना सीमित वातावरण बन गया।

अब, यदि कोई हमलावर किसी एक घटक से समझौता भी कर ले, तो लैटरल मूवमेंट सीमित रहता है और उल्लंघन स्रोत पर ही रुक जाता है।

यू.एस. डिपार्टमेंट ऑफ डिफेंस: बड़े पैमाने पर सुरक्षा

लाखों उपयोगकर्ताओं और दुनिया के सबसे बड़े डिजिटल फूटप्रिंट में से एक के साथ, यू.एस. डिपार्टमेंट ऑफ डिफेंस के सामने अपने सुरक्षा मॉडल का आधुनिकीकरण करने का दुष्कर कार्य था। 2022 में, उन्होंने सात स्तंभों—पहचान, डिवाइस, नेटवर्क, एप्लिकेशन, डेटा, दृश्यता, और स्वचालन—पर आधारित पाँच-वर्षीय ज़ीरो ट्रस्ट रणनीति शुरू की।

उनके पहले फोकस क्षेत्र पहचान और दृश्यता थे: यह सुनिश्चित करना कि सभी शाखाओं में, हर उपयोगकर्ता और डिवाइस समान संदर्भगत नीतियों के तहत प्रमाणित हों। समय के साथ, ये नियंत्रण स्वचालन और अनुकूली जोखिम प्रतिक्रिया तक विस्तारित हुए।

यह विशाल, चरणबद्ध रोलआउट दर्शाता है कि सबसे जटिल संगठन भी ज़ीरो ट्रस्ट में संक्रमण कर सकते हैं।

हेल्थकेयर: देखभाल को धीमा किए बिना रोगी डेटा की रक्षा

हेल्थकेयर में समय और सटीकता जान बचाते हैं, इसलिए पारंपरिक “सब कुछ बंद कर दो” सुरक्षा मॉडल काम नहीं करते। Mayo Clinic जैसे अस्पतालों ने क्लिनिकल वर्कफ़्लो में बाधा डाले बिना रोगी रिकॉर्ड की सुरक्षा के लिए ज़ीरो ट्रस्ट अपनाया है।

प्रत्येक स्टाफ़ भूमिका के लिए स्पष्ट रूप से परिभाषित एक्सेस स्तर हैं: चिकित्सक सुरक्षित मोबाइल डिवाइस से संवेदनशील इलेक्ट्रॉनिक हेल्थ रिकॉर्ड तक पहुँच सकते हैं, जबकि नर्स और प्रशासनिक स्टाफ़ को केवल आवश्यक डेटा तक सीमित, समय-बद्ध पहुँच मिलती है।

इन एक्सेस निर्णयों को माइक्रोसेगमेंटेशन और सतत मॉनिटरिंग सुदृढ़ करती है, जिससे यह सुनिश्चित होता है कि यदि कोई क्रेडेंशियल चोरी भी हो जाए, तो वह अस्पताल के नेटवर्क में हर दरवाज़ा नहीं खोल सके। ZTA केवल बड़ी टेक कंपनियों के लिए नहीं है।

ज़ीरो ट्रस्ट में AI और स्वचालन की भूमिका

एक बार जब ज़ीरो ट्रस्ट की बुनियाद रख दी जाती है, अगला कदम इसे बड़े पैमाने पर काम में लाना है। सौभाग्य से, आज हमारे पास इसमें मदद के लिए AI और स्वचालन मौजूद हैं।

ज़ीरो ट्रस्ट बहुत सारा डेटा उत्पन्न करता है: लॉग, एक्सेस पैटर्न, डिवाइस सिग्नल, और व्यवहारिक मेट्रिक। इन सबकी मैन्युअल समीक्षा व्यवहारिक नहीं है। स्वचालन उस शोर को कार्रवाई में बदल देता है, और AI उन कमजोर संकेतों को पकड़ने में मदद करता है जो इंसान चूक सकते हैं।

मशीन लर्निंग के जरिए अधिक चतुर पहचान

पारंपरिक सुरक्षा प्रणालियाँ तय नियमों पर निर्भर होती हैं। उदाहरण के लिए, “UK के बाहर से लॉगिन ब्लॉक करें।” लेकिन AI प्रणालियाँ हर उपयोगकर्ता या डिवाइस के लिए “सामान्य” कैसा दिखता है, यह सीख सकती हैं और सूक्ष्म विचलनों को फ़्लैग कर सकती हैं:

• रात 3 बजे किसी डेवलपर का नए रिपॉज़िटरी तक पहुँचना।
• अपडेट के बाद अचानक किसी डिवाइस का हेल्थ चेक में फेल होना।
• किसी उपयोगकर्ता द्वारा सामान्य से अधिक डेटा डाउनलोड करना।

ये विसंगतियाँ हमेशा हमले का संकेत नहीं होतीं। ये चेतावनियाँ होती हैं, और AI हानिरहित और ख़तरनाक के बीच फ़र्क को मैन्युअल समीक्षा की तुलना में बहुत तेज़ी से कर देता है। इसका उपयोग तेजी से बढ़ रहा है—CrowdStrike और Microsoft Defender जैसे प्लेटफॉर्म सेकंडों में लैटरल मूवमेंट और क्रेडेंशियल दुरुपयोग का पता लगाने के लिए ML-आधारित एनालिटिक्स का उपयोग करते हैं।

स्वचालित नीति प्रवर्तन

जब आपको पता हो कि क्या हो रहा है, तो स्वचालन प्रतिक्रिया में मदद कर सकता है। यदि कोई डिवाइस अनुपालन से बाहर हो जाए या कोई लॉगिन संदिग्ध लगे, तो ज़ीरो ट्रस्ट टूल ये कर सकते हैं:

• तुरंत पुन: प्रमाणीकरण करवाना।
• डिवाइस को नेटवर्क से अलग-थलग करना।
• एक्सेस टोकन अपने-आप रद्द कर देना।

यही वह तरीका है जिससे Zscaler Zero Trust Exchange या Okta का Risk Engine जैसे प्लेटफॉर्म काम करते हैं। रीयल-टाइम में गतिशील समायोजन मानवीय प्रतिक्रिया से तेज़ होता है और आमतौर पर पूरे सिस्टम में सुसंगत, पक्षपात-रहित प्रवर्तन का मतलब होता है।

सतत सुधार और स्वयं-ट्यूनिंग

AI नीतियों को ताज़ा रखने में भी मदद करता है। जैसे-जैसे काम के पैटर्न बदलते हैं (नए ऐप्स, नए स्थान, नए व्यवहार), ML मॉडल बदलाव सुझा सकते हैं या थ्रेशहोल्ड अपने-आप ट्यून कर सकते हैं। इस तरह, सुरक्षा मज़बूत रहती है—बिना लगातार मैन्युअल समायोजन की ज़रूरत के—और न ही उपयोगकर्ताओं को परेशान करने वाली अति-प्रतिबंधात्मक सेटिंग्स का जोखिम रहता है।

याद है मैंने कहा था कि ZTA “एक बार करके खत्म” वाला काम नहीं है? तो, AI और स्वचालन का संयोजन आपको ज़ीरो ट्रस्ट को एक गतिशील प्रणाली में बदलने में मदद कर सकता है। यह नए खतरों पर प्रतिक्रिया देता है, उपयोगकर्ता व्यवहार के अनुसार ढलता है, और तब तक सुरक्षा को अदृश्य रखता है जब तक कुछ गड़बड़ न दिखे!

नियामकीय अनुपालन और ज़ीरो ट्रस्ट

बेहतर सुरक्षा से आगे बढ़कर, ज़ीरो ट्रस्ट बढ़ती सख़्त डेटा संरक्षण क़ानूनों की दुनिया में अनुपालन बनाए रखना भी कहीं आसान बनाता है। GDPR, HIPAA, PCI-DSS, और US Federal Zero Trust Strategy (EO 14028) जैसी विनियमावलियाँ तीन बातों पर ज़ोर देती हैं: कौन डेटा तक पहुँच रहा है यह जानना, डेटा को ट्रांज़िट और रेस्ट—दोनों में सुरक्षित रखना, और विस्तृत ऑडिट ट्रेल बनाए रखना।

ज़ीरो ट्रस्ट स्वाभाविक रूप से इन सभी लक्ष्यों का समर्थन करता है क्योंकि यह डिफ़ॉल्ट रूप से पहचान सत्यापन, कम-से-कम विशेषाधिकार एक्सेस और एन्क्रिप्शन पर आधारित है। अनुपालन स्वयं आर्किटेक्चर का उप-उत्पाद बन जाता है!

निष्कर्ष

पहले साइबर सुरक्षा का फोकस बुरे तत्वों को बाहर रखना था। आज, फोकस इस पर है कि जब वे अंदर आने का रास्ता ढूंढ लें (और मानकर चलें कि वे ढूंढ ही लेंगे!), तो आप लचीले कैसे बने रहें। जैसा कि हमने देखा, ज़ीरो ट्रस्ट कोई एक बड़ा स्विच नहीं है जिसे आप ऑन कर दें—यह इस बात पर सोचने का क्रमिक बदलाव है कि आप एक्सेस, जोखिम और जवाबदेही को कैसे देखते हैं। दृश्यता से शुरू करें। मज़बूत पहचान जाँचें जोड़ें। जहाँ संभव हो स्वचालन करें। समय के साथ, आप घटनाओं पर प्रतिक्रिया देने से उन्हें पहले ही रोकने की ओर बढ़ेंगे।

इसकी खूबी यह है कि ज़ीरो ट्रस्ट केवल तकनीक की रक्षा नहीं करता, बल्कि इस बात की भी कि लोग कैसे काम करते हैं। यदि ठीक से किया जाए, तो यह सुरक्षा को दैनिक कार्यों में इस तरह पिरो देता है कि किसी की रफ़्तार धीमी न पड़े।

और भले ही यह यात्रा सचमुच कभी खत्म नहीं होती, हर कदम आपको ऐसे सिस्टम के करीब लाता है जो सीखता है, अनुकूलित होता है, और बदलते खतरे के परिदृश्य में भी आपको एक चाल आगे रखता है।