Zero Trust to filozofia bezpieczeństwa porzucająca stary model 'zaufana sieć wewnętrzna vs niezaufany internet'. Zamiast tego, każde żądanie dostępu — każdego użytkownika, urządzenia, aplikacji, z dowolnej lokalizacji — jest uwierzytelniane, autoryzowane i ciągle weryfikowane przed udzieleniem dostępu. Motto to 'nigdy nie ufaj, zawsze weryfikuj'. Zero Trust zakłada, że atakujący już jest wewnątrz sieci i projektuje obronę odpowiednio: silna tożsamość, sprawdzanie stanu urządzeń, dostęp najmniejszych uprawnień per zasób, ciągły monitoring. Termin ukuty przez Forrester w 2010 i ustandaryzowany przez NIST SP 800-207 (2020), Zero Trust jest obecnie de facto architekturą bezpieczeństwa nowoczesnych firm.

NIST SP 800-207 definiuje siedem zasad: (1) Wszystkie źródła danych i usługi obliczeniowe są traktowane jako zasoby, (2) Cała komunikacja jest zabezpieczona niezależnie od lokalizacji w sieci, (3) Dostęp jest udzielany na podstawie sesji, (4) Dostęp jest determinowany przez dynamiczną politykę uwzględniającą tożsamość, urządzenie, lokalizację, zachowanie, (5) Organizacja monitoruje i mierzy integralność i bezpieczeństwo wszystkich aktywów, (6) Wszystkie uwierzytelnianie i autoryzacja są dynamiczne i ściśle wymuszane przed udzieleniem dostępu, (7) Organizacja zbiera informacje o stanie aktywów, ruchu i dostępie — i używa ich do poprawy postury bezpieczeństwa. W praktyce przekłada się to na: silną tożsamość (MFA), stan urządzenia, najmniejsze uprawnienia, mikrosegmentację, ciągłą weryfikację, kompleksowe logowanie.

Zero Trust to *model bezpieczeństwa* — filozofia i zasady. ZTNA (Zero Trust Network Access) to *konkretna kategoria technologiczna* implementująca zasady Zero Trust dla *zdalnego dostępu* — zastępując VPN. Produkty ZTNA (Cloudflare Access, Zscaler Private Access, Microsoft Entra Private Access, Netskope, Palo Alto Prisma Access) zapewniają identity-aware, application-level dostęp bez umieszczania użytkowników w sieci firmowej. Zero Trust jest szerszy: pokrywa tożsamość, urządzenia, aplikacje, dane, sieć i widoczność — ZTNA to jeden element. Pełne wdrożenie Zero Trust obejmuje ZTNA + IAM/MFA + zarządzanie urządzeniami + mikrosegmentacja + DLP + monitoring.

CISA Zero Trust Maturity Model definiuje 5 filarów: (1) **Tożsamość** — silne uwierzytelnianie (MFA odporne na phishing, identity governance, privileged access management), (2) **Urządzenia** — inwentaryzacja urządzeń, walidacja stanu, ochrona endpointów, MDM, (3) **Sieci** — mikrosegmentacja, zaszyfrowany ruch, DNS security, network access control, (4) **Aplikacje i obciążenia** — secure development, widoczność aplikacji, ochrona obciążeń, bezpieczeństwo mikroserwisów, (5) **Dane** — inwentaryzacja danych, klasyfikacja, szyfrowanie (at rest, in transit, in use), DLP, rights management. Plus trzy zdolności przekrojowe: widoczność i analityka, automatyzacja i orkiestracja, governance. Poziomy dojrzałości: traditional → initial → advanced → optimal.

Etapowa roadmapa (typowo 18-36 miesięcy dla enterprise): (1) **Ocena stanu obecnego** — infrastruktura tożsamości, zarządzanie urządzeniami, segmentacja sieci, inwentaryzacja aplikacji, klasyfikacja danych (3-6 mies.), (2) **Fundamenty tożsamości** — MFA odporne na phishing, conditional access, privileged access management, identity governance (3-6 mies.), (3) **Zaufanie urządzeń** — wdrożenie MDM/UEM, EDR/XDR wszędzie, posture-based dostęp (6-9 mies.), (4) **Dostęp do aplikacji** — zastąp VPN przez ZTNA dla aplikacji o wysokiej wartości najpierw, potem rozszerz (6-12 mies.), (5) **Ochrona danych** — klasyfikacja, szyfrowanie, DLP, rights management (12-24 mies.), (6) **Mikrosegmentacja sieci** — perimeter zdefiniowany programowo, segmentacja oparta na tożsamości (12-24 mies.). Nie próbuj robić wszystkiego naraz; zacznij od tożsamości i ZTNA — dają najszybszy ROI.

Zero Trust wymaga zintegrowania wielu produktów — nie ma jednego dostawcy 'Zero Trust'. Kategorie: (1) **Tożsamość** — Microsoft Entra ID, Okta, Ping Identity, ForgeRock, (2) **ZTNA** — Cloudflare Access, Zscaler Private Access, Microsoft Entra Private Access, Palo Alto Prisma Access, Netskope, (3) **EDR/XDR** — CrowdStrike, Microsoft Defender, SentinelOne, Palo Alto Cortex, (4) **Platformy SASE/SSE** — Zscaler ZIA+ZPA, Cloudflare One, Netskope, Palo Alto Prisma Access łączą ZTNA, SWG, CASB, FWaaS, (5) **Mikrosegmentacja** — Illumio, Akamai Guardicore, VMware NSX, (6) **Bezpieczeństwo danych** — Microsoft Purview, Varonis, Imperva. Większość firm orientuje się na Microsoft (głęboka integracja z M365), Cloudflare (cloud-native, szybki) lub Palo Alto / Zscaler (kompleksowe SASE) jako podstawową platformę.

SASE (Secure Access Service Edge) to *model dostarczania* łączący sieci (SD-WAN) i bezpieczeństwo (ZTNA, SWG, CASB, FWaaS) jako usługa chmurowa. Jest *pojazdem* dostarczania zasad Zero Trust dla rozproszonych użytkowników i oddziałów. **Zero Trust** to *filozofia*; **SASE** to jeden *wzorzec wdrożenia* (cloud-delivered, edge-based) zoptymalizowany dla pracy hybrydowej i firm cloud-first. Większość wdrożeń SASE to de facto wdrożenia Zero Trust. SSE (Security Service Edge) to subset SASE skupiony tylko na bezpieczeństwie (bez SD-WAN) i tym co większość organizacji rzeczywiście kupuje najpierw. Top platformy SASE/SSE: Zscaler, Palo Alto Prisma Access, Netskope, Cloudflare One, Cisco Umbrella, Microsoft Entra Internet Access.