Zero Trust u praksi: kako preći sa VPN mentaliteta na ZTNA bez lomljenja poslovanja

Godinama je odgovor za remote pristup bio jednostavan: „Pusti VPN.“ To je imalo smisla dok je perimetar bio jasan, aplikacije uglavnom u kancelariji, a uređaji standardizovani i pod kontrolom IT-a.

U 2025/2026, ta realnost je nestala. Aplikacije su podeljene između SaaS-a, data centra i cloud-a. Ljudi rade od svuda. Kontraktori traže pristup. Uređaji su različiti. A napadači znaju da je dovoljno da dobiju jedan nalog—i onda se kreću „iznutra“.

Zero Trust nije proizvod koji se kupuje. To je operativni model: ne veruj podrazumevano, uvek proveravaj, daj minimalne privilegije i kontinuirano procenjuj rizik. ZTNA (Zero Trust Network Access) je praktičan način da se remote pristup isporuči u tom modelu.

Zašto je „VPN mentalitet“ danas rizik

VPN produžava internu mrežu ka udaljenim korisnicima. To deluje praktično—ali produžava i rizik. Kada se uređaj poveže, često dobije širok doseg po mreži, a bezbednost postaje trka: patchuj, segmentiši, detektuj lateral movement.

• VPN je mrežni pristup: korisnik često dobije više nego što mu treba
• Kompromitovane kredencijale brzo postaju „interni pristup“
• VPN politike su često statične (IP range, grupe) i sporo se menjaju
• Lateral movement je lakši čim napadač bude „unutra“
• Koncentracija poverenja: jedan tunel može otvoriti mnogo vrata

Problem nije da je VPN uvek loš. Problem je kada se VPN koristi kao osnovna strategija pristupa bez identity-driven kontrola, device posture i striktne autorizacije po aplikaciji.

Šta ZTNA stvarno menja

ZTNA menja model: umesto pristupa mreži, daje pristup tačno određenoj aplikaciji ili resursu—na osnovu identiteta, konteksta i posture-a uređaja. Korisnik ne „ulazi u mrežu“, već dobija kontrolisan i logovan put do onoga što sme da koristi.

• Pristup po aplikaciji umesto pristupa celoj mreži
• Identity-first: SSO + MFA + risk politike donose odluku
• Device posture: compliant uređaj dobija pristup, ostali su ograničeni
• Kontinuirana verifikacija: sesije i rizik se mogu re-evaluirati
• Bolji audit: ko je pristupio čemu, kada i odakle

5 blokova koji čine pravi Zero Trust rollout

Uspešna migracija nije „zamenili smo VPN sa ZTNA“. To je postepeno podizanje kontrole pristupa kroz identitet, uređaje, aplikacije, mrežu i logove. Minimum osnove izgleda ovako:

• Identitet: SSO, phishing-resistant MFA opcije, conditional access
• Device posture: MDM/EDR signali, compliance pravila, managed vs unmanaged
• Politike po aplikaciji: autorizacija po resursu, least privilege, segmentacija
• Mrežna segmentacija: smanjenje lateral movement-a za ono što ostaje „mrežno“
• Observability: centralni logovi, alerting, audit trail i kontinualno poboljšanje

Tabela: VPN vs ZTNA – razlika u praksi

Kreni od realnosti: inventar aplikacija i mapa pristupa

Pre nego što diraš tehnologiju, mapiraj realan pristup. Mnoge firme otkriju da se VPN koristi za mnogo više od „remote rada“—često kao zamena za SSO, kao prečica za nedostatak vlasništva nad aplikacijama i kao ostatak starih mrežnih pretpostavki.

• Napravi listu top 20 internih aplikacija i ko ih koristi
• Odvoji: web app, client/server, legacy, file share, admin pristup
• Mapiraj zavisnosti: baze, API-je, jump host-ove, servise
• Klasifikuj osetljivost: HR/finansije/admin vs opšte
• Definiši korisnike: zaposleni, admin-i, kontraktori, partneri

Ovo postaje tvoja Zero Trust „mapa pristupa“. Bez nje, ZTNA postaje nasumičan rollout koji lomi procese.

Identity-first politike: centar Zero Trust-a

Zero Trust radi kada je identitet kontrolna ravan. To znači: SSO gde je moguće, MFA svuda, i conditional access politike koje prate rizik biznisa, a ne samo naviku.

• Obavezan MFA za remote pristup i kritične aplikacije
• Privileged access mora biti jači od standardnog
• Kontekst: lokacija, compliance uređaja, risk signali
• Uklanjanje shared naloga gde je moguće (ili agresivna izolacija)
• Least privilege: pristup po aplikaciji, ne po subnet-u

Device posture: najčešće „rupa“ u programima bezbednosti

U VPN mentalitetu, ko može da se autentifikuje često može i da se poveže. U Zero Trust-u uređaj mora da „zasluži“ poverenje. Tipične posture provere su OS verzija, enkripcija, EDR prisustvo i compliance status.

• Managed uređaji: širi pristup uz stroga compliance pravila
• Unmanaged/BYOD: ograniči na browser app ili traži jače kontrole
• Blokiraj zastarele OS verzije i rizične konfiguracije
• EDR/MDM signale koristi kao input za pristup, ne samo za monitoring

Legacy aplikacije: izbegni „big bang“ grešku

Legacy aplikacije su glavni razlog zašto VPN ostane zauvek. Pametan pristup je migracija po tipu aplikacije, a ne „sve ili ništa“.

• Quick win: web aplikacije, portali, interni dashboard-i (prvo)
• Srednje: RDP/SSH preko kontrolisanih gateway-a uz politike
• Teško: legacy protokoli i thick client (izoluj, segmentiši, monitoriši, planiraj migraciju)

Ako legacy ne možeš modernizovati danas, zatvori blast radius: ko može da dođe, sa kog uređaja, i loguj svaki pristup.

Praktičan rollout plan: 30/60/90 dana

Cilj je kontinuitet: ljudi rade, helpdesk ume da podrži, a bezbednost postaje merljivo jača.

• 0–30 dana (Dizajn & Pilot): inventar, identitet, posture pravila, pilot grupa, obuka helpdesk-a, baseline logovanja
• 31–60 dana (Migracija quick win-a): top web app na ZTNA, MFA + posture enforcement, politike po aplikaciji, dokumentovanje izuzetaka
• 61–90 dana (Skaliranje & Hardening): širenje po timovima, migracija admin pristupa, sužavanje VPN opsega, izolacija legacy segmenata, break-glass standard

Break-glass i kontinuitet poslovanja: obavezno

Svaki Zero Trust program mora imati bezbedan emergency put. Bez toga, prvi outage izaziva paniku i vraćanje politika unazad.

• Break-glass nalozi: minimalni, strogo kontrolisani, monitoring upotrebe
• Recovery procedure: gubitak uređaja, reset MFA, hitan pristup
• Vremenski ograničeni izuzeci: nikad trajni downgrade
• Change management: odobrenja za visoko-rizične promene pristupa

Kako dokazati napredak: metrike koje znače nešto

Treba ti „pre“ i „posle“ dokaz. U suprotnom, Zero Trust ostaje priča, a ne poboljšanje.

• Smanjenje VPN korišćenja (sesije, bandwidth, broj korisnika)
• Blokirani sign-in pokušaji zbog rizičnog konteksta ili necompliant uređaja
• Broj aplikacija prebačenih na politike po aplikaciji
• Smanjenje broad network access-a (subnet-i dostupni po roli)
• Brže otkrivanje i izolacija sumnjivih pokušaja pristupa
• Helpdesk trend: resetovi lozinki, VPN problemi (pre/posle)

Checklist: kako izgleda „dobra“ ZTNA politika

• Svaka aplikacija ima vlasnika i politiku pristupa (ne samo „VPN users“)
• Privileged access ima jače kontrole i posebne logove
• Unmanaged uređaji imaju ograničen pristup po dizajnu
• Izuzeci su dokumentovani, vremenski ograničeni i redovno revidirani
• Logovi su centralizovani i pretraživi (ko/šta/kada/odakle/zašto je dozvoljeno)

Korisne reference (standardi i praktični vodiči)

• NIST SP 800-207 (Zero Trust Architecture): https://csrc.nist.gov/publications/detail/sp/800-207/final
• CISA Zero Trust Maturity Model: https://www.cisa.gov/resources-tools/resources/zero-trust-maturity-model
• Google BeyondCorp (koncept i radovi): https://cloud.google.com/beyondcorp
• Microsoft Zero Trust smernice: https://www.microsoft.com/security/business/zero-trust

Zaključak: Zero Trust je sigurniji model rada, ne projekat „prekida“

Najbolje Zero Trust migracije su „dosadne“—u pozitivnom smislu. Ne lome poslovanje. Smanjuju blast radius, čine pristup proverljivim i podižu bezbednost korak po korak.

Ako ZTNA tretiraš kao program—identitet, posture, politike po aplikaciji, segmentacija i merljive metrike—možeš izaći iz VPN mentaliteta bez haosa i uz jasan, dokaziv pad rizika.