Zero Trust-arkitektur: Den nye standarden for norsk IT-sikkerhet

Zero Trust er en sikkerhetsmodell der ingen bruker, enhet eller nettverkssone stoles på automatisk — uansett om de befinner seg innenfor eller utenfor bedriftens nettverk. Prinsippet er enkelt: aldri stol på, alltid verifiser. Hver tilgangsforespørsel må autentiseres, autoriseres og krypteres før tilgang gis.

I en verden der ansatte jobber fra hjemmekontor, skytjenester erstatter lokale servere og cyberangrep blir stadig mer sofistikerte, holder det ikke lenger å bygge en mur rundt bedriftsnettverket. Den tradisjonelle tilnærmingen — «stol på alt innenfor brannmuren» — har blitt en sikkerhetsrisiko i seg selv. Nasjonal sikkerhetsmyndighet (NSM) anbefaler nå Zero Trust som en sentral del av norske virksomheters sikkerhetsstrategi, og med NIS2 og den nye digitalsikkerhetsloven blir kravene til tilgangsstyring, overvåking og hendelseshåndtering strengere enn noensinne. I denne artikkelen forklarer vi hva Zero Trust er, hvordan du implementerer det trinn for trinn, og hvilke verktøy som gjør det praktisk gjennomførbart.

Hva er Zero Trust?

Zero Trust er en sikkerhetsmodell som tar utgangspunkt i at ingen bruker, enhet eller nettverkssone skal stoles på automatisk — uavhengig av om de befinner seg innenfor eller utenfor bedriftens nettverk. Hver tilgangsforespørsel må autentiseres, autoriseres og krypteres før tilgang gis.

Kjerneprinsippene kan oppsummeres i tre punkter:

1. Verifiser eksplisitt: Autentiser og autoriser alltid basert på all tilgjengelig informasjon — identitet, enhetsstatus, lokasjon, tjeneste og dataklassifisering.
2. Bruk minst mulig tilgang: Begrens brukertilgang med just-in-time (JIT) og just-enough-access (JEA) prinsipper. Gi kun de rettighetene som trengs, når de trengs.
3. Anta at sikkerhetsbrudd har skjedd: Design systemer som om angriperen allerede er inne. Segmenter tilgang, krypter all trafikk og bruk kontinuerlig overvåking for å oppdage avvik.

Tradisjonell perimetersikkerhet vs. Zero Trust

For å forstå hvorfor Zero Trust er nødvendig, er det nyttig å sammenligne med den tradisjonelle modellen:

Aspekt	Tradisjonell perimetersikkerhet	Zero Trust
Tillitsmodell	Stol på alt innenfor nettverket	Stol aldri på noe, verifiser alltid
Nettverksfokus	Brannmur og VPN beskytter grensen	Identitet er den nye perimeteren
Tilgangsstyring	Bredt nettverkstilgang etter innlogging	Granulær, kontekstbasert tilgang per ressurs
Lateral bevegelse	Lett å bevege seg innenfor nettverket	Mikrosegmentering begrenser bevegelse
Enhetskontroll	Bedriftseide enheter er betrodde	Alle enheter verifiseres kontinuerlig
Overvåking	Fokus på perimeteren	Kontinuerlig overvåking av all trafikk
Skykompatibilitet	Dårlig tilpasset hybrid/sky	Designet for sky og hybrid
Sårbarhet	Ett kompromittert punkt gir bred tilgang	Brudd begrenses til enkeltressurser

De fem pilarene i Zero Trust

En robust Zero Trust-arkitektur bygger på fem pilarer som sammen dekker hele angrepsflaten:

1. Identitet

Identitet er grunnmuren i Zero Trust. Hver bruker, tjenestekonto og maskinidentitet må verifiseres med sterk autentisering før tilgang gis.

• Flerfaktorautentisering (MFA) for alle brukere
• Passordfri autentisering der det er mulig (FIDO2, Windows Hello)
• Betinget tilgang basert på risikosignaler
• Privilegert identitetsstyring med tidsbegrensede rettigheter

2. Enheter

Enheter som får tilgang til bedriftens ressurser, må oppfylle sikkerhetskrav — uavhengig av om de er bedriftseide eller personlige.

• Registrering og administrasjon av alle enheter
• Helsekontroll: oppdateringsstatus, antivirusprogramvare, kryptering
• Betinget tilgang basert på enhetens compliance-status
• Automatisk isolering av enheter som ikke oppfyller kravene

3. Nettverk

Nettverket skal ikke lenger være en tillitssone. All trafikk skal krypteres og segmenteres.

• Mikrosegmentering av nettverket
• Kryptering av all trafikk — også intern
• Nettverksbasert tilgangskontroll og trafikkinspeksjon
• Sanntidsovervåking av nettverksmønstre

4. Applikasjoner

Applikasjoner må beskyttes med riktig tilgangsstyring og kontinuerlig overvåking.

• Enkel pålogging (SSO) og betinget tilgang
• Skygge-IT-oppdagelse og kontroll
• API-sikkerhet og integritetskontroll
• Applikasjonsbasert segmentering

5. Data

Data er det angriperne egentlig er ute etter. Beskyttelse av data er det ultimate målet med Zero Trust.

• Dataklassifisering og merking
• Kryptering i hvile og under overføring
• Forebygging av datalekkasje (DLP)
• Rettighetsstyring og tilgangslogging

Zero Trust-modenhetsmodell

Implementering av Zero Trust er en gradvis prosess. Denne modenhetsmodellen hjelper deg å vurdere hvor din virksomhet befinner seg:

Modenhetsnivå	Identitet	Enheter	Nettverk	Applikasjoner	Data
Tradisjonell	Brukernavn/passord	Ingen enhetskontroll	Flat nettverksstruktur	Direkte tilgang	Ingen klassifisering
Grunnleggende	MFA for admin-brukere	Registrering av enheter	Nettverkssegmentering	SSO for skyapper	Grunnleggende kryptering
Avansert	MFA for alle, betinget tilgang	Compliance-sjekk, MDM	Mikrosegmentering	Alle apper via SSO, skygge-IT-kontroll	Klassifisering og DLP
Optimal	Passordfri, risikobasert	Sanntidshelse, automatisk respons	Fullstendig kryptert, AI-overvåking	API-sikkerhet, CASB	Automatisk merking, rettighetsstyring

Trinnvis implementering

Trinn 1: Sikre identiteten (0–3 måneder)

Start med det som gir størst effekt raskest — identitet og tilgangsstyring:

• Aktiver MFA for alle brukere, med prioritet på administratorer og privilegerte kontoer
• Implementer betinget tilgang med risikobaserte policyer
• Innfør selvbetjent passordtilbakestilling og passordfrie metoder
• Aktiver identitetsbeskyttelse med automatisk deteksjon av risikable pålogginger

Trinn 2: Registrer og sikre enheter (2–5 måneder)

• Registrer alle enheter som får tilgang til bedriftsressurser
• Definer compliance-policyer for enheter (kryptering, oppdateringer, antivirus)
• Konfigurer betinget tilgang som krever compliant enheter
• Implementer automatiserte responser for enheter som faller ut av compliance

Trinn 3: Segmenter nettverket (4–8 måneder)

• Kartlegg nettverkstrafikken og identifiser kommunikasjonsmønstre
• Implementer mikrosegmentering basert på applikasjonsavhengigheter
• Krypter all intern trafikk der det er mulig
• Sett opp nettverksovervåking og anomalideteksjon

Trinn 4: Beskytt applikasjoner og data (6–12 måneder)

• Migrer alle applikasjoner til SSO med betinget tilgang
• Implementer dataklassifisering og sensitivitetsmerking
• Aktiver DLP-policyer for sensitive data
• Sett opp logging og overvåking på tvers av alle pilarer

Azure-basert Zero Trust-implementering

For virksomheter som bruker Microsoft Azure og Microsoft 365, finnes et komplett økosystem for Zero Trust:

Pilar	Azure-verktøy	Funksjon
Identitet	Microsoft Entra ID (tidl. Azure AD)	MFA, betinget tilgang, identitetsbeskyttelse
	Entra ID Privileged Identity Management	Tidsbegrenset og godkjenningsbasert privilegert tilgang
Enheter	Microsoft Intune	Enhetsregistrering, compliance-policyer, appbeskyttelse
	Microsoft Defender for Endpoint	Endepunktssikkerhet og trusseloppdagelse
Nettverk	Azure Firewall Premium	Nettverksfiltrering og trusselbeskyttelse
	Azure Private Link	Privat tilkobling til skytjenester
Applikasjoner	Microsoft Defender for Cloud Apps	CASB, skygge-IT-oppdagelse, appstyring
	Azure Application Gateway med WAF	Webapplikasjonsbeskyttelse
Data	Microsoft Purview Information Protection	Klassifisering, merking og kryptering
	Microsoft Purview Data Loss Prevention	DLP på tvers av e-post, filer og endepunkter
Overvåking	Microsoft Sentinel	SIEM/SOAR for sentralisert sikkerhetsovervåking

Betinget tilgang i praksis

Betinget tilgang i Microsoft Entra ID er hjertet i en Azure-basert Zero Trust-arkitektur. Her er et eksempel på en policystruktur:

1. Basispolicy: Krev MFA for alle brukere på alle applikasjoner
2. Enhetspolicy: Krev compliant enhet for tilgang til sensitive applikasjoner
3. Lokasjonspolicy: Blokker tilgang fra land virksomheten ikke opererer i
4. Risikopolicy: Krev passordbytte ved høy påloggingsrisiko
5. Adminpolicy: Krev phishing-resistent MFA og compliant enhet for alle administratorer

NSMs anbefalinger for norske virksomheter

Nasjonal sikkerhetsmyndighet (NSM) har gjennom sine grunnprinsipper for IKT-sikkerhet og veiledninger lagt grunnlaget for Zero Trust-tilnærmingen i Norge:

• Prinsippet om minste privilegium: Gi brukere og systemer bare de tilgangene som er strengt nødvendige
• Nettverkssegmentering: Del opp nettverket slik at kompromittering av én sone ikke gir tilgang til resten
• Sterk autentisering: Bruk flerfaktorautentisering for alle fjernaksessløsninger og privilegerte kontoer
• Logging og overvåking: Logg all tilgang og overvåk for avvikende aktivitet
• Sikker konfigurasjon: Herd alle systemer og tjenester etter anerkjente standarder

NSMs grunnprinsipper samsvarer i stor grad med Zero Trust-modellen og gir et praktisk rammeverk for norske virksomheter som ønsker å komme i gang.

Kobling til NIS2 og digitalsikkerhetsloven

Zero Trust-arkitektur støtter direkte flere av NIS2-kravene som norske virksomheter må oppfylle:

• Tilgangsstyring og autentisering (NIS2 krav 9 og 10): Zero Trust-pilarene for identitet og enheter oppfyller kravene til flerfaktorautentisering og tilgangskontroll
• Risikoanalyse og policyer (NIS2 krav 1): Zero Trust krever dokumenterte sikkerhetspolicyer og kontinuerlig risikovurdering
• Hendelseshåndtering (NIS2 krav 2): Kontinuerlig overvåking og logging gjør det mulig å oppdage og rapportere hendelser innen 24-timersfristen
• Forsyningskjedesikkerhet (NIS2 krav 4): Zero Trust-prinsippene gjelder også for tredjepartstilgang og leverandørintegrasjoner

Vanlige feil ved implementering

Mange virksomheter gjør feil som undergraver Zero Trust-implementeringen. Her er de vanligste:

1. For stort omfang fra start: Prøver å implementere alt samtidig i stedet for å ta det trinnvis. Start med identitet og utvid gradvis.
2. Glemmer brukeropplevelsen: Sikkerhetstiltak som er for tunge, fører til at brukere finner omveier. Balanser sikkerhet med brukervennlighet.
3. Ignorerer eldre systemer: Legacy-systemer som ikke støtter moderne autentisering, må håndteres med kompenserande tiltak.
4. Manglende ledelseforankring: Zero Trust er en organisatorisk endring, ikke bare et teknologiprosjekt. Ledelsen må forstå og støtte strategien.
5. Utilstrekkelig overvåking: Å implementere tilgangskontroller uten overvåking gir falsk trygghet. Logging og analyse er like viktig som kontrollene selv.
6. Undervurderer opplæringsbehov: Ansatte må forstå hvorfor sikkerhetstiltakene er nødvendige og hvordan de skal bruke nye verktøy.

Slik kan vi hjelpe

I UNOS SOFTWARE AS hjelper vi norske virksomheter med å designe, implementere og drifte Zero Trust-arkitekturer tilpasset deres behov og modenhetsnivå:

• Skyinfrastruktur med innebygd Zero Trust — gjennom vår sky- og infrastrukturtjeneste bygger vi sikre Azure-miljøer med betinget tilgang, mikrosegmentering og kontinuerlig overvåking
• Strategisk rådgivning og arkitekturdesign — vår teknisk rådgivningstjeneste hjelper deg med å kartlegge nåsituasjonen, definere en Zero Trust-veikart og velge riktige verktøy
• Sikker applikasjonsutvikling — vi bygger programvare med Zero Trust-prinsipper integrert fra starten — rollebasert tilgangsstyring, API-sikkerhet og ende-til-ende-kryptering

Zero Trust er ikke et produkt du kjøper — det er en strategi du implementerer over tid. Med riktig partner og en trinnvis tilnærming kan din virksomhet oppnå et sikkerhetsnivå som møter både NSMs anbefalinger og NIS2-kravene.

Er din virksomhet klar for Zero Trust? Ta kontakt for en uforpliktende samtale om hvordan vi kan hjelpe deg i gang.

---

Kilder og videre lesning

• Nasjonal sikkerhetsmyndighet (2025). «Grunnprinsipper for IKT-sikkerhet.» nsm.no
• Microsoft (2025). «Zero Trust deployment guide with Microsoft.» learn.microsoft.com
• NIST (2020). «SP 800-207: Zero Trust Architecture.» nist.gov
• NSM (2025). «Nasjonalt digitalt risikobilde 2025.» nsm.no
• Forrester Research (2025). «The Zero Trust Security Framework.» forrester.com
• CISA (2025). «Zero Trust Maturity Model.» cisa.gov