Defense in Depth — למה הגנה אחת אף פעם לא מספיקה

אף הגנה אחת אינה מושלמת. Defense in Depth (הגנה לעומק) היא העיקרון שאומר: בנו שכבות הגנה מרובות, כך שכישלון של אחת לא שובר את הכל.

האנלוגיה: טירה

טירה טובה לא מסתמכת על חומה אחת — יש חפיר, חומה, שער, מגדלים, ושומרים. תוקף צריך לעבור את כולם. כך גם ברשת.

השכבות (דוגמה)

1. פיזי — מי ניגש לשרתים.
2. רשת — חומות אש, סגמנטציה.
3. קצה (Endpoint) — אנטי-וירוס/EDR, עדכונים.
4. אפליקציה — קוד מאובטח, ולידציה, WAF.
5. נתונים — הצפנה, גיבוי, בקרת גישה.
6. זהות — סיסמאות חזקות, MFA, least privilege.
7. אנשים — מודעות והדרכה (החוליה החלשה!).

למה זה עובד?

תוקף שעבר את חומת האש עדיין נתקל ב-EDR; אם עבר אותו, הנתונים מוצפנים; אם הגיע אליהם, הניטור מתריע. כל שכבה קונה זמן וסיכוי לעצור.

חיבור ל-Zero Trust

Defense in Depth מניח שכל שכבה עלולה להיכשל — ולכן לא סומך על אף אחת לבד. זו אותה רוח של Zero Trust.

הלקח: אל תחפשו "כדור כסף" אחד. בטיחות אמיתית = שכבות.