2018年12月12日
我們的目標不應該僅僅是接受零信任，還要獲得建立真正的信任所需的可見性。
“零信任”這個詞是佛瑞斯特研究所在2010年提出的，其概念也是谷歌在同時期設計的BeyondCorp架構(gòu)的核心理念。公司企業(yè)歷來假設自己的內(nèi)部網(wǎng)絡是安全的，谷歌挑戰(zhàn)這一傳統(tǒng)認知，聲稱公司網(wǎng)絡不比公共互聯(lián)網(wǎng)安全多少，每家公司都需要一個默認不信任任何人的安全架構(gòu)。佛瑞斯特研究所則將這一概念更多地描述為邊界外數(shù)據(jù)與計算的必要框架，而不是什么網(wǎng)絡安全的神話破滅。
無論公司網(wǎng)絡安全與否，傳統(tǒng)信任仲裁者——下一代防火墻、VPN、Web網(wǎng)關、網(wǎng)絡訪問控制、網(wǎng)絡數(shù)據(jù)防丟失等，在邊界外都沒什么價值。因為所有新的企業(yè)應用創(chuàng)新基本都發(fā)生在云端而不是邊界內(nèi)的現(xiàn)場，這一問題越來越嚴重，無法在邊界外執(zhí)行計算的公司將很快被時代拋棄。
每家公司都必須找出自己的零信任問題解決之道。
零信任到底是什么?
信任基于可見性。只要能看到數(shù)據(jù)流向和評估相應的風險，就能對該環(huán)境中的數(shù)據(jù)訪問授權(quán)做出明智的決策。但如果可見性為零，那就只有假定零信任了。看不到的東西當然不能賦予信任。
因為傳統(tǒng)安全解決方案對邊界外的可見性幾乎為零，隨著數(shù)據(jù)飛速蔓延到橫跨移動終端和云服務的信息網(wǎng)絡，公司企業(yè)的盲點也在快速增加。
我們的目標不應只是接受零信任，而是要獲得能在零信任世界中建立信任所需的可見性。沒有信任，你就無法賦能用戶。缺乏賦能，用戶就無法完成自己的工作。個中挑戰(zhàn)就在于如何在確保業(yè)務數(shù)據(jù)安全的情況下提供給用戶完成工作所需的服務。
每家公司都需要實現(xiàn)新的信任模型。
用戶信任就足夠了嗎?
邊界之外有一種信任元素是傳統(tǒng)安全基礎設施仍可驗證的：用戶信任。通常都能確認用戶是否是他們自己聲稱的人物。但這就足夠了嗎?顯然不夠。
用戶信任是現(xiàn)代信任模型中最基本的元素，是必要條件，但不是充分條件。原因在于：非可信環(huán)境中的受信用戶也不應該擁有對公司數(shù)據(jù)的訪問權(quán)。上下文很重要。
舉個例子。假設A欠B一萬塊錢。他們可以約定還錢的地點。可以在A家中，也可以在城里流氓匯集的街區(qū)街角。人還是那個人，可信的人，但兩種環(huán)境下A把錢交到B手里的意愿可就完全不同了。家里安全的環(huán)境下，還錢交易能夠成功實施。治安很差的街角，B很容易在接過錢的下一秒就被搶。用戶信任明顯不夠。零信任環(huán)境中，上下文也是建立信任的關鍵一環(huán)。
開啟信任的3個步驟
風險與信任相互平衡。不要假定高風險就只能賦予低權(quán)限，因為這種假定會導致用戶無法完成其工作。環(huán)境中風險越高，你越要努力建立足夠的信任以合理化對企業(yè)數(shù)據(jù)的訪問。
與安全領域中大多數(shù)事務類似，從基本做起，建立基礎的過程與架構(gòu)，是最重要的步驟：
第一步：從用戶開始
技術(shù)是第二位的。首先要了解業(yè)務用戶想要擁有的工作環(huán)境，而不是你想讓他們所處的工作環(huán)境。否則，你就是在沒人要用的環(huán)境中建立信任，做無用功，而真正的工作和實際的數(shù)據(jù)流完全處于你的視野之外，毫無防護。
第二步：重視邊界
移動設備和應用已成為員工消費數(shù)據(jù)和訪問業(yè)務服務的重要途徑。這意味著數(shù)據(jù)將存在于不斷增多的移動設備上。公司企業(yè)需設置設備上的數(shù)據(jù)邊界，防止業(yè)務應用將數(shù)據(jù)泄漏給消費者應用，同時還要保護好個人隱私。
第三步：設想變化
不妨設想為“動態(tài)信任”而非“零信任”。現(xiàn)代計算中的上下文是動態(tài)的。移動端和云端的本質(zhì)就是變化：設備在網(wǎng)絡與網(wǎng)絡、地點與地點間移動;新應用不斷被下載;配置不斷被修改。關鍵就在于要建立起自動化、層次化合規(guī)模型，監(jiān)視上下文變動并自動采取合適的動作，比如通知用戶、請求第二驗證因子、擴展權(quán)限或封鎖權(quán)限，以及提供或撤銷App。
建立真正的信任
我們的目標是在傳統(tǒng)安全方法舒適區(qū)外的碎片化信息網(wǎng)絡中保護數(shù)據(jù)。現(xiàn)代訪問決策需要不斷的評估，因為上下文一直在變化。傳統(tǒng)防火墻“非內(nèi)即外”的靜態(tài)模型不再適用，通往現(xiàn)代安全的正確路徑是切換到動態(tài)模型上來。
真正的信任是用戶信任與上下文信任的結(jié)合：操作系統(tǒng)、設備、App、網(wǎng)絡、時間、地點。在零信任環(huán)境中建立真正的信任，作為自動化合規(guī)模型的中心環(huán)節(jié)，可以賦予用戶既能完成工作又能確保公司數(shù)據(jù)不失所需的自由。
江蘇國駿信息科技有限公司在信息網(wǎng)絡安全、運維平臺建設、動漫設計、軟件研發(fā)、數(shù)據(jù)中心領域具備十多年的行業(yè)沉淀。公司遵循信息安全整體性的IATF模型，從“人員素養(yǎng)”、“制度流程”、“技術(shù)產(chǎn)品”三個視角提供全面、可信的方案，業(yè)務涵蓋咨詢、評估、規(guī)劃、管控、建設、培訓等。
江蘇國駿信息科技有限公司——全面可信的信息安全服務商。