零信任 | 高階主管應該知道哪些事情
「零信任」的真正意涵為何？
零信任一詞是 Forrester Research 於 2010 年所發明, 意即企業可利用這個網路安全模式來消除使用者、電腦和 數據之間，隱含著信任的高風險互動。無論威脅是來自世界各地或者近在咫尺，也不管是透過哪種途徑入侵，零信 任模式都能為企業提供自我防禦的模式。只要遵循以下三個主要原則，就能實現此模式提供的優勢：
- 確保所有的資源無論在任何位置都能安全地進行存取。
- 採用最低權限策略，嚴格執行存取控制。
- 檢查和記錄所有流量。
在歷經 11 年的漫長歲月之後，期間面對不斷成長的數位轉型、遠端工作和自攜設備等趨勢，這些理念和原則已發 展的更加成熟。此外，美國聯邦政府制定NIST 800-207 以正式將零信任納入法律條文中，並且透過NCCoE 的 零信任架構加以詳述，以進一步發展出新的原則。這些原則包括：
- 從網路區隔轉變為資產、服務、工作流程和網路帳戶等資源的保護。
- 使用強式驗證，在每個工作階段執行個別的驗證和授權 (主體/使用者和裝置) 功能。
- 確保持續不中斷的監控。
為何它對於網路安全性來說如此重要？
對於維護企業安全性的方法來說，朝向零信任方向發展可說是其中一項最為重大的轉變。在採用零信任概念之前， 大部分的公司都已嘗試將安全性視為受管制的功能加以管理。任何在受管制區域中經驗證的交易一概視為可信任。
不過這個方法顯然很有問題，因為威脅並非永遠來自於外界。此外，正當整個世界都持續採用數位轉型和混合工作 模式時，資源只存在於管制範圍內的概念似乎也不再適用。零信任需要不斷驗證每一次互動的每個元素 (無論其位 於何處)，包括所有的使用者、電腦、應用程式和數據。也就是說，沒有任何隱含信任的空間。
關於此一流行術語的各種詮釋
現在有許多的廠商都想要把零信任的概念產品化，也就是將他們的產品一律統稱為「零信任解決方案」，卻不明白 零信任實際上是一種模式和策略架構，而不是一種產品解決方案。在檢視整個網路安全市場時，我們可以看到許多 廠商都會設想自己是扮演「零信任行動者」的角色。
但在進一步審視後，我們發現這些廠商通常只符合零信任的其中一項原則。例如，建立使用者與應用程式之間的通 道服務。這的確符合第二項原始原則：採用最低權限策略，嚴格執行存取控制。不過，同一個廠商可能就不符合第 一項原則：確保所有的資源無論在任何位置都能安全地進行存取。當他們隱含地信任使用者並非威脅途徑時，就不 會掃描通道內部的惡意軟體或入侵。
其他廠商可能也只涵蓋第一項原始原則的某些層面，像是宣稱身分和授權檢查就是進行零信任的方式。這些廠商也 可能認為只有網路流量才需要進行掃描。不過，一旦只實施該模式的部分範圍，這些公司可能會面臨隱含信任所造 成的風險，因而開啟了原本應涵蓋在剩餘原則範圍內的弱點。
我們的建議：高階主管在採用零信任時應考量哪些情況？
第一步就是重新思考應如何保護企業的安全，也就是一改過去區域管制的方式，取而代之的是持續不斷地驗證所有 的互動。若要促成這樣的改變：
- 第一步就是重新思考應如何保護企業的安全，也就是一改過去區域管制的方式，取而代之的是持續不斷地驗證所有 的互動。若要促成這樣的改變：
- 請記住每個您所建立的互動都必須包含使用者、應用程式和基礎結構/裝置。
- 了解為何這些互動應包含所有的身分、存取權限、裝置/工作負載和交易。
接下來就是透過計劃來進行改變，首先您可以從企業最重要的使用者、資產和互動開始執行。這些將會成為您的 「珍貴資產」，且可能會與財務或智慧財產有所關聯。然後您就可以隨著時間演進擴展您的範圍以納入所有的互 動。該計劃應明確指出使用者、應用程式和基礎結構如何完成這四個互動步驟來取得資源。
轉型的最後一步實際上就是週期性的活動：維護和監控。
- 利用持續監控來因應所有發生的事件以取代間歇性的檢查。
- 隨著標準持續演進，我們也必須不斷地改善目前的模式，同時涵蓋越來越多的互動方式。