零信任已經(jīng)成為網(wǎng)絡(luò)安全新趨勢(shì)。自 2018 年 NIST 發(fā)布實(shí)施零信任架構(gòu)以來(lái)，由于違規(guī)行為居高不下，網(wǎng)絡(luò)攻擊的復(fù)雜程度不斷提高，Gartner預(yù)計(jì)，到 2022 年底，零信任支出將達(dá)到8.919 億美元，到 2026 年將達(dá)到 20 億美元。

　　為什么需要重新審視零信任架構(gòu)

　　零信任是一個(gè)安全框架，其要求所有用戶(hù)，無(wú)論位于網(wǎng)絡(luò)內(nèi)部還是外部，都需要經(jīng)過(guò)身份驗(yàn)證、授權(quán)和持續(xù)驗(yàn)證，然后才能訪問(wèn)應(yīng)用程序和數(shù)據(jù)。零信任架構(gòu)具有以下組件：

　　受新冠疫情影響，居家辦公及混合辦公隨之興起，與此同時(shí)，也帶來(lái)了網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。用戶(hù)通常不會(huì)從特定網(wǎng)段訪問(wèn)數(shù)據(jù)或應(yīng)用程序，而且，隨著越來(lái)越多的應(yīng)用程序和數(shù)據(jù)基于 SaaS 或不屬于特定網(wǎng)絡(luò)邊界，公司需要相應(yīng)的零信任安全策略。

　　為什么需要采用統(tǒng)一的零信任方法

　　進(jìn)行數(shù)據(jù)訪問(wèn)

　　公司需要考慮將統(tǒng)一的零信任數(shù)據(jù)訪問(wèn)方法作為其數(shù)據(jù)保護(hù)策略的一部分，無(wú)論是在價(jià)值還是風(fēng)險(xiǎn)方面：

　　01 用戶(hù)訪問(wèn)接入更加便捷。

　　02 確保業(yè)務(wù)持續(xù)，進(jìn)行動(dòng)態(tài)安全防護(hù)。

　　03 運(yùn)維管理更加簡(jiǎn)便智能。

　　04 能夠全面開(kāi)放與對(duì)接。

　　如何將統(tǒng)一且持續(xù)的零信任模型

　　應(yīng)用于數(shù)據(jù)訪問(wèn)

　　無(wú)論公司采用何種零信任方法，每個(gè)組織都需要對(duì)所有數(shù)據(jù)源用戶(hù)進(jìn)行身份驗(yàn)證、授權(quán)和驗(yàn)證。

　　01 持續(xù)身份驗(yàn)證需要在每個(gè)用戶(hù)每次訪問(wèn)數(shù)據(jù)時(shí)驗(yàn)證他們的身份。身份驗(yàn)證可以通過(guò)多種方式完成，使用數(shù)據(jù)庫(kù)憑據(jù)、使用密鑰對(duì)身份驗(yàn)證或通過(guò)使用身份提供程序 （IdP）（如 Okta 或 MSFT Active Directory）的單點(diǎn)登錄 （SSO）進(jìn)行驗(yàn)證。

　　大多數(shù)公司遵循的典型路徑是：提供對(duì)數(shù)據(jù)的持續(xù)訪問(wèn)，或者讓一個(gè)用戶(hù)登錄，由給定部門(mén)內(nèi)的許多人共享來(lái)訪問(wèn)生產(chǎn)數(shù)據(jù)。在這種情況下，實(shí)際的零信任方法是根據(jù)需要提供對(duì)數(shù)據(jù)的臨時(shí)訪問(wèn)權(quán)限。

　　02 持續(xù)授權(quán)涉及驗(yàn)證，一旦用戶(hù)通過(guò)身份驗(yàn)證，用戶(hù)便可以訪問(wèn)相應(yīng)數(shù)據(jù)。一方面，公司授權(quán)的數(shù)據(jù)越多，承擔(dān)的安全風(fēng)險(xiǎn)就越大；另一方面，公司希望用戶(hù)能夠訪問(wèn)其需要的所有數(shù)據(jù)。

　　零信任授權(quán)的實(shí)用方法是跨平臺(tái)整合身份驗(yàn)證，并根據(jù)用戶(hù)的不同需求實(shí)施實(shí)時(shí)授權(quán)。這需要公司牢牢掌握每個(gè)用戶(hù)可以訪問(wèn)的不同數(shù)據(jù)集、掌握實(shí)時(shí)或近時(shí)的訪問(wèn)請(qǐng)求并進(jìn)行授權(quán)，同時(shí)通過(guò)跨數(shù)據(jù)存儲(chǔ)撤銷(xiāo)臨時(shí)訪問(wèn)或不再需要的訪問(wèn)來(lái)進(jìn)行管理。

　　03 持續(xù)驗(yàn)證需要確保不承擔(dān)額外的風(fēng)險(xiǎn)，并且以預(yù)期的方式使用數(shù)據(jù)。此類(lèi)驗(yàn)證的示例包括應(yīng)用匿名化策略，例如數(shù)據(jù)屏蔽策略和數(shù)據(jù)本地化等。

　　相應(yīng)的，公司需要在所有數(shù)據(jù)訪問(wèn)過(guò)程中和所有數(shù)據(jù)平臺(tái)上持續(xù)應(yīng)用公司的數(shù)據(jù)安全策略。對(duì)數(shù)據(jù)訪問(wèn)策略采用統(tǒng)一的方法不僅可以確保公司執(zhí)行上的一致，而且還可以對(duì)任何隱藏風(fēng)險(xiǎn)或新風(fēng)險(xiǎn)進(jìn)行無(wú)縫監(jiān)控和審計(jì)，同時(shí)，其對(duì)相關(guān)隱私法律法規(guī)做出了充分響應(yīng)。

更多信息可以來(lái)這里獲取==>>電子技術(shù)應(yīng)用-AET<<