網(wǎng)絡安全意識月的第一周的主題是呼吁個人和企業(yè)加入“BeCyberSmart”活動，強調采用最佳安全措施，同時關注總體網(wǎng)絡安全，以有效保護個人和公司數(shù)據(jù)。這包括使用多因素身份驗證、備份數(shù)據(jù)和更新軟件。
這些基本實踐只是更大的零信任安全模型的一小部分，該模型基于“從不信任，總是驗證”、多因素身份驗證、最低特權訪問和微分段等概念。
零信任安全模型已經(jīng)存在了10多年的時間，但直到最近才得到廣泛采用。隨著如今基于邊界的網(wǎng)絡安全解決方案不斷面臨失敗，并出現(xiàn)有關數(shù)據(jù)泄露和勒索軟件攻擊的新聞報道，零信任安全繼續(xù)獲得了人們的關注。
美國政府的零信任戰(zhàn)略
美國管理和預算辦公室最近發(fā)布的聯(lián)邦零信任戰(zhàn)略、美國網(wǎng)絡安全和基礎設施安全局(CISA)的零信任成熟度模型和云安全技術參考架構文件代表了美國政府提高網(wǎng)絡防御能力的重要一步。根據(jù)美國“改善國家網(wǎng)絡安全”的14028號行政命令，這些參考模型和指導草案的發(fā)布幫助政府機構加快向更安全、基于零信任的網(wǎng)絡安全方法過渡。
讓美國政府過渡到基于零信任安全的模式是一項艱巨的任務，需要仔細的規(guī)劃、可觀的資源和多年、多階段、具體機構的實施計劃。對于運營數(shù)千個網(wǎng)絡、數(shù)萬個系統(tǒng)和應用程序并在全球部署數(shù)十萬用戶和設備的大型政府機構(如美國國防部)來說，零信任在其組織范圍的全面推出可能需要10年或更長時間。盡管如此，身份、數(shù)據(jù)和網(wǎng)絡安全等領域的重大安全改進可以在短短幾年內實現(xiàn)。
克服國家零信任的擔憂和障礙
受影響的政府機構的首席信息官將面臨的兩大挑戰(zhàn)是政府強制采用零信任及其加速的時間表是預算和資源。美國管理和預算辦公室、美國網(wǎng)絡安全和基礎設施安全局(CISA)和美國國家標準與技術研究所(NIST)只提供了啟動所需的框架和零信任架構。它仍然是由個別機構預算的零信任模型實現(xiàn)，構建當前IT環(huán)境符合NIST的零信任型架構，確定必要的內部和外部人才，選擇相關零信任型技術和供應商，重新認證其系統(tǒng)，重新培訓員工。
為了幫助政府和商業(yè)客戶加快采用零信任的進程，并更好地管理相關的零信任遷移風險，有必要采用一種基于平臺的零信任方法。利用NIST ZTA標準兼容平臺可以促進互操作性和可擴展性。它還避免了供應商鎖定，允許企業(yè)在他們目前可能有最高暴露風險的領域開始零信任之旅，例如網(wǎng)絡、身份和訪問管理。
一旦解決了最初關注的領域，就可以解決其他零信任關注的領域，如數(shù)據(jù)、工作負載和設備。制定零信任戰(zhàn)略、進行零信任成熟度和差距評估，以及創(chuàng)建分階段實施計劃是成功部署零信任的關鍵。
零信任的未來發(fā)展
量子霸權指的是量子計算機在合理的時間內可靠地完成計算機無法完成的事情，例如在更短的時間內破解廣泛使用的非對稱加密算法。這對全球商業(yè)、企業(yè)、消費者和國家安全構成了獨特的風險，因為它有效地使許多優(yōu)秀的數(shù)據(jù)安全和安全通信技術變得無用。
為量子日的到來做準備可能依賴于零信任戰(zhàn)略，因為各國都在努力準備應對伴隨著這些計算技術進步而不可避免的網(wǎng)絡風險。雖然這種情況預計在未來5到10年內不會到來，但準備工作需要立即采取行動。
零信任的原則很簡單：不要信任任何人，即使是企業(yè)自己的員工，因為員工可能惡意或無知地使企業(yè)的數(shù)據(jù)易受攻擊，一旦遭到網(wǎng)絡攻擊就可訪問。企業(yè)可能需要數(shù)年時間才能真正實現(xiàn)全面、多層次的零信任安全性，所以與其等到來不及補救，不如現(xiàn)在就開始。
隨著個人、企業(yè)和聯(lián)邦機構迎接網(wǎng)絡安全意識月的到來，實現(xiàn)“零信任”無疑將不僅是每年10月的首要任務，而且是每一天的首要任務。
版權聲明：本文為企業(yè)網(wǎng)D1Net編譯，轉載需注明出處為：企業(yè)網(wǎng)D1Net，如果不注明出處，企業(yè)網(wǎng)D1Net將保留追究其法律責任的權利。
京公網(wǎng)安備 11010502049343號