為什么零信任架構(gòu)是要遵循的框架
“零信任”這一術(shù)語(yǔ)是否已經(jīng)到了被一些供應(yīng)商濫用或歪曲的地步?這是因?yàn)樗麄兿M昧阈湃卧谑袌?chǎng)上的發(fā)展趨勢(shì)。
對(duì)于供應(yīng)商來(lái)說(shuō),這是一個(gè)棘手的問(wèn)題,因?yàn)椴豢赡軐⑷魏螁我划a(chǎn)品或服務(wù)標(biāo)記為全面的零信任解決方案。采用零信任架構(gòu)(ZTA)這一術(shù)語(yǔ)可能會(huì)更好一些——這是一個(gè)要求企業(yè)根據(jù)業(yè)務(wù)優(yōu)先級(jí)及其當(dāng)前安全基礎(chǔ)設(shè)施采取措施的框架。
因此,雖然企業(yè)開始轉(zhuǎn)向零信任架構(gòu)很重要,但它并不像采用單一供應(yīng)商的能力作為綜合解決方案那么簡(jiǎn)單。但是,當(dāng)任何一個(gè)新技術(shù)解決方案出現(xiàn)時(shí),所有的營(yíng)銷和炒作可能會(huì)迅速攪亂局面,那么人們會(huì)看到廣泛的“零信任清洗”嗎?畢竟,并不是所有遺留產(chǎn)品都符合零信任法案。
行業(yè)專家指出,零信任架構(gòu)(ZTA)是一種方法論或途徑,而不是現(xiàn)成的單一產(chǎn)品或解決方案。同樣,也沒(méi)有“一刀切”的答案,不同的企業(yè)需要根據(jù)自己的需求確定優(yōu)先級(jí)。
但能否采取措施來(lái)描述一個(gè)“理想的”零信任模型?對(duì)于至少應(yīng)該包括的內(nèi)容,肯定有一些很好的定義。例如,美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究所(NIST)發(fā)布了一套關(guān)于零信任架構(gòu)(ZTA)應(yīng)該包含哪些內(nèi)容的七項(xiàng)原則。非常重要的是,這并不意味著排除任何現(xiàn)有的安全保護(hù)。
此外,最近看到美國(guó)總統(tǒng)拜登最近發(fā)布了一項(xiàng)行政命令,以改善該國(guó)的網(wǎng)絡(luò)安全,其中包括采用零信任架構(gòu)(ZTA)。該命令中有很多提到零信任架構(gòu)(ZTA),其中包括:“美國(guó)聯(lián)邦政府必須采用安全最佳實(shí)踐;向零信任架構(gòu)邁進(jìn);加速轉(zhuǎn)向安全云服務(wù),包括軟件即服務(wù)(SaaS)、基礎(chǔ)設(shè)施即服務(wù)(IaaS)和平臺(tái)即服務(wù)(PaaS);集中和簡(jiǎn)化對(duì)網(wǎng)絡(luò)安全數(shù)據(jù)的訪問(wèn),以推動(dòng)用于識(shí)別和管理網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的分析;并投資于技術(shù)和人員以匹配這些現(xiàn)代化目標(biāo)?!?/p>
與任何其他新技術(shù)或方法一樣,人們等待任何“官方”零信任架構(gòu)(ZTA)認(rèn)證或?qū)嵱脴?biāo)準(zhǔn)。雖然美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究所(NIST)為通信、技術(shù)和網(wǎng)絡(luò)安全實(shí)踐制定了一些標(biāo)準(zhǔn),但該機(jī)構(gòu)尚未為零信任創(chuàng)建任何標(biāo)準(zhǔn)或認(rèn)證——他們只是討論了零信任架構(gòu)的目標(biāo)。也許在營(yíng)銷和銷售零信任架構(gòu)時(shí)缺乏相關(guān)認(rèn)證或標(biāo)準(zhǔn)是缺乏凝聚力的一部分原因。有了這些標(biāo)準(zhǔn),供應(yīng)商至少會(huì)有可靠的指導(dǎo)、更好的定義和清晰度。
盡管有認(rèn)證或標(biāo)準(zhǔn),但當(dāng)談到零信任架構(gòu)時(shí),市場(chǎng)上肯定存在一些混亂,而這種混亂可以為一些供應(yīng)商提供充分利用的條件。
企業(yè)可以結(jié)合使用舊系統(tǒng)和新產(chǎn)品來(lái)構(gòu)建零信任架構(gòu),而不必?fù)?dān)心必須完全重新開始。
企業(yè)向其供應(yīng)商詢問(wèn)一些直截了當(dāng)?shù)膯?wèn)題通常有助于揭示他們對(duì)零信任架構(gòu)(ZTA)的理解。例如,詢問(wèn)他們提出的解決方案如何適合企業(yè)的零信任架構(gòu),而如果他們無(wú)法將其可視化,那么他們可能仍然認(rèn)為零信任架構(gòu)是需要購(gòu)買的現(xiàn)成產(chǎn)品。當(dāng)供應(yīng)商可以將他們的解決方案作為客戶整體旅程的一部分,并且可能對(duì)每個(gè)客戶都非常不同時(shí),那么成功是更有可能的結(jié)果。
經(jīng)銷商和托管服務(wù)提供商處于幫助其客戶采用零信任架構(gòu)的理想位置——需要采用來(lái)自多個(gè)供應(yīng)商的各種技術(shù),以及與現(xiàn)有基礎(chǔ)設(shè)施的相關(guān)集成?;谶@樣的旅程可能需要長(zhǎng)達(dá)數(shù)年的時(shí)間,這是一個(gè)理想的機(jī)會(huì),可以采用咨詢方法進(jìn)行長(zhǎng)期銷售。零信任是一項(xiàng)戰(zhàn)略性IT舉措,大多數(shù)首席信息官肯定會(huì)轉(zhuǎn)向戰(zhàn)略和規(guī)劃。
無(wú)論企業(yè)處于零信任架構(gòu)之旅的哪個(gè)階段,都不能忽略安全性。企業(yè)的業(yè)務(wù)需求和安全要求與其他公司不同,舊系統(tǒng)的狀態(tài)也不同。而了解所有這一切的合作伙伴非常適合幫助企業(yè)繼續(xù)其富有成效的旅程。