如何推进零信任的风险管理

在当今网络环境中，风险管理绝非小事一桩。 防火墙作为企业主要网络防御手段的日子早已一去不复返。 如今的企业正在向云端迁移，每周都会向其网络中添加新用户和新设备，每天都会创建数 TB 的数据，并且在其 IT 环境中使用数十乃至数百个第三方软件和系统。 与此同时，攻击者正在不断改进他们的方法，着力利用这些变化，同时还增加攻击的次数和复杂程度。

为了应对这些趋势变化，业务领导者必须能够收集企业的风险领域，并将其置于相应的情境下优先考虑，以便将风险降至最低，并基于零信任原则执行安全策略。

是什么让风险管理对当今的企业如此具有挑战性

–  比较风险的主观定义：安全生态系统由各种工具组成，这些工具旨在保护数据、设置和强制执行用户权限、识别和阻止威胁以及修复漏洞等。 许多现代安全工具都为用户提供了风险分析功能。 这些分析具有主观性，它们依赖于不同的风险定义，并使用不同的变量。 比较不同工具的风险数据所存在的难处，可能是理解企业整体风险状况时所面临的一大障碍。

–  衡量和量化风险：重要的财务和战略决策是在考虑潜在风险的情况下制定的，但量化安全风险可能极具挑战性。 假设是所有风险分析的核心，包括威胁事件发生概率的假设、威胁利用已知漏洞以达到最大效果的假设，以及您的防御系统抵御威胁能力的假设。 如果没有在整个企业中应用一组一致的假设，就不可能准确地衡量总体风险。

–  优先补救风险领域：如果没有一致的方法来衡量、比较和量化风险，业务领导者就将依靠直觉来决定要优先补救哪些风险领域。 由于并非基于数据，他们的直觉可能是错误的，并有可能导致公司出现财务损失。

–  跟踪补救的有效性并逐步应用所学知识：如上所述，风险管理不仅仅关乎减少损失，而且还要以经济有效的方式来做到这一点。 如果没有量化，业务领导者就无法采取切实可行的方法来评估他们在所部署的安全工具或所组建的团队上取得的投资回报。 他们也无法随着时间的推移，衡量为化解威胁而建立的流程所产生的影响。  

零信任模型能为安全风险管理做些什么？

为了成功实施零信任方法，安全领导者需要构建一个 IT 基础架构，将来自整个企业的信息编织在一起，进而提供必要的环境，帮助验证所请求的连接是否可信。要生成零信任安全所需的环境，理想的方法就是遵循以下四个指导原则

1. 定义环境：企业需要了解在整个组织范围内哪些用户、数据和资源已互联互通。 定义环境包括根据风险发现资源并加以分类。

2. 验证和强制执行：请求访问资源的每个实例都需要不断进行验证和持续监控，确保它与相关权限保持一致。

3. 解决事件：面对层出不穷的威胁、不断变化的状况，企业必须做出调整并不断演变，这将要求企业在解决事件的同时，尽可能地降低对业务连续性造成的影响。 这包括面向用户、设备和网络做出改变、化解威胁以及报告合规性

4. 分析和改进：零信任意味着自适应；随着威胁的性质不断演变，企业的 IT 生态系统须适应新的业务需求，安全和 IT 领导者必须审查和调整他们的战略，从而顺应不断变化的现实。 这个持续改进的过程应该以最大限度减少业务连续性干扰的方式进行。

零信任策略是解决整个企业内的风险并明确其优先级的有效方法。 对于希望最大限度降低企业潜在损失风险的业务领导者来说，他们应该着重通过统一的安全分析平台，将自身 IT 环境中已部署的各种安全工具所产生的信息连接起来。 由于其中一些解决方案随附预先存在的风险分析功能，因此业务领导者应部署一个解决方案来收集这些来源所产生的风险数据，对数据进行标准化处理以便于比较，并关联数据以发掘洞察

理想的风险管理解决方案将会通过通用算法运行不同的风险数据，提供分析功能，解释风险事件可能产生的影响和程度。 该解决方案应提供深入钻取工具，用于调查特定的风险领域，并且与安全编排、自动化与响应 (SOAR) 解决方案相集成，从而加快问题修复，并尽可能地降低对业务连续性造成的影响。

最后，为了实现持续改进，理想的解决方案将向用户展示，作为先前补救策略所带来的结果，风险趋势会如何随着时间的推移而变化。 这种反馈循环必不可少；安全领导者将拥有必要的可见性，用于确定其事件响应行动的效力并根据需要做出调整。

*立即前往2021全新安全专区，掌握最新安全技术趋势 

历史精彩文章推荐

*IBM安全历史精彩文章推荐

关于IBM Security介绍

IBM Security 是 IBM 的信息安全解决方案及服务部门，具有多年深耕全球和本地各行各业客户的经验。IBM Security 在全球守护95%的全球五百强企业和组织的信息安全，客户覆盖金融、医疗、汽车、科技、电信、航空等行业公司及集团，包括50家全球最大的金融和银行机构中的49家、15家最大的医疗机构中的14家，15家全球最大科技企业中的14家等。IBM Security 在 Gartner、Forrester、IDC 和其他机构发布的12份不同的分析报告中，有12项技术解决方案被列为领导者，在产业中跻身首列。