2022年有关数据保护的零信任指南

近年来，发生的数据泄露事件变得越来越普遍。从2021年1月1日到2021年9月30日，全球各地发生了近1300起数据泄露事件，这和2020年全年相比高出近20%，而在此期间，由于很多人在家远程工作，数据泄露事件的破坏程序比以往任何时候都要严重。

网络攻击者为了获利，数据泄露事件将会继续增长。众所周知，新冠疫情导致了很多企业向远程工作的快速转变以及许多与业务相关的变化。持续蔓延的疫情和员工对传统工作环境的看法发生了普遍变化，这让很多企业放弃了让员工重返办公室的想法。这也产生了对数据保护的需求，企业需要采取新的举措应对，例如投资数据加密。

一些企业将这种现状视为战略性提高生产力的一个很好的方法。然而，即使一些企业对远程工作持乐观态度，他们仍然必须应对挑战。这对于避免可能损害业务的数据泄露是必要的。

目前企业面临的一个主要挑战是网络安全。更多的网络安全专业人员拥有大数据背景，能够解决这些问题。

企业需要确定策略来改进远程团队的安全协议和实践。例如针对远程员工的多因素身份验证(MFA)等特定策略，但这些特定方法需要适应更大、更全面的网络安全图景。这种整体的安全方法看起来越来越依赖于零信任架构。

如果零信任安全方法成为2022年企业的优先事项，那么以下是关于数据保护零信任的一个全面的指南，介绍了实施零信任安全方法应该了解的内容。

什么是零信任架构?

零信任是目前网络安全领域最突出的术语之一，但它不仅仅是一个流行术语。事实上，它看起来可能在很多方面代表了网络安全的未来。零信任是一项通过消除信任概念来防止数据泄露的举措。

除了从不信任之外，零信任的第二个哲学要素是始终验证。

零信任通过网络分段保护通常基于云的环境。零信任还有助于防止横向移动，并有助于简化细粒度用户访问控制的实施。

John Kindervag在担任Forrester Research公司副总裁兼首席分析师时创建了“零信任”这一术语。他得出的结论是，传统的安全模型是在过时的假设上运行的。

基本操作的假设是网络中的所有内容都应该可信。此外，在传统模型中假定用户身份不会受到损害。零信任模型颠覆了这些传统概念，将信任视为一种弱点。

一旦网络攻击者进入网络，他们就可以横向移动。这种横向移动可能会导致数据泄露。

保护面

在零信任中，有一个由最关键的资产、数据、服务和应用程序组成的受保护面，而受保护的面是特定组织所独有的。

保护面仅包含对企业的操作最关键的内容，因此它比攻击面小得多。

一旦确定了受保护的面，企业就可以开始了解与保护面相关的流量如何在其企业中移动。然后开始了解用户是谁、他们使用什么应用程序以及他们如何连接。只有这样，企业才能创建和实施安全数据访问策略。

创建微边界变得重要，这意味着企业将控件尽可能靠近保护面。

在实施零信任策略以保护其核心应用之后，实时监控和维护将继续进行。作为监控的一部分，一些企业正在寻求应包含在保护面中的任何其他内容、未考虑的相互依赖性以及可以改进整体策略的方法。

简而言之，零信任架构的基本原则包括：

违约假设
假设企业拥有的环境与非企业拥有的环境并不更值得信赖或不同
持续分析和评估风险
持续使用风险缓解保护措施
最大限度地减少资产访问和用户对资源的访问
每次有访问请求时，身份和安全性的持续身份验证和授权

不依赖位置

企业现在可能比以往任何时候都更多地听到采用零信任的原因是它不依赖于位置。对于远程工作，这至关重要。

用户、应用程序和设备无处不在，通常没有地理界限。企业不能只在一个地点实施零信任，因此必须强制执行将其扩展到整个环境。与此同时，通过扩展，企业的用户需要访问适当的数据和应用程序。

零信任的好处是什么?

如果企业正在考虑是否将资源投入到零信任的转变中，其好处是广泛的，其中包括：

(1)更高的可见性

由于2020年远程工作迅速增加，IT团队难以获得确保企业安全所需的可见性。

零信任意味着企业需要可见性才能使其发挥作用，从而提供战略方法。而在理想情况下，企业需要涵盖所有数据和计算源，尽管这可能不太现实。

但是，一旦企业设置了所需的监控，就可以完全了解谁在访问其网络以及他们当时正在采取什么行动。

(2)更简单的IT管理

零信任依赖于持续监控和持续分析的概念。自动化元素可以是评估访问请求的一部分。IT团队不必积极参与批准所有请求，他们只能在自动化系统将请求标记为潜在可疑时才介入执行管理职责。

由于大多数企业报告缺乏网络安全技能，因此这一优势尤为重要。企业通过零信任方法自动化网络安全的次数越多，其团队就越能将时间投入到战略工作中。

通过使用集中监控和分析，企业的安全团队可以更智能地工作。分析的收集可帮助团队获得他们原本无法获得的独特见解。安全团队可以提高效率，用更少的资源做更多的事情，同时维护一个更安全的环境。

(3)更好的数据保护

零信任提供更好的数据保护，防止员工和恶意软件访问企业的大量网络。

当企业限制用户可以访问的内容以及他们可以访问的时间时，如果发生违规行为，就会减少其带来的影响。

(4)确保远程劳动力的安全

2020年接受调查的IT高管和安全专业人士中，70%以上的受访者表示他们担心远程工作带来的风险和漏洞。在零信任模型下，身份构成了边界。否则防火墙就难以应对这些风险，因为数据分布在云中。

身份附加到试图获得访问权限的设备、应用程序和用户。

(5)高效访问

零信任框架附带的自动化可帮助用户快速访问他们需要的内容，因此他们无需等待批准。只有在出现高风险标志时，IT团队才会介入。远程工作者不必通过缓慢的网关来访问他们完成工作所需的内容。与其相反，他们可以直接访问资源。

(6)持续合规

零信任有助于合规性，因为每个访问请求都会被记录和评估。企业需要一个自动创建的审计跟踪，带有持续的证据链。

创建零信任架构

尽管有很多好处，但一些企业对实施零信任的想法感到不知所措，并且通常不知道从哪里开始。因此大致了解流程中的步骤可以获得一些帮助。

这些步骤包括：

了解工作流程。
了解所有服务和应用程序。
决定要使用的技术。
规划技术之间的交互。
构建基础设施并配置技术。

更具体地说，这些步骤包括：

识别需要网络访问的用户。在不知道谁需要访问哪些资源的情况下，企业无法在零信任实施中进一步发展。这不仅仅是收集用户列表，与其相反，必须考虑所有人，包括服务帐户和第三方承包商。
识别需要网络访问的设备。由于物联网(IoT)和BYOD政策，现在更具挑战性，但仍然是零信任的必备条件。
企业的关键流程是什么?可以通过关注低风险流程开始转向零信任，因为这样就不必担心业务中的关键停机时间。
创建策略。
从这一点开始，企业可以开始确定解决方案。解决方案的考虑因素包括它是否需要行为改变，以及它是否提供对应用程序、协议和服务的支持。

最后，当企业了解一切将如何运作时，可以开始迁移，然后根据需要尽可能扩展零信任架构。