企業(yè)在采用零信任策略過程中犯的錯(cuò)誤以及如何避免

作者：Tim Keary 2022-11-17 18:51:30

盡管大量的企業(yè)都在尋求采用零信任的網(wǎng)絡(luò)，但許多企業(yè)都做錯(cuò)了，只能實(shí)施有限的訪問控制或轉(zhuǎn)向“零信任的盒子”解決方案。

根據(jù)日前發(fā)布的一份調(diào)查報(bào)告，84%的企業(yè)正在實(shí)施零信任策略，但59%的企業(yè)表示，他們沒有能力持續(xù)對用戶和設(shè)備進(jìn)行身份驗(yàn)證，并且在進(jìn)行身份驗(yàn)證后難以監(jiān)控用戶。

此外，根據(jù)微軟公司發(fā)布的另一份報(bào)告，盡管76%的企業(yè)已經(jīng)開始實(shí)施零信任策略，35%的企業(yè)聲稱已經(jīng)完全實(shí)施，但那些聲稱已經(jīng)完全實(shí)施的企業(yè)承認(rèn)，他們還沒有在所有安全風(fēng)險(xiǎn)領(lǐng)域和組件上穩(wěn)定地實(shí)現(xiàn)零信任。

雖然這些看起來是微不足道的疏忽，但它們可以顯著增加企業(yè)面臨的風(fēng)險(xiǎn)。IBM公司最近在一份調(diào)查報(bào)告中指出，80%的關(guān)鍵基礎(chǔ)設(shè)施企業(yè)沒有采用零信任策略，與采用零信任策略的企業(yè)相比，這些企業(yè)的平均數(shù)據(jù)泄露成本增加了117萬美元。

虛假的零信任承諾和供應(yīng)商的行話

企業(yè)在采用零信任過程中的錯(cuò)誤之處的最重要原因之一是，許多軟件供應(yīng)商的產(chǎn)品營銷誤導(dǎo)了他們，不僅是關(guān)于零信任是什么，而且是關(guān)于如何應(yīng)用它，以及某些產(chǎn)品是否可以實(shí)現(xiàn)零信任。

在通常情況下，這些營銷實(shí)踐欺騙了首席信息安全官和安全領(lǐng)導(dǎo)者，讓他們認(rèn)為可以購買零信任產(chǎn)品。

Gartner公司高級分析師Charlie Winckless表示：“很多人在零信任方面犯了一些錯(cuò)誤。首先，可能也是最常見的錯(cuò)誤，就是將零信任作為可以購買的東西，這種情況是由于許多供應(yīng)商在他們的營銷中使用這個(gè)術(shù)語，不管它是否適用于產(chǎn)品。”

盡管如此，Winckless指出，企業(yè)可以購買一些合適的解決方案來為零信任架構(gòu)奠定基礎(chǔ)，例如零信任網(wǎng)絡(luò)接入(ZTNA)和微分段產(chǎn)品。

與此同時(shí)，Winckless警告企業(yè)不要落入這樣的陷阱：在軟件供應(yīng)商的要求下，試圖在細(xì)粒度的級別應(yīng)用零信任。

Winckless說：“第二點(diǎn)是試圖將過多的安全性轉(zhuǎn)化為零信任。從根本上來說，Gartner公司認(rèn)為零信任是用自適應(yīng)的顯性信任來取代隱性信任。如果投入太多，那么就不可能取得好效果。”

遠(yuǎn)離急功近利的心態(tài)

零信任采納的現(xiàn)實(shí)是，它是一個(gè)過程，而不是目的地。實(shí)現(xiàn)零信任沒有快速解決方案，因?yàn)樗且环N安全方法，旨在在整個(gè)環(huán)境中持續(xù)應(yīng)用以控制用戶訪問。

Veridium公司首席運(yùn)營官Baber Amin表示：“那些錯(cuò)誤地獲得零信任的企業(yè)是那些尋求快速解決方案或靈丹妙藥的企業(yè)。他們也傾向于尋找一套產(chǎn)品來獲得零信任。他們不理解或不想承認(rèn)零信任是一種戰(zhàn)略，是一種信息安全模式。”

Amin補(bǔ)充說:“產(chǎn)品可以而且確實(shí)有助于實(shí)現(xiàn)零信任，但它們需要正確使用。這就像買了最昂貴的鎖，如果大門本身沒有得到適當(dāng)加固，，就不會(huì)起任何作用。”

Amin還指出，除了將零信任戰(zhàn)略與產(chǎn)品混淆之外，企業(yè)還會(huì)犯一些其他最常見的錯(cuò)誤。

這些錯(cuò)誤包括：

未能定義適當(dāng)?shù)脑L問控制策略來執(zhí)行最小特權(quán)原則(PoLP)。
未能實(shí)現(xiàn)多因素身份驗(yàn)證。
未能對數(shù)據(jù)進(jìn)行分類和分段。
影子IT缺乏透明度。
忽視用戶體驗(yàn)

要構(gòu)建一個(gè)成功的零信任策略，安全團(tuán)隊(duì)必須能夠做更多的工作，而不僅僅是持續(xù)地對用戶和設(shè)備進(jìn)行身份驗(yàn)證。他們還必須在進(jìn)行身份驗(yàn)證之后監(jiān)控這些用戶和設(shè)備;細(xì)分他們的網(wǎng)絡(luò);并實(shí)現(xiàn)跨內(nèi)部部署和云計(jì)算環(huán)境的控制，以確保在應(yīng)用程序級別訪問數(shù)據(jù)的安全。

過度依賴傳統(tǒng)基礎(chǔ)設(shè)施

實(shí)現(xiàn)零信任的過程往往說起來容易做起來難，因?yàn)樵S多企業(yè)都在具有過時(shí)且不靈活的傳統(tǒng)基礎(chǔ)設(shè)施的環(huán)境中運(yùn)行，這使得快速管理用戶訪問變得更加困難。

過度依賴傳統(tǒng)基礎(chǔ)設(shè)施是零信任采用的一個(gè)眾所周知的障礙。例如，一項(xiàng)針對300名IT和項(xiàng)目經(jīng)理進(jìn)行的調(diào)查發(fā)現(xiàn)，58%的受訪者表示，實(shí)現(xiàn)零信任的最大挑戰(zhàn)是重建或替換現(xiàn)有的傳統(tǒng)基礎(chǔ)設(shè)施。

因此，采用零信任不僅意味著實(shí)現(xiàn)新的安全控制并在整個(gè)環(huán)境中應(yīng)用最小特權(quán)原則，還意味著進(jìn)行數(shù)字化轉(zhuǎn)型和替換傳統(tǒng)基礎(chǔ)設(shè)施。

Token公司安全工程師Charles Medina說：“傳統(tǒng)上，在采用‘安全優(yōu)先’的環(huán)境時(shí)，企業(yè)通常落后，并堅(jiān)持采用傳統(tǒng)模式，以降低CIAM/IAM基礎(chǔ)設(shè)施的成本，并確保用戶在訪問站點(diǎn)、文件等時(shí)不會(huì)進(jìn)行額外的身份驗(yàn)證，這可能會(huì)導(dǎo)致糟糕的用戶體驗(yàn)或降低整體生產(chǎn)效率。”

企業(yè)需要部署新工具以實(shí)現(xiàn)零信任旅程，還需要確保他們正在培訓(xùn)員工如何有效地使用新解決方案。

Medina說:“最糟糕的情況是，企業(yè)部署了功能強(qiáng)大的工具，幫助推行零信任模式，但由于成本原因沒有接受適當(dāng)部署的培訓(xùn)，或者根本沒有認(rèn)真對待環(huán)境。”

缺乏行政協(xié)調(diào)

最后，實(shí)現(xiàn)有效數(shù)字化轉(zhuǎn)型所必需的采購依賴于首席信息安全官和安全領(lǐng)導(dǎo)者的能力，即零信任采納不僅是一個(gè)安全問題，也是一個(gè)業(yè)務(wù)問題。

如果首席信息安全官要替換傳統(tǒng)基礎(chǔ)設(shè)施和應(yīng)用程序，則需要其他關(guān)鍵利益相關(guān)者的支持。畢竟，如果沒有在數(shù)字化轉(zhuǎn)型方面的重大投資，安全團(tuán)隊(duì)將無法實(shí)現(xiàn)基本的訪問控制和身份驗(yàn)證模型來管理和監(jiān)控用戶訪問。

畢馬威公司全球網(wǎng)絡(luò)安全實(shí)踐負(fù)責(zé)人Akhilesh Tuteja表示：“部署是一個(gè)循序漸進(jìn)的過程，首先要制定一項(xiàng)與業(yè)務(wù)相關(guān)的戰(zhàn)略，并建立一個(gè)治理框架，讓利益相關(guān)者參與到變革計(jì)劃中來——不僅僅是首席信息官和首席信息安全官團(tuán)隊(duì)，還有那些可能受到實(shí)施影響的業(yè)務(wù)部門。”

首席信息安全官強(qiáng)調(diào)零信任的潛在成本節(jié)約至關(guān)重要。例如，他們可能會(huì)強(qiáng)調(diào)Forrester公司的研究，該研究說明了采用微軟公司零信任解決方案的企業(yè)如何產(chǎn)生92%的投資回報(bào)率，并將數(shù)據(jù)泄露的幾率降低50%。這可能有助于為投資零信任控制提供商業(yè)理由。

然而，即使得到其他關(guān)鍵利益相關(guān)者的支持，零信任也不是一次性的努力，而是一個(gè)持續(xù)的過程。

Tuteja說：“在這個(gè)過程的每個(gè)階段，都有可能出現(xiàn)失誤和許多意外。很少有企業(yè)了解他們的IT產(chǎn)業(yè)，并且非常了解各種系統(tǒng)和應(yīng)用程序如何交互。當(dāng)實(shí)現(xiàn)隔離和新的訪問控制時(shí)，就會(huì)出現(xiàn)問題。人們將會(huì)發(fā)現(xiàn)意想不到的依賴關(guān)系，以及令人驚訝的數(shù)據(jù)流和長期被遺忘的應(yīng)用程序。”