专家传真－零信任防御模式已成为 企业不可或缺的新资讯安全思维
资安攻击手法及规模日益增加，「整合式」威胁防护解决方案将可能造成的损害降到最低，重要性与日俱增。图／本报资料照片
近期，当企业谈及零信任（Zero Trust）资安防御议题时，大多是将焦点放在IT组织管理原则的建立及定义等，仍处于一个初期探索测试阶段。但新冠肺炎疫情崛起期间，假借提供疫情资讯的钓鱼邮件愈发猖獗，甚至针对特定目标，伪装成企业相关的组织或供应链厂商，骗取使用者打开钓鱼邮件，并利用夹带的恶意程式取得敏感资料或其他商业机密资讯，由此可见，企业应加速把零信任思维落实到日常具体方案，降低后疫情新常态时代（New Normal）下的资安风险。
过去传统资安防御思维中，使用者资料和装置须处于内部网路或特定的公司网域，但可能因系统装置功能过时或资安设备之间无法整合，导致管理人员缺乏可视性（Visibility），难以掌握整体IT环境设备的运营状态，在面对多变的资安威胁时，无法即时有效保护用户安全。在数位转型或后疫情的时代下，员工可以自由选择或被迫在原办公场所以外使用不同的装置来完成工作，例如使用个人装置作业、透过新兴云端服务分享资料，或是在公司网域之外进行远端文件协作。根据我们的观察，越早采用零信任思维的企业，可相对容易适应此新型态的工作模式。
现代零信任思维模式，将重新定义未来的资安趋势。基于微软长期在产业上的观察与经验累积，以下提供几项建议供大家参考：
许多企业均表示，采用零信任防御模式最大的挑战之一是不晓得从何着手，我们建议可以先从多重要素验证（Multi-Factor Authentication，MFA）开始。微软研究指出，采用MFA的帐户被骇的可能性大幅下降99.9％。严谨的身分验证系统能强化企业的整体安全性，降低使用者帐户被骇的风险。
2.端点设备可视性
在零信任防御模式下，所有进入企业网路的端点设备都须具有可视性，亦即只允许符合企业规范的装置才能存取内部资源，并将装置安全强度与合规性纳入企业的使用规范。这不但有助强化安全性，也因可支援更多元的装置种类与体验，进而提升员工效率与机动性。
3.应用程式与资料存取
员工透过个人装置存取企业资料或以云端服务协作的频率正逐渐增加，多数资安团队发现既有应用程式与资安工具已无法给予足够的可视性与控制力。当遭受资安攻击的范围逐渐扩增，企业需及早对目前使用的云端应用服务进行风险评估，并建立一套标准资讯管理规范，除避免资料外泄，同时为确保应用程式中的敏感资料会被正确地传递或储存，也须建立一套有效的机敏资料分级制度，标记并保护资料安全。
4.保护用户及机敏资讯
现今的企业平台整合了许多应用程式和云端服务，以提供更多元的用户体验。但这些资料量庞大的平台，也容易成为骇客组织瞄准的对象。目前最常见的手法是透过钓鱼邮件来窃取帐户和机敏资讯。建议企业借由内部教育训练提升人员的资讯安全意识；IT管理员亦可采用使用者帐户最小权限管理原则，并告知内部人员实行准则，避免因单一帐号权限过大时，能够让攻击者轻松存取企业任何应用程式或云端系统。
5.多方整合的解决方案
随着资安攻击手法及规模日益增加，「整合式」威胁防护解决方案的重要性也与日俱增，因其能在侦测、防护、调查及回应等多个阶段间共享情资、互相协调和提供即时监控仪表板，将资安攻击可能造成的损害降到最低。虽然许多企业已有惯用的威胁防护工具，但多数工具之间未能共享情资或进行有效资安事件调查鉴识，再加上绝大部分的攻击涉及许多使用者、端点、应用程式、资料与网路，一个能有效整合威胁情资的资安平台与自动化威胁分析工具在现阶段便扮演了不可或缺的重要角色。
6.零信任思维与使用者体验
企业资安长常面临的一大挑战，即是在资安维护及简化使用者体验间取得平衡。零信任思维能够同时兼顾用户装置安全及工作效率，让使用者安全地在任何装置与地点存取应用程式和资料，无需多次登入，且受到VPN连线加密的保护机制，使用者仅能使用被企业管理的装置来完成工作，实现端到端（End-to-End Encryption）保护机敏资料安全的目标。
随着远距工作逐渐成为新常态，网路环境中的资安、合规性与隐私更显重要；面对层出不穷、日益进化的资安挑战，企业必须以更严谨的态度重视零信任防御模式，以落实资讯安全防护的基本要求。