专家传真－提升网路弹性 身分安全治理须零信任

过去，企业依赖安全模型管制来自网路外部的存取，像是使用防火墙、虚拟专用网路 （VPN）、存取控制、电子邮件安全和Web安全等安全协议。然而，随着愈来愈多企业从本地部署转移到混合和云端环境，以及愈来愈多的组织转向远端工作并使用个人设备，边界防御和控制在网路中横向移动的用户变得愈来愈困难。

如今，随着网路攻击者使用各种方法进入组织，企业须随时确保在正确的时间，向正确的用户赋予正确资源的正确存取权限以保护所有身分，例如员工、合作伙伴、供应商等。

企业必须全面了解他们拥有的敏感资料类型、敏感数据所在的位置以及组织中的哪些人可以存取这些资料。因此，身分安全毫无疑问的是零信任安全策略的核心。零信任架构的概念围绕在「验证身分之前，绝不信任任何的用户、设备或连接」。透过零信任架构，组织可以在每个存取点有效地保护所有用户、数据和系统。

■发展零信任架构之必要

有了坚实的零信任策略，企业也能更好地应对内部和外部威胁，实现对资料的精细控制，改善用户体验，并符合法律规定标准。这就是台湾政府逐步推出零信任架构的原因，并特别强调在身分验证、保护敏感知识产权以及台湾关键产业（如半导体产业）供应链的落实。

透过实施零信任架构，身分在不断验证的过程中获得授权。此外，一旦身分进入网路，安全性检验就不会停止，它们会在身分进行内部横向移动时持续检验。

零信任能够达到安全的方法是透过建立组织的身分基础设施上达到防御，而不是透过设立网路边界来建构。不再仅仅透过用户是否属于某个组织或提供正确的密码来信任他们，必须查看用户的属性和行为模式，以了解谁在尝试获得存取权、他们如何获得存取权以及他们将使用该存取权做什么。

强大的身分安全计划，将使企业能够管理和治理来自不同类型数位身分的存取活动，建立一个零信任框架，将得以系统性地适应和回应企业和整体威胁环境中不断的变化。全面的身分安全解决方案还将使企业能够实现身分生命周期自动化、管理身分属性的完整性、根据企业中的角色实施特权身分，并利用人工智慧和机器学习等先进技术来管理和应对存取风险。

■六项执行步骤不可少

组织如何使他们的零信任策略与身分安全方法保持一致？有六点应注意：一、透过建立一个集中的身分数据储存库，得以作到对每个用户身分的完全可视性和掌握，包括非人类实体、设备、数据源和影子IT；二、使用角色和存取策略管理，仅在需要时授予对数据和应用程序资源的存取权限，并设置职责分离（SoD）策略以避免潜在的病毒存取组合；三、透过不断审查和调整用户的身分权利和角色，以确保他们在正确的时间对正确的资源具有正确的存取权限；四、监测用户对资源的存取权限并标记可疑的存取活动或权利改变，并提醒相应的管理员；五、当员工离开公司时自动取消不再需要的存取权限；六、根据用户属性或职权的变化，或当用户在组织内改变角色时，自动修改或终止权限；并在检测到风险活动时自动执行补救措施。

如今，由于大多数组织都在多云端环境中运作并且拥有分散和远端的团队成员，因此采用零信任策略比以往任何时候都更加重要。以身分为核心，零信任架构使组织能够正确地决定是否应授予每个身分的存取权限。

以身分安全为中心的零信任策略有助于建立强大的网路安全架构并保护关键数据和资源，这对台湾的国家安全和企业组织至关重要，更符合数位发展部（MODA）推动加强网路弹性的政策。