首页 / 资源 / 新闻及趋势 / 澳门赌场官方软件 / 2023 / 打破零信任障碍的路线图

打破零信任障碍的路线图

保罗·飞利浦
作者: 保罗·菲利普斯，CISA, CISM, CDPSE
发表日期: 2023年3月14日

自2011年以来，零信任模型已被许多组织采用, 其目标是允许员工在不受信任的网络上工作，而无需使用虚拟专用网络(VPN)。. 访问权限从最常见的网络外围防御转移到用户和他们的设备, 允许员工在任何地方工作，并改进他们的工作方式. 这在2019冠状病毒病大流行期间变得尤为重要, 由于远程和混合型员工的增加, 网络管理变得更加困难. 零信任为澳门赌场官方下载提供了创建更健壮、更有弹性的安全状态的机会, 简化安全管理, 改善最终用户体验并启用现代IT实践.

根据美国国家标准与技术研究院(NIST), 远程和混合型员工的增加, 卫星办公室, 云服务, 移动设备导致网络变得如此复杂，它们“已经超越了传统的基于边界的网络安全方法，因为没有单一的方法, 容易识别澳门赌场官方下载的边界.”1 在解决这个问题上已经花费了大量的努力. 如果澳门赌场官方下载能更迅速地采取(合理的)谨慎行动, 他们本可以大大降低患病风险. 现在人们已经认识到谨慎的必要性, 澳门赌场官方下载已经开始实施适当的零信任协议.

如果澳门赌场官方下载能更迅速地采取(合理的)谨慎行动, 他们本可以大大降低患病风险.

传统的基于边界的安全使用城堡和护城河(i.e.(防火墙和端点)保护组织免受网络威胁的方法. 这创造了一种对堡垒内用户和设备的过度信任态度. 因此，内部恶意行为者也可以横向移动并利用过度信任.

零信任要求组织消除隐性信任并遵守以下原则:

  • 永远不要假定信任，始终验证每次访问尝试-验证每个试图访问网络的设备的访问权限.g.、手提电脑、流动电话).
  • 持续验证和验证信任—如果设备已经校验过，请重新校验.
  • 拒绝匿名或未经验证的访问-如果访问请求的设备无法识别或无法验证，则必须拒绝.

认识到一体化零信任解决方案不存在

重要的是要认识到，零信任不是一种可以通过特定产品购买的方法, 它也不是单一的方法或技术. 它由政策、框架、技术和人员组成. 所有这些都需要与零信任的七大支柱联系起来, 由美国国防部(DoD)定义为:2

  1. 用户
  2. 设备
  3. 应用程序和工作负载
  4. Data
  5. 网络与环境
  6. 自动化和编排
  7. 可见性和分析

安全领导者可以实现ZTX模型的这7个支柱，以应用适当的安全工具并更好地保护IT. ZTX剧本或类似的零信任支柱旨在帮助IT安全管理员识别, 组织和实现适当的安全工具，以满足零信任策略的总体目标.

购买单个产品来解决这些问题可能会留下空白. 零信任框架不能使用单一解决方案来实现. 这是一个不断发展的路线图. 正如OpenVPN公司的首席执行官兼联合创始人所说., 弗朗西斯Dinha, “零信任涉及层层安全, 一个接一个，有意图和目的.”3

适当的规模

一旦成功，零信任的部署就可以扩展. 逐步引入零信任安全是有益的，因为它不会破坏现有网络安全战略的连续性. 组织可以从锁定关键资产开始, 而是因为他们并没有完全放弃一种制度而转向另一种制度, 他们面临的威胁更少.

认为妥协

在尝试使用零信任来降低网络泄露的风险时，考虑假定的折衷原则可能是有用的. 是否采用桌面练习, 白板或研讨会, 假设妥协原则的主要目标是回答问题, 如果这个用户, 资产, 或者网站被入侵, 我会有什么不同的做法?这个问题可以通过创建一个场景列表来回答，就像ISACA中描述的那样® 出版 IT风险场景工具包.

组织应考虑以下因素:

  • 数据和信息管理组织应评估其实现和保持充分的数据和信息质量及保护的能力.4
  • 控制类型-控件可以分为不同的类型. 这样的分类可以帮助评估控制的应用范围是否足够全面. 例如，并非所有控件都关注于策略.
    可以进行多种分类，包括:
    • 的治理系统组件类型 COBIT® 在过程实践、组织结构、信息流(i.e.(报告)、文化和行为、技能、政策、应用程序和基础设施
    • 在澳门赌场官方下载开发的任何内部分类系统中进行预防/侦查/纠正控制
  • 目的/动机评估。, 如果威胁参与者是组织内部人员，并且事件是意外的, 行为者意图/动机中的数据或模式的价值可以让我们深入了解此类事件是如何发生的. 如果行为人是恶意的, 意图/动机字段描述了参与者如何以及为什么会对资产和资源采取行动. 如果行为者是自然行为，则该场解释了特定事件如何导致损失(例如.g.(大风导致停电，导致数据中心停机).5
  • 影响效果—估计控制是否会产生影响，用定性指标表示, 取值为Yes/No. 建议澳门赌场官方下载的风险管理实践包括一些关于这些定性值阈值的指导，以确保整个It风险记录的一致性.
  • 参考风险登记册上的这一栏是作为控制的参考. 引用可以是帮助用户更好地理解或更好地定位控件的任何东西.
    可能的推荐信包括:
    • 对COBIT框架中特定治理或管理目标的引用, 或者其中包含的更详细地解释控制的过程实践或活动
    • 对另一个相关标准或框架的引用，其中控制来自或更好地解释了控制
    • 对澳门赌场官方下载自己的控件目录中的控件的引用
  • 对频率的影响-该控制对频率的估计影响. 效果用一个定性指标来表示，可能的值为Yes/No. 建议为定性值提供风险偏好指导，以确保整个It风险记录的可靠性.
  • 基本控制零信任架构中包含的安全控制启用了深度防御(DiD)。, 在系统或组织层面进行风险评估时应考虑哪些因素.

考虑(并解决)采用零信任的挑战

零信任由一组概念组成，这些概念对每个请求强制执行敏捷方法，即不信任所有请求并验证所有请求, 不像传统的周边安全. 这不是一个开箱即用的解决方案，而且存在风险来源6 零信任要想成功，必须考虑这些挑战.

第一个, 遗留软件和硬件可能会在网络中造成无法适应零信任的漏洞. 这些系统是建立在周界思维框架下的. 这些系统可能需要安全部署机制加以保护或替换.

其次，泄露的风险随着存在的数据副本数量的增加而增加. 许多组织都有相同数据的多个副本，有时是几十个. 每当有人发送电子邮件时，这些数据的副本就会在他们的计算机上创建. 发送电子邮件时，将在服务器上创建这些数据的副本. 经验丰富的黑客可以下载这些数据的副本.

第三个风险因素是流动性, 或者将数据从一个地方传输到另一个地方并处理它们是多么容易. 现代社会一直在推动数据的流动性，以便更有效地利用它们. 这使得数据驱动型组织面临巨大的漏洞风险.

最后一个数据泄露风险因素是, 可以说, 最重要的是，信息泄露的风险随着信息价值的增加而增加:暗网. 暗网有相当一部分专门用于买卖被盗的金融和个人信息. 比如，如果信息被放到暗网上, 数据泄露后，身份窃贼可以访问它. 随着暗网的蓬勃发展和暗网市场的出现, 数据泄露的风险增加了.

随着暗网的蓬勃发展和暗网市场的出现, 数据泄露的风险增加了.

结论

在数据风险管理(DRM)领域, 零信任有助于降低风险, 简化了数字监控的改进(i.e.(治理)，并在遵从性框架内提高成熟度. 通过采用安全协议和零信任方法, 组织获得了对所有级别风险的可见性. 在粒度级别上, 可以评估单个用户身份泄露的风险, 记录和报告. 集成了IT和安全工具, 可以观察到其他潜在的漏洞指标，例如大量数据访问和传输以及恶意软件检测, 允许第一道防线获得必要的调查细节. 可以进一步处理丰富的威胁和漏洞数据，以提供组织风险状态的汇总视图, 向高级管理层和审计人员提供更准确、更轻松的风险报告. 由风险监控和报告产生的见解提供支持, 组织的风险管理策略和政策可以持续地被审查和改进，以保持相关性和有效性.7

尾注

1 美国国家标准与技术研究院(NIST) NIST特别出版物(SP) 800-207; 零信任架构2020年，美国
2 国防部， 国防部零信任战略2022年，美国
3 Dinha F.; “当信任为零时，不要相信你读到的一切,” 《澳门赌场官方软件》2022年3月7日
4 Sanbower J.; “零信任解决网络安全风险,” GRC展望杂志
5 ISACA®, IT风险入门工具包2022年5月，美国
6 谢伊,年代.; D. Turpitka; “零信任安全模型的六大挑战,” TechTarget2022年10月
7 Kudrati,.; J. Xia; “如何利用零信任架构改进风险管理，”微软安全，2022年5月23日

保罗·菲利普斯，CISA, CISM, CDPSE

是ISACA的活动内容开发总监吗®. 他曾在美国澳门赌场官方下载担任各种职务37年. 他还在包括伊利诺伊州奥罗拉大学在内的几所大学和其他高等教育机构担任兼职教授20年, 美国), 路易斯大学(罗密欧维尔), 伊利诺斯州, 美国), 西北大学(埃文斯顿, 伊利诺斯州, 美国)和芝加哥大学(伊利诺伊州), 美国). 菲利普斯是一位屡获殊荣的国际演说家，曾在美国国家标准与技术研究院(NIST)等组织赞助的活动中发表演讲。, 管理信息系统培训学院(MISTI), 内部审计师协会(IIA)和ISACA.