创建和管理零信任安全框架

传统的安全机制假设网络中的身份和设备可以被信任，而零信任安全模型是基于默认情况下没有内部或外部用户或设备可以被信任的事实。

零信任的概念最早是由弗雷斯特研究公司在2010年提出的。在谷歌和思科部署零信任的概念后，这种认证和授权方法开始逐渐普及。

零信任是身份和访问管理(IAM)中的一个关键概念，其结构旨在限制黑客对公司网络的访问。

凯文·科兰，电气和电子工程师协会(IEEE)高级成员，爱尔兰阿尔斯特大学网络安全教授说:“零信任安全模型的需求部分是由于企业不再倾向于在内部托管数据，而是通过企业内外的各种平台和服务，大量员工和合作伙伴通过不同地理位置的各种设备访问应用程序。”

Curran说，简而言之，“传统的安全模式不再适用。”

在本文中，Curran解释了企业如何开始部署零信任模型，并讨论了与零信任安全框架相关的挑战。

企业应该如何创建和更新零信任安全框架?

凯文·科兰:为了使零信任安全有效，这里需要新的方法，例如基于用户和位置的网络分段或微分段。零信任要求部署身份和访问管理、下一代防火墙、业务流程协调、多因素身份验证和文件系统权限。

企业可以通过以下方式部署零信任安全框架:

零信任安全模型有哪些挑战?

Curran:这种零信任安全框架依赖强有力的管理流程来保护企业信息技术环境的安全——这里有许多挑战，因为在许多情况下，这迫使企业在整个企业中强制部署新流程，这并不容易。

另一个挑战是，员工可能不愿意承担访问计算机的额外负担以及最低特权原则带来的访问级别降低。

企业需要在这里改变心态，尤其是对有经验的员工。还需要在安全领域进行体制改革，同时需要在技术领域做出大量努力，例如引入微细分，这需要重新配置知识产权数据，以确保日常环境不中断。这就是为什么CISO、首席信息官和高级管理层应该从一开始就参与进来，以确保成功。