對于我們任何人來說，兒童就是我們“最關鍵的資產”。為了給與他們妥善的保護，我們一直在努力了解他們在哪里以及他們在做什么，尤其是在令人煩惱的青少年時期。我們還會采取措施保護他們度過童年的地方。我們安裝了攝像頭、鎖和警報系統(tǒng)來監(jiān)控他們的活動，并保護外圍安全，確保我們最寶貴的“內部人員”不會脫離“安全圍欄”。這些概念并不新鮮；它們只是我們所生活的世界的產物。
對于嘗試保護任務關鍵數據的組織而言，這些概念同樣適用。客戶信息、商業(yè)秘密和健康記錄都屬于組織擁有的最敏感信息，但我們往往沒有像對待家人那樣給與它們同樣的保護。
進入“零信任 （Zero Trust）”
重大數據泄露事件及全球性法規(guī)的增多，可能會導致組織遭受數百萬美元的業(yè)務損失和/或罰款。為此，企業(yè)已經開始實施有助于減緩這些潛在風險的框架，其明確目標便是保護其敏感數據。零信任便是這些框架之一。
零信任 （Zero Trust） 是以不信任任何人這個概念為基礎而建立的一種靈活安全框架。以前的安全模型專注于 IT 外圍，但是隨著企業(yè)向混合多云環(huán)境的轉變、自帶設備 （BYOD） 模型的增多，以及員工和承包商的混合使用，單單保護外圍安全已然不夠。相反，采用零信任戰(zhàn)略的組織可以保護需要正確訪問數據的人員、
需要管理的安全設備，并實施分析和響應機制，確保安全分析人員對其環(huán)境具有完全的可視性。
重新思考外圍保護，提升數據安全性
數據是 IT 環(huán)境中所有事物的基礎，但在面向外部的領域（如端點、網絡和應用） 中，安全性經常會被忽略。組織使用傳統(tǒng)的安全方法在網絡周圍建立“圍墻”， 并檢查進出圍墻的每個人員，這對于當今企業(yè)而言，并不是一種妥善的做法。
相反，零信任框架和架構方法的特征是微外圍（比如將房屋的大門鎖上，然后關上孩子臥室的門）和微分段（比如只有祖父母和可信賴的鄰居才能擁有房屋的鑰匙和警報代碼；管道修理工只有在您在家時才能進入房屋）。通過實施這兩個原則，組織便可控制誰可以從哪個設備和哪個網絡訪問哪些數據。
在采用“零信任”方法時，安全架構的起點必須從底層開始，并逐步向上發(fā)展到IT 堆棧（比如在數據層進行微分段和微外圍），然后將信息用作移動到框架外部區(qū)域時的情境。沒有堅實的基礎，您就無法建造堅固、美麗的房子。
成功實現零信任的四個步驟
1. 定義信任
構建牢固框架的第一步是針對組織所擁有的敏感數據及其所在的位置創(chuàng)建一個清單。一旦知道了擁有什么，便可以制定規(guī)則來保護它們的安全（比如我有兩個幼兒，那么就需要在樓梯上安裝安全門；我有一個 10 多歲的小孩，那么就需要鎖上酒柜）。
若要進一步保護數據安全，組織應采用強加密來加固環(huán)境。這類似于讓您的孩子
在騎車時（務必�。┐魃项^盔、護膝和護肘。
2. 執(zhí)行信任
接下來，若要完全了解您的數據格局，您需要執(zhí)行活動監(jiān)控，查看誰在嘗試訪問所有數據（比如使用家長控制工具跟蹤孩子正在跟誰發(fā)短信或跟誰一起騎車，以確保他們的安全）。對于任何組織而言，擁有最敏感數據相關用戶和行為的清晰視圖都至關重要。
3. 重建信任
無論您制定了什么規(guī)則，隨著業(yè)務環(huán)境的不斷變化，仍然會發(fā)生一些違反這些規(guī)則的事件。育兒也是如此！在發(fā)生這種情況時，重要的一點是要迅速做出響應并采取精確的措施來解決問題。對于企業(yè)來說，這可能意味著調整網絡的分段或擦除用戶設備。
4. 改善可信度
數據保護是一個持續(xù)的過程，涉及到所有的安全領域。強大的分析和機器學習功能可讓您深入了解數據環(huán)境，并濾除誤報帶來的噪音。這些分析應向自動化引擎提供數據饋入；如此一來，一旦檢測到異常，受感染的用戶將無法訪問敏感數據。
了解數據位于何處并運用身份和訪問管理 （IAM） 工具，組織便可了解誰有權訪問這些數據，以及他們是否應訪問這些數據。統(tǒng)一端點管理 （UEM） 解決方案中的分層功能可為組織提供有關數據、訪問數據的用戶以及構建端到端安全框架所用設備的完全可視性和情境信息。
使用零信任方法應對混合多云世界的挑戰(zhàn)
在當今的環(huán)境中，敏感數據無處不在 - 它們可能會一下子從本地數據庫“飛” 到云文件共享庫，而在我們乘坐游艇出海時，也可以在平板電腦上通過虛擬專用網絡 （VPN） 訪問敏感數據；因此，組織需要強大、靈活的框架來確保業(yè)務連續(xù)性、合規(guī)性和客戶信賴。針對您的“零信任”計劃采取以數據為中心的方法，您的組織便可做好充分準備來應對當今混合多云世界帶來的挑戰(zhàn)。
就像是您讓孩子回房，然后設定警報、關燈、關門并上鎖一樣，我們在保護組織的敏感數據時也應該采取這樣的方法。還有一點：別忘了藏起酒柜鑰匙！
Jesse Sedler
IBM Security 數據安全產品經理
Jesse Sedler 是 IBM Security 數據安全團隊的產品經理。他于 2018 年加入 IBM Security，首先是負責移動安全領域的網絡安全工作，然后是負責數據安全。他先前曾擔任過某個貿易協(xié)會的游說者，以及國防高級研究計劃局 （DARPA） 的分析師。他擁有埃默里大學的歷史學士學位和杜克大學的工商管理碩士學位。來源：IBM
