世界前所未有地互联互通,但随着这种数字连接不断扩展,我们遭受网络攻击的脆弱性也随之增加。
应对这些不断上升的风险需要一种数据安全的新方法,而这正是网络安全的零信任模式。
采取零信任方法将有助于保护数据,并使各组织实现数字化转型的潜力。
我们的日常生活比以往任何时候都更依赖数字技术且彼此互联。然而,随着我们的数字连接不断扩展,我们的脆弱性以及暴露于恶意网络攻击。
推动我们交流、工作和学习方式发生变革并赋予其能力和影响力的科技趋势,正在带来巨大的商业和公共服务机遇,同时也给当今网络环境带来重大的数字挑战。应对这些风险需要一种数据安全的新方法——零信任应运而生。
世界经济论坛在网络安全方面开展了哪些工作?
网络安全中心为领导者提供了一个可信平台,让他们齐聚一堂,厘清不断演变的网络风险及其系统性影响。该中心致力于在日益互联的数字世界中增进理解与信任。
通过促进跨领域合作与洞察共享,该中心帮助合作伙伴增强网络韧性,并应对需要集体应对的挑战。
零信任是一种网络安全模型,它改变了组织对安全的思路,从仅依赖边界防御转向一种主动策略,只允许生态系统和数据管道中已知的良好活动。
采用这一新方法将有助于增强对数字服务的信任、保护数据,并使各组织充分发挥数字化转型的巨大潜力。
永不信任,始终验证
作为IT安全领域的范式转变,零信任明确背离了传统安全协议,后者已不再适应我们所处的世界、我们的工作方式以及我们访问在线服务的方式。
越来越多的人正在摒弃旧的网络安全标准“先信任,后验证”,并以一种反直觉的理念取而代之:“永不信任,始终验证”。
自Forrester的John Kindervag首次提出零信任一词以来,该模型的指导原则一直是“默认拒绝对应用程序和数据的访问”。
如今,企业和组织比以往任何时候都更受益于持续验证的要求,该要求会在允许访问数字资产之前,反复检查每个人或设备的身份。
零信任是一种“以数据为中心的方法,持续将一切视为未知”,正如世界经济论坛网络安全中心所解释的,“无论是人还是机器,都要确保可信行为”。
推动“无信任”模式的发展势头
随着来自内外部的安全威胁不断上升,人们对“无信任”模式的接受度正在提高。此外,包括欧洲和美国在内的率先出台国际监管要求的政府机构及关键基础设施提供商,压力也在不断加大,目前这些机构正在要求在2024年前采用零信任架构(ZTA)。
无论出于何种动机,一旦实施,零信任架构都可以扩展组织在各类环境(包括云端和边缘)中的网络安全战略一致性,确保未来网络具备网络安全准备。
实施零信任的益处体现在以下方面:
更强的访问控制
对应用程序和敏感数据的授权
降低IT复杂性
为所有用户提供安全、可预测的结果
在服务提供商保护范围之外构建的5G安全,从而实现所有5G优势
增强的基于云的安全
具有速度和连接性进步的革命性5G技术的出现,有望在医疗保健等关乎生活质量的重要领域带来重大改善,尤其是医学研究和治疗。然而,更大的容量也带来了更广泛的脆弱性。
要充分释放5G的潜力,同时保护其网络免受攻击,将需要在零信任安全基础设施方面进行大规模投资。
一旦实施,零信任很可能成为5G及其配套多云网络在可扩展性、安全性和可持续性方面的决定性因素。
迈向云端的零信任之旅
同样,将数字资产迁移至云端的组织也面临更高的安全风险。默认的云安全控制措施在防范网络攻击方面可能无效,正如Elastic威胁报告所指出的, 而且用户高估了其云部署的安全性。
通过将零信任平台纳入新云基础设施的基础设计中,新云基础设施,迈向云交付解决方案的过程可以实现:
无论位置如何,任何用户或设备都可以安全访问
降低IT网络安全架构的复杂性
优化IT资源,聚焦重点工作
通过单点登录(SSO)和密码工具简化用户体验
为混合办公人员提供快速、无缝的应用程序访问
寻求安全缺口解决方案的目标行业
若没有零信任范式,那些日益开放和全球化、提供关键服务的行业,就是在以其数据保护作赌注。
根据最近发布的2022年戴尔科技全球数据保护指数显示,大多数IT负责人质疑当前网络系统弥补安全缺口的能力:
76%的人表示,针对云、边缘计算和物联网等新技术的数据保护解决方案仍然不足
69%的人预计未来12个月内将发生颠覆性事件
86%的人去年已经历过中断
在过去36个月中,Skybox Security发现,遭受攻击最多的行业是制造业承受了61%的运营技术网络攻击;石油和天然气行业占攻击的11%。
包括金融科技在内的这些及其他关键行业,正日益寻求零信任,以获取新的数字安全解决方案。
前进之路——颠覆颠覆者
网络威胁行为者的破坏行为无疑将会增加。无论挑战是复杂的网络攻击手段、地缘政治紧张局势,还是供应链脆弱性,都需要一种更有效的方法来应对当今的数字挑战。
进入零信任新前沿的企业和政府不会找到一刀切的解决方案。新架构需要一种多层次方法,并根据每个组织的安全需求量身定制。
就风险而言,不存在中立的IT决策。问题不在于IT决策之外的安全,而在于与每一项IT决策、每一次供应商选择、每一个架构决策内在相关的安全。
John Roese,戴尔科技全球首席技术官
是时候拥抱零信任的范式。各种规模的组织都应与值得信赖的公私部门合作伙伴合作,将零信任置于我们今天为医疗保健、教育、能源、通信等领域构建的数字基础设施的核心位置。
通过强制纳入零信任,各国政府正在带头示范。各行业、各领域和各社区现在也应朝同一方向努力,以应对定义时代的数字挑战。
另请阅读《2023年全球风险报告》,了解主要的全球威胁。
