对甲方成功实施零信任的思考(评论赠书)

admin 2022年8月29日10:13:17云安全评论14 views2736字阅读9分7秒阅读模式

毫无疑问,零信任绝对是2021年网络安全这条赛道最靓的仔。

2020,疫情第一年,大家还在观望新冠特效药和疫苗,人肉双周轮班保生产也就是阵痛而已。

2021,疫情第二年,意识到新冠可能是持久战,必须改变思路,目光都聚焦在了远程办公,以及其安全性。

于是,网络安全产业界嗅到了商机,迅速掀起了零信任的浪潮。

混乱,是产业界的机会。一时间,人声鼎沸。各路诸侯,不管以前是做网络(SD-WAN、VPN、NTA),还是做主机(桌管、HIDS、容器、沙箱),抑或身份(IAM),都赶紧圈地,竖起零信任的大旗。

混乱,却是甲方的梦魇。很多甲方被造词的先驱们忽悠的团团转,零信任到底是什么?是网关?是IAM?是桌管升级EDR?还是微隔离?是新瓶装旧酒?是技术还是一种思维?

每一场网络安全大会都刮着零信任旋风,吹的甲方发型凌乱,抱头直呼“不买零信任,枉在安全混”。

机会与风险相伴相生,喧嚣的2021年过去,零信任产业交出了一份并不太好看的成绩单。无论是“人买我推荐,真买我不买” 的尴尬,还是“销售一张嘴,交付跑断腿”的重人力消耗,最终体现出来的毛利和人效,都让资方眉头紧皱。

2019年,我在写信息安全三年安全规划的时候,就把零信任项目写了进去。2020年和一些综合安全厂商,以及多家创业公司交流后,也迟迟没有启动采购。在交流的过程中,我形成了两个观点(仅代表个人判断,与所在公司无关)。

第一、零信任要想在中大型企业落地,不太可能是乙方主导。

原因很多,随便讲两点。

1、乙方掰开揉碎的安全故事,还是不够性感。只有甲方在内部多年的深耕,才更能抓住决策者的兴奋点。尤其是护网这么3、4年打下来,决策层会有“我已经很安全”的错觉,仅仅拿“安全”说事,安全负责人有点虚。

2、零信任会动摇企业现有的办公基座,基座一挖,地动山摇,神仙打架不可避免。先不说乙方屁股在“卖给客户更多”,甲方在面对老板“为何不能复用现有投入”的灵魂拷问,两者存在的天然矛盾。就说大量的内部协调工作,无论业务部门还是运维部门,哪个山头的庙门是乙方知道朝哪儿开的?

第二、零信任在企业内部,如果仅靠安全部门(团队)主导,大概率动作会变形

不整虚的,看领导说什么不如看做什么。在金融甲方,看看安全团队负责人的职级,再看看团队的HC,就知道安全在企业的真实地位。总体来看,这还是个弱势的团队。

当这样的安全团队,和网络团队PK员工PC准入方式变更,和办公团队PK移动端MAM、PC沙箱,和基础运维团队PK服务器微隔离,和业务团队PK各种C/S架构应用兼容性、体验,和数据团队PK权限细粒度管控,和领导PK投入产出比,这里面会有多少退让?在反复的拉扯中,安全团队的目标是什么?底线是什么?会不会最后落得一个“零信任四不像”?

解决这些问题,就等于找到了甲方成功实施零信任的法宝。

我认为解法还是在人,甲方需要这样一个角色:

  • 高情商
  • 有很强的推动力
  • 懂安全架构
  • 懂零信任技术

这个角色,可以是一个人,也可以是多人组合。

分享一个2014年做桌面云的故事。项目非常成功,不仅是证券行业第一个全面采用桌面云的机构,更是“打得一拳开,免得百拳来”,从架构层面一举奠定了前东家近十年的办公安全根基。

回想起来,项目成功的很重要一点,就是两个关键人物。

一个是公司老人,在公司呆了超过20年,作为安全负责人,虽然用手指戳键盘(调侃下老领导:->),但情商很高,富有投资思维(会讲故事,ROI抓住领导痛点),各种PK场合有理有节,点到为止。同时和各部门负责人、决策层有着深厚的友谊。

一个是公司社招新人(工龄>10年),智商很高,能力很强。对运维和安全的方方面面,了如指掌,运筹帷幄。在 PoC 阶段设计了充分的测试场景,提前发现了大量问题。

这样一对组合,正好契合了我们一直在说的两句话。

第一句,很多事情,看起来是技术问题,但其实是管理问题。关键人物里面的公司老人,用情商和关系,推动了整个项目的前进。

第二句,但往往死在了技术不过硬的问题上。关键人物里面的社招新人,用技术能力,让项目最终顺利落地。

我的读者,会是哪一种人呢?

前者多年的苦心经营,以及高情商,很难复制。

但后者的技术,我相信是读者朋友努力、坚持学习,就能做到的。

对于一个有志于提升自己在零信任方面架构、技术能力的读者,说两个好消息,和一个坏消息。

第一个好消息,Gartner 炒作曲线表明,零信任已经悄悄的度过了幻灭期,进入复苏期。也就是经过了市场的洗礼,可以真正投入实战了。你也可以安心下来认真研究。

对甲方成功实施零信任的思考(评论赠书)

坏消息是,如果你在网上找过零信任的资料,你就会发现,各个机构的零信任模型不同,各个厂商的解决方案也各不相同。行业内各家自说自话,令人摸不着头脑,看不明白到底什么才是零信任。

而好消息是,我最近看了一本《白话零信任》,非常系统的阐述了零信任的方方面面,也让我对零信任的一些细节实现收获颇丰。摘录书中几句话:

1、我想从头开始,把零信任的每个流派都梳理清楚,盘点各家的行业标准和技术框架。从Forrester的概念模型,到BeyondCorp的最佳实践。从NIST的技术标准,到国内外各大厂商的特色解决方案……提供一个全局视角,以便俯视百花齐放的市场现状

2、最流行的说法是,零信任是S.I.M.=SDP+IAM+微隔离。这种说法我非常认同,但是很多人理解得太片面了。在我看来,零信任应该是一个能融入现有网络架构,与传统安全产品联动,带动整个企业网络升级的安全架构,而不仅仅是几个产品的简单组合

3、因此,我在书中总结了完整的零信任模型,并且结合很多大型企业的整体建设、改造经验,试图展现出零信任架构的全貌,而不止是浮出水面的部分。

4、最后,我发现市面上介绍零信任理论的资料多,但介绍实践的资料少。所以,我在写书的时候,除了零信任的理念、模型之外,还整理了零信任的规划、建设步骤,各种场景下的部署运维方案、安全运营方案。建设完了之后,还得把零信任用起来。

书我花了三周的零碎时间,已经粗略看完。能明显看出作者有很多自己的思考和实践在里面,全书并没有夹带广告,对于落地中可能存在的坑,也真诚指出,相信在实施零信任的朋友能够会心一笑。当然,书中关于攻防的细节、一些流程规范的内容也存在瑕疵,但这并非全书重点,瑕不掩瑜。因此,可以负责任的将《白话零信任》推荐给大家。

对甲方成功实施零信任的思考(评论赠书)

送书规则:

1、在评论区发表与零信任相关的评论

2、截止本周五21:00,点赞数排名前五的读者获奖

获奖者可以通过公众号,或者加我微信,私信收件地址。

没有抽中的读者,可以扫描下方二维码购买,原价 89 ,粉丝福利,到手价 49 元。

对甲方成功实施零信任的思考(评论赠书)

最后

不要把零信任称为产品,也不要试图围绕零信任创建一个标准——“零信任”是一种策略。

原文始发于微信公众号(SecOps急行军):对甲方成功实施零信任的思考(评论赠书)

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年8月29日10:13:17
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  对甲方成功实施零信任的思考(评论赠书) http://cn-sec.com/archives/1260565.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: