实施零信任架构时高级管理层应该考虑什么？

相比传统的“城堡与护城河”式网络安全防御方式，零信任架构及其对数据、身份、设备、网络、基础设施和应用程序的控制方法更加灵活且专注。不同于传统的“在外围一次性验证后授予内部广泛资源访问权限”的做法，零信任要求对尝试访问组织资源的用户或设备进行持续且适应性的身份验证。一旦用户或设备的行为发生变化，零信任动态监控、策略编排和安全自动化工具可以随时调整安全措施，确保资源的安全性。下表有助于了解从传统网络架构逐步过渡到优化的零信任架构过程中，对零信任控制的渐进式采用情况，这些活动使得一个组织能够从传统的网络安全架构过渡到零信任架构。

在面对这种新安全范式转变时，高级管理层首先会考虑的问题包括“第一步该做什么”或“我们应该从哪里开始着手”。本文将为准备开启零信任之旅的实践者和组织提供必要的规划和先决考虑事项，这些事项应在启动零信任技术或流程项目之前得到解决，同时也会向内部审计部门提供额外资源，帮助其在零信任工作展开过程中履行作为业务可信顾问的角色。

以下列出了五个高级管理层在实施零信任架构时应考虑的关键领域，并针对每个领域提供了一些高层次的内部讨论点和在适当情况下与外部业务伙伴共同探讨的要点。

1. 战略一致性和高层支持

• 理解业务目标：将零信任框架或其实现与总体业务目标和长期战略保持一致。

• 高层参与：让最高管理层了解零信任的重要性，并在早期过程中获得他们的承诺。

• 沟通计划：制定全面的沟通策略，确保组织各级员工了解即将到来的变化及其在保障持续成功中的角色。

2. 技术与架构规划

• 当前基础设施评估：审查组织现有的系统、技术和安全协议，确定需要升级、替换或扩展的部分。

• 集成需求：识别能够无缝融入零信任模型的工具和技术，以及可能破坏过渡过程的任何缺口。

• 可扩展性考量：确保所选技术堆栈或领先解决方案提供商能随着组织的增长进行扩展。

3. 政策开发与治理

• 制定明确政策：围绕访问控制、用户认证、数据保护及上述零信任其他方面制定详尽的政策。

• 合规性对齐：使政策符合GDPR、HIPAA或其他行业特定法规要求，确保组织合规。

4. 培训与变更管理

• 用户培训：开发课程，培训员工关于新的安全协议及其在零信任框架下的操作职责。

• 变更管理策略：运用变更管理技巧，有目的地引导组织顺利过渡到零信任模式。

• 反馈机制：建立渠道，让员工在过渡期间可以提供反馈和提问。

5. 监控、分析与持续改进

• 实时监控与分析：实施工具以持续监控用户设备和网络活动。

• 事件响应计划：整合或制定针对零信任的事件响应计划，及时应对任何违规或问题。

• 持续改进：定期审查零信任实施情况，寻找精炼和增强的机会。利用指标和关键绩效指标（KPI）衡量成功并指导持续改进。

通过考虑本文中概述的关键领域，高级管理层可致力于成功实现高度实用的零信任架构，使其与核心业务目标保持一致，并充分利用合适的技术，同时确保合规性和治理得以维持。内部审计部门的存在是为了向高级管理层提供咨询，并确保组织始终意识到影响核心目标实现的核心风险。

原文始发于微信公众号（安全牛）：实施零信任架构时高级管理层应该考虑什么？