用零信任的理念解决数据安全的风险

2024年8月19日10:56:09评论123 views字数 1683阅读5分36秒阅读模式

点个关注，谨防走丢~

用零信任的理念解决数据安全的风险

零信任(Zero Trust)在网络与数据安全领域提供了一系列的概念和理念，在诞生之初，就摒弃了一些相对滞后、固化的安全思维，强调以数据保护为中心去思考安全风险以及建立安全机制。企业可用零信任的理念保护数据的安全，审视数据安全举措的有效性。

定义

零信任的定义：即在面对可能已被攻击的网络时，针对信息系统和服务的每一次访问请求，通过执行精细化的、基于最小权限原则的访问控制决策来最小化不确定性。

数据安全的定义：即通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力《数据安全法》。

数据安全定义中的“持续安全状态”，可以理解为“合理必要的业务场景正常使用数据是可以的，但异常使用数据不行”，即数据安全要做到实时感知谁在什么时间使用了什么数据，使用了多少数据，是否存在非法使用、数据泄露、恶意窃取等异常行为，并进行实时或准实时的阻断处置，即做到“可见、可知、可管、可控”，也就是数据在全生命周期中的安全状态一切尽在掌握中。

数据是否安全需要持续的感知和管控；零信任就是通过对每一次访问都进行严格的访问控制来消除安全的不确定性。零信任相比于传统的边界安全方案，从以网络位置为中心逐步发展为以数据和身份为中心。无论数据位于终端、应用服务器、数据库之中，无论数据在企业网络内部或外部，无论数据是处于流动状态还是使用状态，都需要通过一定的技术手段，防止数据的泄露。因此，用零信任的理念解决数据安全的风险是一种很好的思路。

数据对象、数据保护阶段、数据安全生命周期、数据所处位置都是数据安全领域的对象，零信任的相关技术和解决方案是面向所有这些对象，在数据生命周期的多个过程域、在数据所处的不同位置以及数据保护的各个阶段，全面支撑和保障着数据安全。

基于零信任的理念，从数据资源安全访问的视角来看，零信任将所有数据资源都视为要进行管控的资源客体，且其处于人员、网络、设备皆不可信的运行环境中。访问数据资源的主体只有通过动态严格的访问控制，才能够访问到数据资源。这种看待数据安全问题的方式更贴近企业数据安全防护的实际环境，且落地执行框架明确，有别于传统考量数据安全的方式，是具有开拓和实践意义的。

基于零信任的理念构建的数据资源安全访问控制措施，不拘于数据安全访问措施的形式，而是以解决数据资源安全访问问题为导向。其既采纳了传统数据安全领域的数据安全管控措施，也运用了“以身份为基础，以信任为核心”的动态、严格的数据安全管控措施。

零信任数据资源安全访问控制措施是静动态数据安全管控措施的有机结合体，能够系统而有效地解决数据资源安全访问问题。从数据的整个生命周期的安全防护考虑，零信任数据资源安全访问控制措施并不能进行全面防护。

零信任数据资源安全访问控制措施可在数据的采集、传输、存储、处理、交换五个阶段提供数据安全防护。但应当注意的是，零信任数据资源安全访问控制措施不能全面解决这五个阶段的数据安全问题。其只是在解决数据资源安全访问这一核心问题时，整合引入了不同阶段下传统的一些数据安全管控手段。应用于数据安全领域的部分，并未超脱传统的数据安全治理框架。其可视为在一定程度上，在数据安全治理框架下，重构了特定的数据安全问题分析以及解决方式。这将对确保数据处于有效使用和合法使用的状态，以及保障数据处于持续安全状态的目标提供有力支撑。

用零信任的理念解决数据安全的风险

零信任产业标准工作组和云计算开源产业联盟零信任实验室2023年联合发布《零信任数据安全白皮书》，深入浅出地阐述了零信任应对数据安全法律合规、数据泄露等数据安全挑战的解决之道，并从“数据安全面临的严峻挑战”、“零信任的定义和应用场景”、“零信任应对数据安全之道”、“零信任应用于数据安全合规”、“零信任应用于数据安全攻防”和“零信任数据安全应用需求场景”六个方面详细展开，部分内容如下：

用零信任的理念解决数据安全的风险