零信任安全性入门

IBM商业价值研究院 冯靓、高爽、张炜、王莉、ChrisMcCurdy、Shue-JaneThompson、Lisa Fisher与Gerald Parham合著进步的代价组织通过加快数字化业务转型步伐，扩展云技术的应用范围，扩大远程员工队伍以及整合供应链，以应对新冠病毒疫情的冲击。我们的调研表明，从2019年底到2020年末，受安全保障的远程工作人员数量增加了41%。但是，将交流沟通、业务和个人互动移至线上也显著扩大了潜在的攻击面，导致网络安全事件和泄露的记录大幅增加（见图1）1。随着工作负载迁移到云端，威胁也如影随形。我们的调研表明，在2020年，超过90%的网络相关事件起源于云环境。系统故障/问题数据完整性/可用性问题数据泄露：第一方机密数据数据泄露：第三方机密数据滥用系统、针对性的恶意通信、网络欺诈/盗窃25%24%20%20%15%图1数据暴露在线互动越来越普遍，中国的数据泄露也越来越常见*问题：贵组织检测到的网络安全事件按类型是如何分布的？*由于对数据进行了四舍五入，总和可能不等于100%1 新业务模式正在加快安全转型的步伐。随着风险的持续演变以及新威胁的不断出现，依靠既定边界和绝对信任的传统安全模式逐渐过时。超越传统职能和组织边界的组织需要更为全面、多层次的事件驱动型安全模式。零信任安全性带来明显的运营优势。“零信任”是一种动态的安全方法，结合使用访问控制、身份管理和背景数据来验证请求。“零信任率先尝新者”是指那些具备最成熟的零信任能力的组织，他们通过这种方法减少支出，改进网络安全有效性，并提高网络资源保留率。零信任领先者在4个核心能力方面出类拔萃。零信任安全性通过将信任转化为访问操作变量来增强网络弹性。成熟的4项核心能力与相关实践可以推动零信任取得成功。要点 虽然基于云的共享服务和协作式工作环境对于实现业务成果至关重要，但这些环境需要一种新的安全运营方法―一种更加灵活、响应更迅速、合作程度更高的方法。为了利用这种新方法的优势，领先者根据零信任原则对其IT和OT运营进行现代化改造（请参阅“观点：什么让零信任安全性与众不同？”）。高价值但易受攻击：保护关键基础架构关键基础架构体现出信任与风险之间的动态关系。随着运营转移到线上，IT和OT网络都面临网络攻击风险。我们对IT和OT环境的依赖意味着任务关键型基础架构在新威胁面前越来越脆弱（见图2）。IBM Security与Ponemon Institute合作发布的《2021数据泄露成本报告》显示，远程工作导致数据泄露成本增加了107万美元。2另一份IBM Security发布的《X-Force威胁情报指数2021》也发现，勒索软件攻击已经成为第一大威胁类型，在X-Force 2020年所响应的安全事件中的占比为23%。3问题：您如何对上述网络安全风险评分？该图显示了回答高风险和极高风险的数量（部分选项样本量较少）。图2相互关联的风险IT和OT风险非常复杂，而且相互关联第三方机密数据被盗或丢失实体资产损坏运营中断或停工公司机密数据被盗或丢失危害员工安全潜在的环境危害或灾难中国与IT相关的首要网络安全风险11233危害员工安全运营中断或停工声誉受损第三方机密数据被盗或丢失公司机密数据被盗或丢失潜在的环境危害或灾难实体资产损坏危害客户/其他人的安全违反监管法规要求中国与OT相关的首要网络安全风险1234532466 76%的中国企业无法保护在多个云和本地环境中移动的数据，严重阻碍了价值实现。87%的中国企业无法安全地为内部和外部合作伙伴实现和扩展新的云原生能力。150天―中国企业用合格的候选者填补网络人才空缺所需的时间，导致意识和责任产生缺口，增加风险敞口。 信任是协作与合作关系的基础。随着这些能力成为价值实现过程中不可或缺的要素，我们对信任的看法也在迅速发生变化。虽然传统的网络安全方法依赖于许可权限和离散的网络边界，但目前的网络由动态服务和扩散的边界所定义。当今的数字平台依靠多方互联互通和共享信息来产生价值。因此矛盾不可避免。许多OT系统传统上依赖于系统隔离，但由于需要使用来自互联设备和智能系统的洞察，使得这种做法难以维持。如果听之任之，缺乏连通性会使现有漏洞更难以修复。更糟糕的是，风险会不断叠加：一个系统出现故障通常会引起连锁反应。威胁实施者在利用IT和OT安全控制缺陷方面越来越老到（请参阅“观点：IT与OT系统的融合增加风险敞口”）4。虽然潜在影响非常明显，但可能难以预测此类风险。网络犯罪即服务是令人不安的新趋势。5这些服务通过黑客论坛、直接网络渠道和使用加密货币在暗网上销售，依靠通常是协作式的复杂网络犯罪攻击，例如僵尸网络、分布式拒绝服务攻击(DDoS)、信用卡欺诈、恶意软件、垃圾邮件和网络钓鱼攻击。《中华人民共和国个人信息保护法》于2021年11月1日生效，结合先前已经生效的《网络安全法》和《数据安全法》等相关法律法规，形成了我国数据合规的三法联动体系。在我国数据监管越来越严格的背景之下，采用零信任架构，可以有效增强企业的合规优势。7传统的网络安全方法依赖于许可权限和离散的网络边界，但目前的网络由动态服务和扩散的边界所定义。 观 点：什 么让零信任 安 全 性与众不同？从原理上而言，零信任是一种预防性安全方法，它假定恶意行为者已经渗透到组织的网络防御中。目前普遍认为，IT和网络安全运营在职能上是相互依赖的。因此，组织感知、评估和响应事件的能力表现出较高的动态性，通常接近实时。这种覆盖IT和网络运营的整体意识使零信任能力真正具有变革性。在实践中，零信任要求对每次价值交换进行认证和验证，从而将各个运营和网络安全领域衔接起来。由于零信任运营模式不依赖于安全边界，因此非常适合组织边界分散并且以服务形式交换价值的共享生态系统。通过将信任作为运营和交易变量，第三方甚至可以支持最敏感的工作负载和任务关键型能力。观点：IT和OT系统的融合增加风险敞口中国高管面临的主要IT问题是第三方机密数据被盗或丢失、实体资产损坏，以及运营中断或停工。主要的OT问题包括危害员工安全、运营中断或停工、声誉受损，以及第三方机密数据被盗或丢失。虽然与IT和OT环境相关的网络安全风险并不总是相同，但它们通常会相互加强。正如Colonial Pipeline黑客攻击事件中所展现的那样，某个领域的故障可能会导致连锁反应，例如IT系统的密码泄露引起OT平台的可用性和可靠性降低。6 获得零信任优势我们的分析表明，23%的组织领先于同行，在IT和OT环境以及与生态系统合作伙伴的互动中部署零信任能力，我们将其称为“零信任率先尝新者”。这些组织将其IT和安全运营视为一个整体。他们擅长开展内外部合作，以管控网络安全风险。他们对与相互依赖的治理、风险与合规框架相关的安全运营进行现代化改造。他们充分应用云计算、AI驱动的分析和自动化技术。他们招聘、培养和留住高技能的网络安全人才，以支持在数字资产中实现零信任能力。最重要的是，他们的安全运营可以适应当前业务环境的复杂性―无论是支持远程员工；监控终端、应用、数据和网络流量；还是分析员工、客户及合作伙伴的行为以发现新出现的威胁。4 什么让零信任率先尝新者与众不同？零信任率先尝新者告诉我们，他们对IT预算和资源的投资比例与同行对网络安全的投入比例相似，但他们从安全方法中获得了显著的业务和安全收益。事实上，在表示显著减少了安全资本和运营支出，同时提高了网络安全能力的有效性的受访者中，率先尝新者的比例是其他企业的两倍之多。具体来说，他们：–提高了检测和响应能力，显著减少了敏感数据的泄露。在发生数据泄露事件时，他们能够有效限制恶意软件传播，从而减轻对组织的影响。–优先考虑在生态系统合作伙伴之间建立和维持安全连接，从而更有效地利用云投资。–将更多的网络安全预算投资于对资源进行技能重塑。因此，他们的网络资源保留率比其他组织高出10%。零信任率先尝新者的成功有力说明了全方位零信任战略的优势。这些组织处于有利地位，实现了更高的运营效率和更出色的业务成果。其他组织可以先了解哪些运营能力对于零信任成功至关重要，然后应用这些能力以实现类似的成果。 立即行动：绘制零信任路线图零信任率先尝新者在实施4项核心能力方面的进度几乎是其他企业的两倍：1.零信任安全运营的坚实基础，以治理、风险与合规控制为指导，并由AI驱动的分析进行增强。2.安全指挥与自动化管理能力，扩大混合云运营环境中安全运营的范围和规模，提高可视性和效率。构成要素1零信任安全运营的坚实基础–与组织内部和更广泛生态系统中的合作伙伴共同使用治理和控制–通过AI驱动的分析得到加强构成要素4具有强大适应能力的网络人才管理系统–转变安全人才管理流程，专注于聘用天赋异禀、态度明确以及经验丰富的人才–推动持续学习和持续创新的企业文化，培养和留住人才图3在设计中就考虑安全零信任能力相辅相成来源：IBM商业价值研究院数据分析。零信任率先尝新者用于网络安全的IT预算比例与同行相似，但收益明显高很多。 3.零信任安全控制框架，用于监控、管理和保护关键资源―包括用户、数据、网络、设备和工作负载。4.具有强大适应能力的网络人才管理系统，优先将人才与技术相结合，实现更理想的安全成果。这些构成要素中的每一个都是通过一系列相互加强的实践和活动所建立的。特别重要的一点，我们的数据分析强调了这些实践和活动相互依赖的程度。换言之，所有4项核心能力共同发挥作用，实现零信任带来的优势（见图3）。构成要素2安全指挥与自动化管理能力–实施指挥与自动化管理工具构成要素3零信任安全控制框架–加强网络和数据保护–加强用户保护–规范云治理―专注于数据和工作负载–加强设备保护和微边界–加强工作负载监督5 由于每个组织的IT和网络资产反映各自不同的需求，因此他们的零信任之旅都具有独特性。影响组织零信任之旅的因素包括业务战略和运营模式；预算和资源可用性；合作关系的广度和深度；现有技术的实施和限制；特定于行业和地理区域的监管要求和竞争要求。考略到这些因素的多样性，我们的方法优先考虑实用性、灵活性和基于现有能力的优点。我们提供的建议都源自运营绩效洞察，基于各种运营环境的现实成果，包括专注于增长的年轻组织，以及专注于转型的成熟组织。对于每个构成要素，我们提供说明、与之相关的优点以及实现要素的实践和活动。35%55%32%56%27%54%全球其他企业*中国企业零信任率先尝新者图4发现并理解改善网络可视性，实现更理想的结果*全球其它企业指的是，除零信任率先尝新者以外的全球其它企业问题：贵组织在多大程度上通过安全方法实现了上述每项收益？百分比反映选择显著实现或非常大程度实现的受访者（部分选项样本量较少）。加强风险意识和恶意软件传播控制力度可显著降低网络攻击的风险。31%32%23%6 防止恶意软件传播提高数据意识，更深入地了解数据以及数据如何在网络中移动改善网络可视性、数据泄露检测和漏洞管理构成要素1：为零信任安全运营建立坚实基础零信任率先尝新者将零信任能力整合到主要的安全架构和运营之中。这些能力旨在增强现有的技术、流程和技能，而不是取代它们。这些组织已经建立了基于现代安全实践和自动化安全控制的安全意识文化。这种企业文化通过制定策略，定义可以访问公共网络、应用和数据资产的人员和内容，来提高安全风险意识。作为补充，还采用技术安全解决方案，系统性地实施这些策略。这种环境有助于确定易受攻击的设备、应用、服务和行为，然后使用自动化控制来帮助消除威胁和漏洞。当发生数据泄露时，率先尝新者能够阻止恶意软件的传播，这有助于控制风险，降低发生后续问题的可能性（见图4）。总的来说，加强风险意识和恶意软件传播控制力度可显著降低网络攻击的风险。 此外，零信任率先尝新者与合作伙伴携手简化网络风险的管理和报告。在治理、风险与合规框架的指导下，他们在整个企业内以及向战略合作伙伴和第三方供应商主动说明新的威胁。他们使用标准系统开发生命周期(SDLC)和DevSecOps方法，使安全运营和治理的关键能力实现标准化，进一步提高效率。通过在事件检测和响应方面广泛应用高级网络安全分析，零信任率先尝新者能够监控