零信任之父John Kindervag: 瞭解五件事，才能在零信任中獲取成功

在充滿挑戰與機遇的數位時代，零信任架構創始者，Illumio首席傳教士John Kindervag在「零信任資安大師講堂」上表示，每個人都處於網路戰爭中，零信任是世上唯一網路安全策略。他解析零信任策略與實踐，提及要在零信任中贏得網路戰爭成功需了解的五件事。
 
這場零信任講堂由智慧資安科技（uniXecure）和Illumio主辦，John Kindervag以「零信任贏得網路戰爭」為題與各界分享。數位部數位政府司司長王誠明、國立臺灣科技大學資安中心主任查士朝、智慧資安科技陳勇君博士也以不同觀點分享零信任經驗、挑戰等。 智慧資安科技董事長詹伊正在一開始致詞時表示，智慧資安很早引進全球第一套防火牆，1997至2001年企業對防火牆接受度不高，2007年iPhone誕生，新的數位行為產生，防禦邊界愈顯模糊，駭客無孔不入，資安才逐漸被重視。 John Kindervag直言，大家正處於一場網路戰爭，2010年他在Forrester Research工作時，提出零信任模型。2021年拜登總統頒布行政命令改善國家安全網路。至今零信任已成全球運動。
他表示，零信任是一種旨在阻止資料外洩的策略，「是的，零，信任為零」，透過消除數位系統信任阻止資料外洩，防止其他網路攻擊得逞，這是相對複雜的策略，且還需瞭解五件事，才能在零信任中獲取成功。
 
John Kindervag說，首先是「找到保護面」，這可能是敏感資料所需數據、信用卡、醫療保險個資或智慧財產權等。第二件事是繪製流程，包括系統之間如何協同運作等。緊接著是提供幫助的環境。「每個零信任環境，都是為保護面量身訂製的」他說，零信任適用於任何有保護面的地方，如雲端、資料中心、端點內部等，也適用於任何規模的公司。第四步是政策。最後是進行監控和維護，對收取的訊號進行分析，這也是人工智慧將發揮重要作用之處。「我們查看所有數據，確保持續即時更新。相信隨著時間推移，我們將能變得更加強大。」
 
數位部數位政府司司長王誠明當天以政府角度分享「台灣政府推動零信任」，提到2021年完成零信任網路與概念性驗證機制研究，2022-2024年由部分A級機關試辦，逐年導入身份鑑別、設備鑑別與信任推斷三大核心。也推動ZTA+T-road提升資料使用與傳輸的辨識及防護，強化資安韌性。他說，政府資安系統發展是便捷、韌性與安全，但所有措施，都要以便捷服務當最後目標。
 
國立臺灣科技大學資安中心主任查士朝主講「台灣落實零信任現狀觀察與挑戰」。他說，近年來政府慢慢推動零信任架構，但他擔心概念過於抽象，恐造成企業無所適從。他說，零信任與傳統技術最大的差別之一，在於傳統技術運行存取控制時，只要系統「同意存取」即可，零信任架構下，除能否存取外，還近一步監測對方是否出現新的風險，並在異常情況下調整。零信任可自動限制駭客移動，快速發現入侵行為，進而做出因應。
 
智慧資安科技陳勇君博士談及「面對新型態威脅，如何透過零信任有效建構防護網」時指出，企業對零信任架構可能會有些迷惘，包括政府零信任三階段（身份鑑別、設備鑑別、信任推斷）是否該馬上導入，如何導入？零信任資安方案會不會投資錯誤等。他認為導入零信任架構前應先進行「零信任成熟度評估（ZTMM）」，分析企業零信任的成熟度，再進行階段性策略。客戶可先填寫零信任自評表，對身份識別、裝置、網路、應用程序等方向計算評比。再由顧問評估，輔導設定改善目標，並善用2024政府資安補助計畫。
 
當天小組對談，由工業技術研究院資訊與通訊研究所副所長黃維中主持，永豐金控資安長李相臣、禾伸堂經理彭志泓分享零信任在各產業實踐。彭志泓經理說，早期製造業只有電腦設備，沒有連網故無零信任問題，如今機台連網，與IT環境一樣需有防火牆，先前疫情時還需遠端連線。如今OT環境與IT一樣，需做的事是針對控制點，評估哪些有連網的設備做到零信任。 李相臣資安長指出，政府要求金融產業導入零信任，他們責無旁貸，但金融產業資安控制措施比政府嚴格，他擔心零信任架構下，是否會打破金融產業現有資安架構環境。金融業相較其他產業更要求速度，導入零信任措施需謹慎小心，最好選擇對金融產業架構非常熟悉的產品。

如對於本次活動內容需要深入了解: 點此留下資料