在充滿挑戰與機遇的數位時代,零信任架構創始者,Illumio首席傳教士John Kindervag在「零信任資安大師講堂」上表示,每個人都處於網路戰爭中,零信任是世上唯一網路安全策略。他解析零信任策略與實踐,提及要在零信任中贏得網路戰爭成功需了解的五件事。
這場零信任講堂由智慧資安科技(uniXecure)和Illumio主辦,John Kindervag以「零信任贏得網路戰爭」為題與各界分享。數位部數位政府司司長王誠明、國立臺灣科技大學資安中心主任查士朝、智慧資安科技陳勇君博士也以不同觀點分享零信任經驗、挑戰等。
智慧資安科技董事長詹伊正在一開始致詞時表示,智慧資安很早引進全球第一套防火牆,1997至2001年企業對防火牆接受度不高,2007年iPhone誕生,新的數位行為產生,防禦邊界愈顯模糊,駭客無孔不入,資安才逐漸被重視。
John Kindervag直言,大家正處於一場網路戰爭,2010年他在Forrester Research工作時,提出零信任模型。2021年拜登總統頒布行政命令改善國家安全網路。至今零信任已成全球運動。
他表示,零信任是一種旨在阻止資料外洩的策略,「是的,零,信任為零」,透過消除數位系統信任阻止資料外洩,防止其他網路攻擊得逞,這是相對複雜的策略,且還需瞭解五件事,才能在零信任中獲取成功。
John Kindervag說,首先是「找到保護面」,這可能是敏感資料所需數據、信用卡、醫療保險個資或智慧財產權等。第二件事是繪製流程,包括系統之間如何協同運作等。緊接著是提供幫助的環境。「每個零信任環境,都是為保護面量身訂製的」他說,零信任適用於任何有保護面的地方,如雲端、資料中心、端點內部等,也適用於任何規模的公司。第四步是政策。最後是進行監控和維護,對收取的訊號進行分析,這也是人工智慧將發揮重要作用之處。「我們查看所有數據,確保持續即時更新。相信隨著時間推移,我們將能變得更加強大。」
數位部數位政府司司長王誠明當天以政府角度分享「台灣政府推動零信任」,提到2021年完成零信任網路與概念性驗證機制研究,2022-2024年由部分A級機關試辦,逐年導入身份鑑別、設備鑑別與信任推斷三大核心。也推動ZTA+T-road提升資料使用與傳輸的辨識及防護,強化資安韌性。他說,政府資安系統發展是便捷、韌性與安全,但所有措施,都要以便捷服務當最後目標。
國立臺灣科技大學資安中心主任查士朝主講「台灣落實零信任現狀觀察與挑戰」。他說,近年來政府慢慢推動零信任架構,但他擔心概念過於抽象,恐造成企業無所適從。他說,零信任與傳統技術最大的差別之一,在於傳統技術運行存取控制時,只要系統「同意存取」即可,零信任架構下,除能否存取外,還近一步監測對方是否出現新的風險,並在異常情況下調整。零信任可自動限制駭客移動,快速發現入侵行為,進而做出因應。
智慧資安科技陳勇君博士談及「面對新型態威脅,如何透過零信任有效建構防護網」時指出,企業對零信任架構可能會有些迷惘,包括政府零信任三階段(身份鑑別、設備鑑別、信任推斷)是否該馬上導入,如何導入?零信任資安方案會不會投資錯誤等。他認為導入零信任架構前應先進行「零信任成熟度評估(ZTMM)」,分析企業零信任的成熟度,再進行階段性策略。客戶可先填寫零信任自評表,對身份識別、裝置、網路、應用程序等方向計算評比。再由顧問評估,輔導設定改善目標,並善用2024政府資安補助計畫。
當天小組對談,由工業技術研究院資訊與通訊研究所副所長黃維中主持,永豐金控資安長李相臣、禾伸堂經理彭志泓分享零信任在各產業實踐。彭志泓經理說,早期製造業只有電腦設備,沒有連網故無零信任問題,如今機台連網,與IT環境一樣需有防火牆,先前疫情時還需遠端連線。如今OT環境與IT一樣,需做的事是針對控制點,評估哪些有連網的設備做到零信任。
李相臣資安長指出,政府要求金融產業導入零信任,他們責無旁貸,但金融產業資安控制措施比政府嚴格,他擔心零信任架構下,是否會打破金融產業現有資安架構環境。金融業相較其他產業更要求速度,導入零信任措施需謹慎小心,最好選擇對金融產業架構非常熟悉的產品。
如對於本次活動內容需要深入了解:
點此留下資料