翻譯：王彪，CDPSE，CDMP，CDSP，CISP-DSG，OCP，ISO27001LA，Azure Data，信息安全工程師(軟考)，ISACA微信公眾號特邀通訊員，天融信數據安全治理專家。

“零信任”是最近在互聯網上流行的安全術語之一，但它意味著什么？為什么安全或IT審計團隊應該開始關注這個術語？

本文將概述零信任安全模型以及如何在企業中通過快速迭代模式有效地建立零信任架構。本文還將列出一些潛在的審計或咨詢方法，審計部門可以采用這些方法來加強他們在企業中作為“值得信賴的顧問”的地位。零信任并不是完全取代當前的網絡保護模式，甚至不是改變基礎設施，而是增強它們，以增強網絡保護。讀者可以利用這個機會，增加對這一主題的了解，或者開始制定評估計劃，以確定你的組織是否已經為這一新興模式做好了充分的準備。

零信任生命周期

1

定義保護面

傳統的安全方式通常側重于定義和保護企業網絡周圍的安全邊界，并嘗試將敏感數據或易受攻擊的信息系統與該邊界保持距離。遠程工作人員通過使用VPN等技術將這一傳統邊界延伸到用戶的家庭網絡中，不僅使傳統企業網絡備受挑戰，而且使防御資源分配變得困難。

零信任通過使用關鍵數據、應用程序、資產和服務(DAAS)分組來專門定義和開發“保護面”，從而與此模型不同。

應使用數據分類政策或標準，根據數據對企業、客戶和業務合作伙伴的相對重要性，對數據進行詳盡的識別和分類

應對應用程序進行評估，以確定它們存儲、傳輸或處理敏感數據的級別，以及在應用程序變得不可用或被惡意行為者勒索時對企業的價值

應對資產(筆記本電腦、平板電腦、服務器、路由器等)進行詳盡的清點，并對其進行進一步評估，以便納入個別保護面。

應識別和評估服務(域名系統、電子郵件、動態主機配置協議等)，以便納入受保護面。

此階段的審計重點可能包括獲取和檢查組織的數據分類策略，以及確定系統和常用數據是否按此策略分類。進一步的保證活動可能包括：確定企業是否制定了零信任路線圖并將其傳達給必要的人員，以及該路線圖是否明確確定了企業保護面、每個保護面的DAAS、責任方以及識別和評估活動的狀況。本階段的審計重點往往是確定是否已經為每個保護面制定了保護DAAS的初始安全政策。

圖片來源于公共圖片庫

2

對保護面內的事務處理流做映射

在定義各個保護面之后，應努力確定數據、應用程序、資產和服務之間的交互方式。這包括確定端口、協議、網絡流量基線、網絡上的源和目的地位置。這項測繪工作將使企業能夠微調和實施每個保護區所需的定制保護程度，而不會影響DAAS的可用性、性能和可用性。

這一階段的審計重點可以包括獲取和檢查與保護面有關的網絡圖文件，是否在每個圖中說明相關的DAAS，以及是否存在足夠的細節來描述范圍內的DAA之間的相互作用。進一步的保證活動還可以包括評估先前步驟中定義的初始安全策略是否已修改，或在此審查之后是否需要額外的控制，以及是否正式安排了對DAAS相互依賴關系的例行審查，以確定更改并相應調整安全策略。

3

開發零信任架構

零信任不僅僅是訪問控制，還包括有效利用多種技術，如深度數據包檢測、端點保護、數據防丟失、網絡過濾等，僅允許可信交易存在于網絡上。在確定了企業保護面及其各自的DAAS相互依賴關系之后，可以根據企業獨特的保護要求形成實際的零信任體系結構。企業通常會尋求使用防火墻或其他網絡隔離機制來將保護面彼此隔離，從而創建“微隔離”。下一代防火墻是此階段的主干，因為它具有在OSI模型的所有七層提供網絡過濾的固有能力。

此階段的審計重點可能會借助上一步來確定上面列出的特定安全設備或服務是否易于關聯保護面并正確定位在網絡上。審計重點還可能包括確定是否進行了良好架構的評審，并使用適當的技術和業務主管簽字批準來驗證架構是否滿足業務需求

圖片來源于公共圖片庫

4

創建零信任策略

零信任策略的創建規定了“吉卜林方法(譯者注)”的使用，以確保授予用戶或系統等主體的任何訪問權限都是適當的。這涉及到詳盡地確定：

●應該允許哪些人訪問企業DAAS？

●將允許哪些應用程序訪問企業DAAS？

●應該在什么時候訪問企業DAAS？

●企業DAAS位于何處(物理或邏輯)？

●為什么需要訪問企業DAAS？

●應如何授予訪問企業DAAS的權限？

此階段的審計活動可能包括評估是否為每個保護面定義了最終的安全策略和要求。零信任是快速迭代的，但是零信任不是終極目標，因此安全策略和DAAS保護要求應該隨著該過程的展開而發展。審計活動的結果可以確定是否發生了后架構審查，以識別是否有“未知流量”正在穿透網絡。企業無法確定“未知流量”的來源、目的地、目的或有效性的，因此“未知流量”就像是煤礦中的金絲雀，預示著風險。而零信任的要求是：沒有流量是未知的。

5

監控和維護零信任架構和策略

監控零信任需要頻繁查看日志，并檢查安全設備和終端保護解決方案產生的產品。隨著時間的推移，企業應尋求確定網絡上有關資產通信、數據交易量和用戶活動的正常行為的基線并確定其構成。傳遞到模型中用于評估和調整的數據越多越好，因為監測活動和微隔離應用于單個保護面的保護會變得越來越有彈性。

這一階段的審計重點應包括確定管理層是否正在進行正式的基線、日志審查和保護面精細化活動。審計重點還可能包括安全策略的計劃更改是否源于這些審查和改進，然后按指示實施。

零信任的目的不是要取代現有的基礎設施，也不會為企業帶來實現其好處的巨額成本負擔。零信任的迭代性質還允許組織通過開發單一保護面來緩慢的采用該模型，同時模型的效率和好處也會顯現出來。內部審計師可以通過學習了解零信任體系結構的好處，并確定他們在多大程度上采用這種新興安全體系結構模型能夠獲得成功，來幫助企業完成這一旅程。

本文2022年3月17日首次發表于ISACA官網ISACA Now Blog，文章內容僅代表作者本人觀點。