四月的雨带来五月的花…和今年的RSA会议。在RSA通常有一个话题,每个人都在谈论,但今年可能会有3:安全访问服务优势(SASE),扩展检测和响应(XDR)和零信任。我在上一篇博文中,我描述了安全管理人员想听到XDR 8事情。这一集中在零信任(ZT型)。
自从我的老伙计约翰Kindervag第一次提出这个概念,ZT型被误用的意思是什么相关的身份验证、访问控制、网络分割,和几乎所有其他与网络安全有关。鉴于这种预期行业混乱,让我开始通过mashup接地这个博客的定义零信任。根据NIST:
“Zero-trust (ZT型)是一组进化的术语将防御从静态的网络安全模式,基于网络的周长关注用户,资产和资源。零信任假设没有隐式信任碎资产或用户帐户完全基于身体或网络位置。零信任体系结构(ZTA)是基于零信任原则,旨在防止数据泄露,限制内部横向运动。
简而言之,零信任策略和控制决定谁(用户、设备等)可以访问(应用程序、数据、服务),在什么情况下。当你飞,你被要求提供一个有效的ID,登机牌,行李之前检查你是获准进入登机区域。零信任机场将走得更远,只允许您访问一个特定的门,飞机,座位。哦,如果你保持你的夹克在登机过程中。如果你删除它以任何理由,零信任将探测环境变化和重新评估整个过程从头到尾。
不像XDR,仍然是形成市场,零信任已经存在好多年了。事实上,环境、社会和治理的研究表明,33%的组织已经实现某种类型的零信托项目在整个企业,30%实现零信任为一个特定的用例。什么类型的用例?第三方访问特定应用程序/服务,VPN替换,网络分割,等。此外,超过三分之一(36%)的组织声称COVID-19 /亲密加速了他们的采用扩大零信任。
作为一个架构,零信任策略可以包括多种不同的technologies-security控制,网络设备,我软件,等等。这使得ZT型有点阴RSA会议上的阳,供应商往往小号离散安全工具,这意味着安全经理不想听到很多关于个人安全产品特性/功能。根据最近的一些对话,CISOs将寻找零信任的讨论集中在:
- 零信任进化策略。尽管安全技术行业的热情,零信任是真的应该支持安全策略,它,最重要的是,业务目标。说,环境、社会和治理的研究表明,88%的组织有一个零信任策略,但一半以上(57%)倾向于开始的旅程与特定用例像给业务合作伙伴获得单个应用程序,或确保云应用。CISOs需要帮助制定路线图从战术/安全项目嵌入到组织的使命,和它将超过安全部件。CISOs想听细节如何进行多阶段零信托项目,如何参与跨职能在整个项目中利益相关者,以及如何衡量成功在每个站。
- 技术集成。正如前面提到的,零信任要求参与的混合物和安全技术,包括端点安全软件、vpn、网络加密,microsegmentation,CASB等。由于许多组织已经开始零信托项目,任何新举措将不得不与现有技术的互操作。这是一片变幻莫测的水域会很难驾驭,所以CISOs想了解所有可能的选项。RSA安全厂商都应该准备好描述多产品零信任平台和集成支持,这样的战术用例和长期的商业策略。
- 风险评估标准和能力。从理论上讲,零信任访问决策不断重新评估基于改变风险因素如设备卫生、用户位置,软件漏洞,新兴的网络威胁,等等。好了,但是这些改变条件评估,测量,和采取行动?我听起来像一个复杂的决策支持系统。因为零信任最终实施业务策略,CISOs不会满足于“黑盒”的解决方案。相反,他们将推动供应商底层细节在零相信技术可以测量和行动如何改变风险因素——当然实时。
- 安全/它操作难题。RSA会议上可能是一个安全事件,但零信任策略依赖于强大的安全和IT操作人员之间的合作努力。CISOs与cio必须工作,确保牢固的关系,共同的目标,和协作过程,但他们还需要ZT型技术互操作设备,网络设备,云基础设施和操作工具。零信任供应商需要一个类似的集体策略集成工具,广泛支持和合作伙伴在整个IT领域的光谱。用例和客户参考,越多越好。
- 行业知识和经验。多年来我一直在说网络安全从水平服务过渡到垂直应用程序,并在业务驱动的行动像零信任尤其如此。例如,卫生保健CISOs将希望使用零信任供应商,了解临床护理设备,医生的工作习惯,州/联邦法规,和电子健康记录(EHR)系统。弥合这一差距,专业的安全技术供应商可能需要与系统集成商合作马厩的顾问和行业专业知识。
安全圣人Bruce Schneier曾经说过,“安全是一个过程,而不是一个产品”,并与零信任尤其如此。CISOs看到零信托是将安全嵌入到业务流程,所以产品特性/功能和供应商在RSA会议上就不会得到太多的关注。而CISOs想开始零信任与业务流程细节,然后深入研究现实的实现策略和项目阶段。从本质上讲,零信任的讨论应该专注于“为什么”而不是“如何”。
我和同事和零信任专家John Grady将期待肘部在RSA这些对话。商业对话,而不是技术简报“速度和饲料”,将是一个令人耳目一新的变化在RSA-if安全供应商可以做到。
