部署更多的核心业务应用程序在云中和远程工作的转变带来的大流行抹去任何传统的“企业护城河”概念的安全方式。
今天的混合工作场所,员工在路上,在家工作,也许参观办公室一周一次或两次,迫使网络和安全团队采用一种更为灵活的方法来管理网络,身份,和身份验证。
零信任网络访问(ZTNA)已成为首选的方法来解决今天的安全挑战。这个概念是相对简单的:而不是建立一个分层的外围防御防火墙,IDS / ips和杀毒软件,零信任假定每个用户或设备是不可信的,直到它变得足够的验证。
然而,实现可能很复杂。大多数企业明白,尽管炒作从供应商在零信任来自每一个有利位置,其高管零买不到现成的信任,在夏季部署它。
零信任不是一个产品,它是一个框架,一个建筑,哲学,可以采取多种形式,需要相当多的时间和精力来成功地实现。下面列出的问题要问供应商关于如何帮助你的公司接受零信任原则。
1。如何利用我现有的安全性和网络基础设施的一部分过渡到ZTNA吗?
企业近年来投入大量资金安全与网络的硬件和软件。一个关键的挑战是使过渡到ZTNA而尽可能地利用现有的技术。
大多数公司已经有部分ZTNA难题,无论是身份管理,访问控制,two-factor-authentication、网络分割或政策管理。但很少掌握零信任的各个方面全面、综合的、可伸缩的、策略驱动的方式。
“公司需要寻找一个供应商,可以帮助他们确定哪些元素是最简单的保护以最小的改革公司现有的基础设施,”蒂姆•Silverline表示Gluware副总统的安全网络自动化供应商。
2。企业想要实现的业务目标是什么零信任和供应商如何帮助实现它吗?
寻找供应商不发射讨论零信任通过谈论技术,但谁首先问你定义你面临的业务挑战和好处,你正在寻找。
SimSpace安全策略主管戴维•柏林cyber-risk管理公司,目标可能包括说安全的远程访问对于在家工作的员工,保护敏感数据的前提和云,或提高API安全软件开发人员。
公司需要确定供应商将如何调整他们的解决方案的业务需求组织。
3所示。有什么计划来管理身份和应用在企业网络安全控制吗?
ZTNA供应商应该水平与客户和承认应用身份控制整个企业网络是说起来容易做起来难,Silverline说。例如,许多企业忽视应用颗粒等场景的身份管理员工访问web应用程序。
他说:“现在有太多的漏洞和太多的点(如解决方案web应用程序防火墙)试图填补这些空白,但是不整合,成为一个单一的解决方案对所有身份用例。”
从好的方面说,Silverline说更成熟的安全组织利用安全编排,自动化和响应(高飞)工具或延长检测和响应(XDR),试图尽可能集成的复杂性。
4所示。供应商将如何帮助我们优先考虑什么是重要的,所以我们可以创建一个最初的胜利和零信任和获得员工和高层管理人员的信心?
首席安全官穴琼斯榕树安全(不与现在混淆榕树系统)建议企业寻找供应商,优先考虑用户体验。公司需要让零信任尽可能无摩擦,否则工人将找到一种方法来绕过任何新的安全控制。
一种方法是基于部署身份验证数字证书和逐步淘汰那些烦人的用户名和密码。当用户通过云访问他们的生产力应用程序或其他面向internet应用程序和这样做的方式无密码支持双重认证,他们会更接受零信任其他步骤的过程,可能会影响他们的生活。
此外,琼斯指出,高层管理人员会注意到这种早期的成功,将会更容易接受资金更复杂的零信托项目,如自动化连续监控网络上的用户活动。
琼斯建议当一个高层管理人员执行解释零信任,最好保持简单。他沸腾,这三个简单的结果:人们想要听到零信任的成本会更低,更容易为用户,提高整体安全。
5。供应商将如何帮助我们优先考虑哪些数据需要保护和帮助我们不断在整个企业中管理数据从零信任的角度?
高级副总裁丹•韦斯笔测试应用程序和网络安全服务公司格林说,行业已经从“定义网络”在旧perimeter-centric世界“定义数据”作为公司今天的远程和混合网络运行。
Weiss说公司必须首先执行资产发现找出公司在网络上的数据,存储,以及它如何被跟踪。然后,确定哪些特定的数据资产是最敏感的,设置数据分类政策,和自动化的管理和跟踪资产。
6。我们如何建立细粒度的访问控制为每个终端用户?
为了实现ZTNA,公司需要了解他们的最终用户。谁应该登录和每个用户应该做什么?举个例子,一个应收账款的人应该只获得某些文件夹每月一次账单得到报酬。
“零信任的目的是为公司不相信,直到用户充分验证,”Weiss说。“他们必须相信这是他们认为的人,做他们应该做的事情。“建立和执行访问控制在整个用户会话是许多公司倒了,他补充道。
7所示。供应商将如何帮助我们建立小音段我们可以缩小攻击表面,减少网络中的差距?
网络分割已经存在很长一段时间,但零信任需要进一步的概念非常细粒度的方法microsegmentation。
在零信任网络,企业可以创建一个部分在一个端点或单个服务器限制访问。例如,传统上,人力资源部门可能已经在自己的网段,但是现在人力资源的主管可能有自己的部分非常明确的防火墙规则,他们可以和不能做什么。
microsegmentation方法,下一个工资的人可以允许访问工资单应用程序,但不是薪资数据。“这是一个更多的网络配置和网络控制要求,”Weiss说。
8。什么是供应商的违约通知政策和他们有一个后备计划如果我们的主要身份管理平台下降吗?
企业高管们可能没有问这个问题供应商10年前,但柏林说,在最近的醒来Okta违反主要供应商身份的渗透,企业确实有,并要求供应商在发生违反会发生什么。
企业用户需要考虑的不仅仅是失败,但考虑更广泛的影响。公司需要问以下问题:系统和用户接触什么?访问是什么数据?有横向运动从一个糟糕的演员,能绕过我们的层层防御呢?我的补救策略。
“在某些情况下,这是一个粗暴的根据程度不同,”柏林说。”,这可能是一个有限的违反员工需要一个终端或离线进一步撤销访问权限”。
柏林说,理想的情况是,企业团队始终实践处理身份妥协的解决方案——或类似的系统在零信任体系结构——因此,他们如何回应的肌肉记忆。
非常重要对于公司团队建立了“一大”时,是否违反身份系统,一个国家袭击或常见的漏洞造成的员工用户错误。