萨德基：责任编辑系征稿本版，作者脑极体，著作权归原作所有。
2020年或许要和一个词紧紧联系在一起，那就是安全可靠。
新冠禽流感全球扩散，几乎让其别人都已经开始谨慎地减少出外，与别人保持SNS距离。与之对应的是，人们有了更多的时间耗费在电子系统和互联网当今世界之中。
相比较于病原体侵袭所造成的窃盗健康的严重威胁，互联网当今世界的安全可靠严重威胁则显得更无法察觉到。但随着民营企业和个人越来越数处将自身最重要的统计数据资产存放在互联网端和云端，信息安全可靠的严重威胁也已经已经开始变得头疼和严重起来。
2月底，SaaS服务供应商趣店的业务统计数据遭到内部雇员故意删库，导致300亿个平台店家的小程序全部无法访问，为数众多店家伤亡惨重，同时趣店市值大幅暴增。而此该事件被业内视为民营企业信息安全可靠的反转性该事件。
4月初，受禽流感影响而出现使用者数量猛增的远距音频应用软件Zoom，却被爆出重大安全可靠漏洞，引起股东集体民事诉讼。漏屋屋漏当夜雨，最近Zoom又被爆出53余条使用者互联网凭据挂在WhatsApp高价出售。尽管Zoom统计数据外泄原因被对准是骇客的撞库攻击，但由于Zoom而此宗乡卡应用软件会涉及会议内容、探头、远距桌面等个人隐私难题，此次统计数据外泄再次引起媒体和为数众多民营企业组织的杯葛和停止使用。
结合之前为数众多国内民营企业在使用者信息安全可靠、个人隐私保护上的折射出的种种难题，我们会发现信息安全可靠仍然是民营企业在产品设计和营运之中的一大软肋。
而现在，远距协作办公设备的蓬勃发展也让民营企业内部网已经已经开始面临着捷伊安全可靠严重威胁，由传统的VPN和内网构成的信息安全可靠构架，已经无法满足民营企业员工的大量内网的网络连接需要。
一种早在10年前就提出，一直在蓄力发展的“零信赖安全可靠”，成为当今社会可供民营企业信息安全可靠选择的新构架。
不信赖，才是迈入最佳安全可靠性的第二步？
关于信赖的一场安全可靠危机，最早可能就来自于古希腊神话中的“特洛伊木马”。希腊人制定的木马计划，骗取了特洛伊人的信赖。木马被他们自己迎接进了特洛伊城，而希腊人则从内部将其攻破。而此经典战术启发了互联网时代最猖狂的互联网攻击，通过在正常的程序中植入木马程序，就可以实现对被感染计算机的远距控制。
对现在很多民营企业的统计数据中心，传统意义上的信息安全可靠就是通过一系列内网或者杀毒应用软件的手段来防御这些外部严重威胁。但是如果是具有正当凭据以及权限的使用者进入系统，这些外围防御系统就会自动放过，而系统内部则隐含着对他们的信赖关系，也就很难阻止这些使用者的不良行为。
一种是使用者账户被盗取后的骇客侵害行为；一种是使用者本人的侵害行为，就如趣店内部雇员的“删库”，而这样的内部损害也可能更为严重。
真正能够做到系统内部的统计数据保护，目前最可行的一种方式就是零信赖互联网访问的模式。而此安全可靠构架将改变民营企业统计数据保护的现有规则。
所谓零信赖互联网访问（Zero-Trust Network Access，简称“ZTNA)”），是在2010年由研究机构Forrester副总裁兼首席分析师约翰·金德瓦格（John Kindervag）提出。意思是：不能信赖出入互联网的任何内容。应通过强身份验证技术保护数据，创建一种以统计数据为中心的全新边界。简单说就是“从不信赖，总是验证”。
为什么民营企业需要进行零信赖互联网访问呢？
首先是全球经济因为信息安全可靠难题导致的损失在逐年增加，预计到2021年因互联网互联网犯罪所致全球经济损失总额将达6万亿美元。而当今世界上重大的统计数据外泄该事件都是由于骇客攻破民营企业内网之后，在内部互联网拥有全部访问权限而畅通无阻造成的。
尽管民营企业的信息信息安全可靠的支出每年都在增加，但是传统的安全可靠方法无法应对日趋严峻的安全可靠严重威胁态势，转变旧的安全可靠边界的防护思维和方法成为破题之策。
另外，最重要的一个变化就是民营企业的安全可靠边界已经已经开始模糊。受到民营企业数字化转型和云计算业务增长的影响，以内网和VPN为代表的传统安全可靠技术构建的企业边界已经已经开始被云业务的场景模式给瓦解。为数众多的外部访问扩大了向民营企业内部渗透的攻击严重威胁。
这样“内部等于可信赖”和“外部等于不可信赖”的传统信息安全可靠观念就需要打破，而零信赖互联网访问的“验证才信赖”的优势也就突显出来了。
如何实现零信赖信息安全可靠？
零信赖互联网访问，需要民营企业根据使用者、所处位置和其他统计数据等条件，建立微隔离和细粒度边界规则，来确定是否可以信赖向民营企业特定范围访问权限发起请求的使用者、主机或者是应用。实现零信赖互联网访问，要做到：第一，要确认使用者身份，通过交叉验证确保是使用者本人的登录操作；第二，要保证使用者所用终端是否安全可靠；第三，建立条件限制策略，明确访问权限。第四、访问控制需要符合最小权限原则进行细粒度授权，基于尽量多的属性进行信赖和风险度量，实现动态自适应访问控制。
零信赖互联网访问需要依靠多因子身份认证、身份与访问管理、编排、分析、加密、安全可靠评级和文件系统权限等技术来做上述工作。
为数众多民营企业的IT部门已经在其互联网环境中部署了多因子身份验证、身份与访问管理和权限管理通，常会采取应用软件定义边界（SDP）和微隔离技术，来有效阻隔服务器或者网段之间的访问权限。
应用软件定义边界凭借更细粒度的控制、更灵活的扩展、更高的可靠性，已经已经开始改变传统的远距连接方式。而互联网微隔离是在传统的区域构架下，进一步细分区域内的互联网以增强安全可靠性。微隔离常用于统计数据中心互联网中，以细分区域内的应用程序，可以实现对工作流级别的细粒度隔离和可视化管理，已经已经开始成为虚拟化环境下互联网隔离优选方案。
当然，建立零信赖安全可靠环境，不仅仅是实现而此单点技术，而是要在这些技术的应用中始终贯彻“无验证即不信赖”的理念。
零信赖作为一种全捷伊安全可靠理念，应该成为民营企业决策者未来坚持推行的举措。据旧金山计算机安全可靠研究所的统计，60％到80％的互联网滥用该事件来自内部互联网，对内部人的信赖所造成的危害程度，远远超过骇客攻击和病原体造成的损失。民营企业需要调整思维方式，让零信赖理念也成为管理者和雇员自觉遵守的行为准则。
实际上，零信赖构架更适合于民营企业在向云端迁移的环境中搭建。而那些有着复杂IT环境和大量旧系统的大型民营企业，需要把零信赖构架迁移看做是多阶段、长时间的一项整体工程来对待。零信任构架作为民营企业整体数字转型战略的一部分，实现那些有助于在云迁移过程中达成零信赖的技术，然后淘汰掉那些老旧的遗留系统。
也就是先有整体设计，再采取相应技术。
零信赖信息安全可靠的应用实践
2018年，Gartner 提出零信赖是进行持续自适应的风险和信赖评估（CARTA）的第二步。零信赖要按照需要对不同身份（设备、使用者和互联网流量）授予区别化和最小化的访问权限，并通过持续认证改变“通过认证即被信赖”的防护模式。
国内外民营企业基于对零信赖安全可靠框架的理解，开展了技术探索和布局。
在应用软件定义边界上，谷歌的Beyond Corp基于设备、使用者、动态访问控制和行为感知策略实现其零信赖构想，所有流量通过统一的访问代理来实现认
笔者这里就有一个比较惨痛的教训。我一直在尝试找回一个十多年前注册的Gmail账户，但因为使用的手机号码已经注销，因此通过其他任何方式验证，我也始终无法再找回该账户。这可能也意味着谷歌的零信赖验证实在是过于谨慎了。
此外，像思科、Verizon以及国内的云深互联等民营企业都推出了基于零信赖的SDP服务方案。
在微隔离技术上，信息安全可靠初创民营企业Illumio的自适应安全可靠平台以微隔离技术为基础，在分隔策略配置方面，应用人工智能学习互联网流量模式，提供多种便捷配置模式和可视化展示。国内的蔷薇灵动、山石网科等民营企业也在微隔离、可视化安全可靠解决方案上进行积极探索。
根据Gartner在《零信赖互联网访问市场指南》做出的战略规划假设，到2022年，80％向生态合作伙伴开放的新数字业务应用将通过零信赖互联网访问网络连接；到2023年，将有60％的民营企业将淘汰大部分的VPN，而使用零信赖互联网访问。
当前，在我国民营企业数字化转型和业务上云等趋势的推动下，业务模式转换和迁移上云将为零信赖信息安全可靠提供实践的平台，进而可以充分利用内部业务、统计数据、设备等信息，形成持续、动态和细粒度的零信赖安全可靠防护方案。
同时对于传统的安全可靠厂商而言，积极推动全捷伊信息安全可靠技术和安全可靠理念的变革，将零信赖理念与传统身份管理与访问控制等技术融合，发挥传统安全可靠厂商在身份管理领域的深耕优势，推动零信赖理念与传统技术的深度融合，这样基于零信赖的动态身份管理和访问权限控制解决方案才有望加速落地。
正如前面趣店、Zoom案例所体现的，如果民营企业在信息安全可靠上没有给予足够的重视，在信息安全可靠意识和理念上仍然沿用传统的技术思路，就会因为一次的失误而引起极为严重的安全可靠危机和巨大的经营风险。
在事关民营企业的生存与发展大事面前，将信息安全可靠当作民营企业的生命线也不为过，而推动零信赖模式的信息安全可靠体系升级也就必须提上为数众多民营企业的议事日程了。
