[新闻术语]不要相信任何人！“零信任”
零信任（Zero Trust）是一种安全战略，其前提是假定在完成明确认证之前，任何用户和任何设备都不可信。它以“绝不轻信，始终验证（Never Trust, Always Verify）”这一原则为基础，假设网络安全始终暴露在来自内外部的威胁之下。
政府开始着手改进现行的公共网络分离制度，计划于2018年进行调整。公共网络分离制度是一项将外部互联网网络与内部业务网络分离使用的安全政策。主要行政机构一直以来都分别使用办公用电脑和上网用电脑。随着新冠肺炎大流行期间居家办公的增加，围绕这一制度实效性的争议浮出水面，政府因此决定进行修订。公共网络分离制度的改进方案预计将在9月初公布。
作为安全模型，被视为有力候选的是“零信任”方式。“零信任”是美国咨询机构Forrester Research的John Kindervag在2010年首次提出的概念。他在题为《不再存在柔软的中心：引入信息安全零信任模型（No More Chewy Centers: Introducing The Zero Trust Model of Information Security）》的报告中首次使用了这一术语。他强调称，“组织严密的网络犯罪分子已经开发出能够轻易突破现有安全体系的新型攻击手段”，因此必须引入零信任这一新的安全模型。
大多数企业采用“边界安全模型”来保护信息资产，防火墙（Firewall）系统就是典型代表。通过“坚固的围墙”阻挡外部入侵。边界安全模型在企业网络的内外部划定边界，将安全区域与非安全区域区分开来，然后赋予内部人员绝对信任资格和较高权限。
在这一安全模型下，只要完成一次身份认证，就不再需要额外认证。仅凭一次认证，便可访问企业的重要数据。一旦外部入侵者窃取了内部员工的身份信息并获得绝对信任资格，就会产生严重问题，因为企业核心数据向外泄露的风险大幅上升。John Kindervag指出，“安全的薄弱环节在于信任”。
相反，零信任模型并不区分企业网络的内部与外部。该模型在从数据访问到数据查看的整个过程中反复进行身份确认和验证。即使外部入侵者窃取了内部人员的账号和密码，成功接入企业内部网络，系统仍会持续要求其进行一次性密码（OTP）、指纹验证等额外认证。即便完成认证，也只会被授予最低限度的权限。虽然这是一个安全性更高的模型，但也存在缺点：重复认证会增加使用疲劳感，数据可访问性和灵活性下降，这些都是零信任模型亟待解决的课题。
主要发达国家正在国家层面推进零信任模型的落地。2021年5月，美国总统Biden通过《提升国家网络安全的行政命令》正式确定在联邦政府引入零信任。英国在同年7月发布了《零信任架构设计原则1.0》。日本则在2022年6月发布了《零信任架构应用政策》。
版权所有 © 阿视亚经济 (www.asiae.co.kr)。 未经许可不得转载。
