2023年零信任安全项目实施战略路线图：挑战与建议

Gartner最新发布了中文版2023年零信任安全项目实施战略路线图，该路线图指出了零信任安全架构采用动态的显式信任模型，取代传统安全架构中静态的隐式信任模型。在这一背景下，安全和风险管理领导者需要为零信任项目制定清晰的路线图，以优化企业机构的风险态势。 该报告发现，北美和其他地区的企业机构强烈希望采用零信任安全范式来降低安全风险，但在操作层面却很难将此想法转化为可行的战略，并确定路线图、项目和可衡量的成果。此外，供应商们大肆宣传“零信任”，让企业机构误以为可以通过采购相关产品提高安全性，然而零信任并非特指某一种技术，而是对适用于各种技术的网络安全原则进行重组和强调，以应对企业机构面临的特定风险。 然而，如果缺乏清晰的战略和周密的规划，企业机构的技术实施可能会缺乏完整性，造成时间和资源的浪费，并可能产生错误的安全感。战略制定的常见阻碍因素包括遗留技术、可扩展性、零信任技术实施中的集成和能力差距、企业机构的内部阻力，以及未能考虑对业务流程的影响。 此外，零信任技术的实施会产生高额的运营性间接成本，特别是在企业机构没有明确定义“谁有权访问什么”，并且没有集成技术控制以适应环境变化的情况下。因此，对于安全和风险管理领导者来说，需要负责领导零信任项目以改善基础设施安全，因此建议北美和其他地区的企业机构强烈希望采用零信任安全范式，以降低自身的安全风险，但在操作层面却很难将此想法转化为可行的战略，以及确定路线图、项目和可衡量的成果。 结合安全和风险管理领导者需要制定清晰的路线图，以优化企业机构的风险态势。供应商宣传“零信任”，企业机构认为可以通过采购产品提高安全性，但零信任并非特指某种技术，而是对适用于各种技术的网络安全原则进行重组和强调，以应对企业机构面临的特定风险。同时，企业机构需要克服战略制定的常见阻碍因素，避免缺乏完整性、时间和资源的浪费，并制定明确的访问权限和技术控制以适应环境变化。