"光大银行零信任实践与思考.pdf"
这篇文档主要探讨了在新常态下安全形势的变化,以及光大银行对于零信任架构的实践和思考。零信任架构是一种新型的安全理念,它强调“永不信任,始终验证”,旨在提升网络安全防御能力。
1. 零信任架构的本质:零信任的核心理念是不再依赖传统的边界防护,而是基于身份验证、设备状态、访问控制和持续评估,确保只有经过验证的用户和设备才能访问资源。它强调对所有网络访问进行身份验证和授权,无论内部还是外部。
2. 零信任技术体系:包括零信任身份系统、持续评估中心以及各种终端管理技术。其中,身份系统致力于去密码化,创建新的身份边界;持续评估中心通过实时数据和算法进行动态风险评估;技术应用涵盖了应用隐身、微隔离、PC和移动终端管理等。
3. 光大银行的零信任探索:光大银行构建了“大三支柱”的零信任框架,即零信任身份系统、零信任持续评估中心和零信任技术应用。通过这些支柱,银行实现了对用户、设备、访问和应用的精细化管理。
4. 零信任身份系统:采用多因素认证(如手机扫码、token、生物认证)确保用户可信,并通过合规管理和恶意软件检测确保设备可信。此外,还通过访问控制引擎和应用识别等措施,确保了应用的可信性。
5. 零信任持续评估中心:通过收集横向和纵向的数据,运用信任评估模型和算法,实时监测并调整访问策略,以应对异常访问行为和风险环境。
6. 零信任技术:应用隐身和微隔离技术增强了网络访问控制,而PC和移动终端管理则分别针对不同场景下的安全需求提供了解决方案。
7. 零信任实践场景:光大银行在开放银行体系中应用零信任架构,确保了业务安全和移动办公的便利性。
8. 建设路径与挑战:文档提出了基于零信任架构的开放银行体系的建设路径,并讨论了落地实践中可能面临的挑战,如技术实施难度、用户习惯改变和数据安全等问题,以及相应的应对策略。
9. 增强防御能力:通过零信任架构,银行能够实现身份、网络双边界的安全防护,增加逻辑和物理纵深防御,同时对敏感数据的访问进行严格的权限控制,以防止数据泄露。
10. 全生命周期管理:零信任身份系统的全生命周期管理涵盖了身份开通、权限评估、权限管理等多个环节,确保了从权限授予到撤销的全过程安全。
光大银行的零信任实践展示了金融机构如何运用现代安全理念和技术,构建适应新时代安全挑战的防护体系,为其他行业提供了有价值的参考。