漫谈企业信息化安全 - 零信任架构

一、引言

《万物简史》的作者比尔·布来森说，当他小的时候学科学的时候，好像这些科学家们都是有一种本领，把科学总是以一种让人看不懂的方式说得神乎其神，好像有藏着什么不可告人的秘密。因此，想要写一本让大家都能看得懂的书，让大家了解世界是怎么运作的。

在信息技术领域也是一样，我们会看到很多新的名词、各种专有名词的因为缩写，听起来是那么地高大上。实际上，我们追本溯源，就能了解事情的真相。在这一篇文章中，我们就来介绍什么是零信任，为什么会有人提出零信任这样的需求，它能为我们解决什么问题，您的企业是否需要实施零信任等等基本问题。

二、零信任的精髓

创新都是需求驱动的，在信息安全上也同样如此。以前我们提到安全，很多时候只限于在电脑上安装杀毒软件，在公司网络上安装上防火墙，就基本上没有问题了，可是为什么现在信息安全问题就变得更复杂了呢？这是因为随着各种需求的涌现，让企业的IT基础架构变得越来越复杂，如何应对与之伴生的安全威胁也变得越来越严峻，因此需要有更新的技术在解决信息安全问题。

在下图中，描述了很多现代企业信息化的一些需求：

1. 移动办公/BYOD，随着移动互联网的快速发展、以及社会环境的影响，越来越来的企业面临居家办公、移动办公等混合办公模式、用户使用自带设备接入企业服务的情形，在这种情况下，如果确保移动办公、BYOD的信息安全是其中一个需求

2. 远程办公/分支机构，这个和移动办公类似

3. 供应商/第三方访问，为了提升企业工作效率，企业可能需要与供应商/第三方协作，在协作过程中，如何确保信息安全？

4. 云服务及构建在公有云上的私有化服务，SaaS/PaaS/IaaS等以云服务形式提供的信息基础架构虽然简化了企业服务的部署，但是这些服务都是部署在Internet网络上，如何确保这些云服务访问的安全？

5. 本地应用和构建在本地的私有化应用，这些应用如何为各种用户提供访问，并确保安全？

6. 身份验证，企业中要各种各样的系统和服务，也会有各种各样的身份验证，如何对身份验证进行更行之有效的管控？

传统上，IT 行业依赖 外围安全策略 来保护其最有价值的资源，如用户数据和知识产权。 这些安全策略涉及使用防火墙和其他基于网络的工具来检查和验证进出网络的用户。 然而，数字化转型和混合云基础结构迁移之旅正在改变各个行业开展业务的方式。 依赖网络外围已不再足够。