零信任(ZT)继续掀起波澜(没有双关语的意思)，美国联邦机构现在发布了指导意见，比如OMB的M-22-09或国防部的ZT战略为了有效的实现，允许政府被视为网络安全的信任来源-尽管ZT仍然陷入困境神话，这些都需要整理一下。

我想要解决一个这样的困惑，那就是关于ZT是否已经取代了纵深防御(DiD)和其他公认的安全原则的困惑。如果ZT没有取代它们，这些原则与ZT有什么关系?那么其他公认的原则，如最小特权和职责分离，又如何呢?简而言之，ZT并不能取代这些原则。但是，让我们快速了解它们如何在ZT中保持相关性，同时让安全专业人员诚实地有效和高效地应用它们。

零信任建立在安全原则的既定基础上……

与任何房屋建筑一样，一切都要从一个坚实的基础开始，它足够坚固和稳定，以防止它所支撑的任何东西倒塌或掉到你邻居的财产上。对于ZT来说，这个基础包括常见的行业实践，我想强调三个相关的核心原则，因为它们对ZT很重要，但通常在整体上不一致:

  1. 最小特权
  2. 职责分离
  3. 纵深防御(DiD)

通过应用这些原则，您将发现您和您的组织在评估ZT成熟度时已经走上了正确的道路。

但你必须正确使用它们才能达到ZT

你知道现在的生活有多方便吗?我们有几乎所有东西的操作指南和手册。他们真正地引导你如何正确地做某事。不幸的是，就像你要为假期组装自行车一样，你会跳过手册，盯着它看，或者用错误的工具来拧紧松动的螺丝。你在自行车上犯了一个错误可能没问题，但在实施安全原则时，网络安全上的错误可能代价更高，影响更深远。专注于我们强调的三个可以确保你理解以下内容:

  1. 如果单独使用最少特权可能会变得太麻烦。我们都知道，通过应用这一原则，组织可以通过确保其员工只拥有完成工作所需的“刚刚足够的访问权限”来寻求改善其安全态势。虽然这一切都很好，但如果工作太大，就会变得麻烦。如果某人的角色包含太多内容，那么您会发现安全团队又回到了为单个角色创建太多权限的问题上。有太多的职责，这个人更有可能做出糟糕的决定，从而对企业的安全产生负面影响。
  2. 职责分离有助于使最少特权成为现实，但不能解决访问预防问题。幸运的是，职责分离的原则有助于最小的特权。根据这一原则，个人不应该拥有过多的特权。这意味着，例如，一个组织的销售代表将没有能力改变或改变产品或解决方案的定价;相反，价格变化是由批准机构(如经理)完成的。这两个原则主要关注权限，但不涉及访问预防。进入深度防御。
  3. 纵深防御敲定了交易。通过DiD，组织将重点放在防止未授权访问系统的控制上。这些控制包括管理、技术和物理控制。不幸的是，DiD已经成为了一个组织滥用它的错误的受害者，这导致了所谓的“深度支出”——问题是通过投入更多的钱来安装更多的技术和安全控制来解决的，希望在事实发生后盲目地防止威胁。ZT带回了DiD的概念，但以一种更具战略性的方式重新关注它们，以便安全专业人员可以:
    • 通过利用这些技术进步来整合不同的控制，这些技术进步将单一的安全功能整合到一个平台中，以降低部署复杂性。
    • 通过减少具有重叠功能的控件的数量和类型，集中管理安全工具，从而降低管理成本。
    • 通过利用战略访问控制来阻止未经授权的访问，这些访问控制可以在逻辑上和物理上最接近高价值资产，并使潜在威胁行为者望而却步，同时减轻内部威胁。

反思的时刻

零信任是信息安全模型已经走过了很长的一段路。它也面临着许多争论和质疑。但是，有一件事是肯定的:如果我们关注ZT是建立在什么基础上的，我们会发现它为大多数(如果不是全部)这些基本原则提供了一个共同的目标，以便在它们的应用中有效。

幸运的是，Forrester有一个专注于ZT的团队——我的同事们大卫•福尔摩斯，希思马林斯，我更深入地挖掘，并为Zero Trust提供见解好处，以及如何应用其概念。

Forrester的客户在零信任策略和技术选择方面寻求指导:请与您的客户联系调查，或安排我们的指导课程。