零信任實(shí)施失敗的三大因素

史敏才

雖然零信任網(wǎng)絡(luò)訪問的價(jià)值和重要性如今怎么強(qiáng)調(diào)都不為過，但在實(shí)現(xiàn)它的過程中也有許多失敗的例子，尤其是中小型企業(yè)。零信任通常難以建立和維持，零信任的安全承諾非常吸引人，但對許多人來說，這種做法已經(jīng)變得不可行。

對零信任的重新審視表明，它并不一定那么復(fù)雜。事實(shí)上，零信任可以應(yīng)用到企業(yè)現(xiàn)有的安全解決方案中，而不需要作為單獨(dú)的解決方案或難以掌握的全新解決方案來實(shí)現(xiàn)。有三大因素可以影響零信任實(shí)施的成敗，令人驚訝的是，它們并不是神秘的技術(shù)細(xì)節(jié)，而是管理原則。

是否為零信任鋪平了道路

影響零信任實(shí)施成敗的第一個(gè)因素是整體復(fù)雜性。復(fù)雜性是影響安全性的主要因素，過于復(fù)雜和困難的解決方案和策略會(huì)無法使用，并將促進(jìn)繞過解決方案或?qū)嵺`的變通方法。員工在顯示器上貼有密碼的便箋就是一個(gè)很好的例子，這是他們應(yīng)對嚴(yán)格的密碼政策的一種方式。

從解決方案或架構(gòu)的角度來看，在現(xiàn)有解決方案中加入零信任有助于降低復(fù)雜性。不需要安裝、維護(hù)和跟上各種變化的另一個(gè)系統(tǒng)或工具，可以減輕工作人員的工作量，這是另一件必須處理的事情。擴(kuò)展一個(gè)現(xiàn)有的、熟悉的系統(tǒng)以提供零信任是非常可取的。

一些安全套件或平臺正在或?qū)⒓{入全方位零信任服務(wù)。托管網(wǎng)絡(luò)安全服務(wù)也可能將零信任與它們的產(chǎn)品捆綁在一起。即使是面向中小企業(yè)的現(xiàn)代VPN，也已經(jīng)或?qū)⒉捎靡环N相對簡單的方式來實(shí)現(xiàn)零信任態(tài)勢。

是否適應(yīng)當(dāng)前的環(huán)境

影響零信任實(shí)施成敗的第二個(gè)因素是，是否適應(yīng)當(dāng)今的云計(jì)算環(huán)境，這涉及分布式組織的適應(yīng)能力。如果零信任架構(gòu)需要在完全受控的網(wǎng)絡(luò)上部署組件，或者基于傳統(tǒng)的網(wǎng)絡(luò)和數(shù)據(jù)中心，都可能會(huì)阻礙部署的成功。如果SaaS應(yīng)用程序、對數(shù)據(jù)和資源使用公有云以及主要或完全遠(yuǎn)程工作人員的普遍性無法完全適應(yīng)，那么零信任解決方案注定會(huì)失敗。

如果要實(shí)現(xiàn)零信任，還必須適應(yīng)Web3和元宇宙技術(shù)。Gartner公司在GartnerIT研討會(huì)/Xpo2022上預(yù)計(jì)，到2027年，完全虛擬的工作空間將占企業(yè)對元宇宙技術(shù)投資增長的30 %，并將“重新想象”辦公體驗(yàn)。零信任的失敗可能是“無法從這里到達(dá)那里”的問題，這阻礙了必要的工作或信息流的發(fā)生。這也可能過于復(fù)雜，阻礙或限制員工的自然工作方式。

Verizon公司最近發(fā)布的一份移動(dòng)安全指數(shù)報(bào)告表明，66 %的受訪者預(yù)計(jì)，為了滿足業(yè)務(wù)或工作要求，他們將不得不犧牲安全性。另有79 %的受訪者表示，他們已經(jīng)不得不做出這樣的權(quán)衡，以滿足最后期限或目標(biāo)。這意味著零信任要想成功實(shí)施，就不能妨礙工作效率，它必須符合現(xiàn)有的工作風(fēng)格、流程和期望。

是否能夠應(yīng)對未知的威脅

影響零信任實(shí)施成敗的第3個(gè)因素是，是否能夠應(yīng)對有意和無意的威脅。零信任必須阻止惡意行為，同時(shí)也必須阻止完全偶然的行為。例如，分配或利用固定IP地址的能力有助于確保用戶和他們試圖訪問的資源的更大確定性。

還可能是加密隧道的開始和終止方式，無論是作為VPN還是作為應(yīng)用程序與用戶之間通信的一部分，漏洞可能會(huì)導(dǎo)致網(wǎng)絡(luò)攻擊，網(wǎng)絡(luò)攻擊者可以通過這些漏洞規(guī)避零信任保護(hù)。

零信任實(shí)施的失敗不是一個(gè)選項(xiàng)

除了上述3個(gè)因素之外，成功或失敗可能取決于對企業(yè)的完整攻擊面，或員工和部門協(xié)作模式等事情的清晰理解。零信任架構(gòu)可能無法正確識別現(xiàn)有數(shù)據(jù)流或業(yè)務(wù)流程，不能同時(shí)保護(hù)和促進(jìn)這些事情將意味著失敗。

零信任實(shí)施的失敗幾乎不是企業(yè)可以承受的選擇，隨著數(shù)據(jù)泄露持續(xù)升級，對違規(guī)行為的處罰不斷上升，并達(dá)到對業(yè)務(wù)至關(guān)重要的程度，大多數(shù)人都認(rèn)為零信任是必要的。

毫無疑問，零信任項(xiàng)目的失敗將使它與其他IT失敗相提并論。根據(jù)Smart Insights公司發(fā)布的調(diào)查數(shù)據(jù)，在企業(yè)實(shí)施的項(xiàng)目中，63 %的CRM項(xiàng)目失敗，70 %的營銷自動(dòng)化項(xiàng)目失敗，84 %的業(yè)務(wù)轉(zhuǎn)型失敗。不過，零信任實(shí)施的失敗并不一定是不可避免的悲劇。通過重新思考如何實(shí)現(xiàn)零信任，并將其整合到現(xiàn)有系統(tǒng)、基礎(chǔ)設(shè)施、工作風(fēng)格和預(yù)期的未來變化中，可以極大地提高零信任實(shí)施的成功率。