观点 | 探讨零信任如何帮助安全与业务统一战线

零信任正在迈入一个从理念到全面落地的崭新的时代，那么零信任落地究竟能给安全行业、给甲方带来哪些价值？目前零信任落地的难点和阻碍在哪里？零信任未来将如何发展？

日前，持安科技创始人＆CEO何艺受邀参加网络安全行业门户FreeBuf举办的 CIS 网络安全创新大会·夏日版-零信任安全分论坛圆桌环节主持人，以下内容部分根据现场专家观点整理而来。

欢迎大家交流探讨！

QUESTION.1

零信任是什么？与SDP、VPN的关系？

零信任是一整套技术理念，核心思想是永不信任，持续验证。零信任认为攻击者有可能存在于企业网络的任何位置，因此针对每一个访问行为，都需要对用户身份、设备、系统、资源进行持续动态的风险评估。

零信任落地的过程中需要多类技术、多种场景整合，VPN和SDP只是零信任技术理念中的一部分。

VPN是传统的虚拟专用网络，在边界安全防御模型中，企业使用VPN建立外网与内网之间的连接通道，便于员工在外访问业务系统。但是，近些年来，随着办公边界逐渐消失，VPN不能满足现阶段的企业安全访问需求，加之VPN自身的安全性无法保障，SDP应运而生。

SDP即软件定义边界，由云安全联盟CSA提出，是零信任的其中一个技术架构与方案，主要应用于在远程办公或移动办公场景下，在收敛暴露面、业务隐身、准入控制等方面，SDP与VPN同效，但是就自身安全来说，SDP更胜VPN一筹。

但在从对业务的安全防护能力来说，不论是SDP还是VPN，因为是构建在4层，即网络层，所以均无法对企业业务进行防护。

而真正的零信任最佳实践，是在企业现有的网络架构之上，构建一个基于身份的、动态的、最小权限原则的零信任身份网络，部署在企业网络的应用层，也就是7层，紧密贴合业务，可以对企业业务与应用数据进行防护。

综上，持安认为，零信任 ≠ VPN/SDP，零信任产品的落地价值，应远远高于远程办公。

QUESTION.2

企业的安全建设过程中，接入零信任的契机是什么？

零信任自2019年后在国内爆火，其最重要的原因是，零信任帮助企业提升业务系统整体的的安全性，其接入契机主要有以下几个层面。

第一、业务模式改变

企业业务发展过程中，出现一些新的业务形态与模式，甲方发现传统安全产品能力不足时，会有动力考虑新的安全手段。比如互联网医院项目，需要借助互联网的力量，统一调配兼职、远程的专家医生资源，此时甲方需要重新梳理企业内部网络架构，梳理网络安全的规划。

第二、远程办公、移动办公普及

疫情催化了企业工作形态的转变，企业与员工都需要做好随时随地安全办公的准备。在此背景下，越来越多的人员和设备，在互联网端访问企业内部的应用、资源和数据，传统的网络安全手段难以满足用户安全办公与访问的需求。

第三、数据权限精细化管理

数字化转型背景下，企业的数据安全管控越来越重要。企业需要保障数据使用与传输过程中的合规性，需要避免企业内部敏感数据的过度释放，出现安全事件时需要及时发现、制止与溯源。

零信任可以在内部、外部做基于精准个人身份的（而非IP的），全链路动态细粒度访问控制，极大地降低了企业溯源成本，降低溯源响应时间。

第四、复杂身份管控

大型企业往往身份组成较为复杂，除总部员工分层分级设置访问权限外，可能存在被收购的公司员工、外包员工、兼职人员、分支机构、代理商、供应商等复杂身份，需要为每位员工配备相应的访问权限，传统的VPN等很难满足这类需求。

第五、企业IT成熟度

近几年企业IT建设进程加快，复杂的IT系统与碎片化安全产品，使企业安全运维成本与管理难度指数级增长，而零信任可以与这些系统进行融合打通，联防联控，协同生长，促成企业信息安全一体化建设。

第六、APT对抗等大型安全事件增多

2015年完美世界开始考虑接入零信任系统，即是因为传统的安全能力。在面对APT对抗等大型安全事件时捉襟见肘。随着近年来黑客攻击成本降低，但攻击收益只增不减，安全攻击事件愈加频繁。企业建设了很多安全系统，购买了很多安全产品，但碎片化的安全能力防护效果堪忧，更关键的是非常影响业务效率。

QUESTION.3

零信任落地过程中遇到过哪些阻力，怎样克服阻力落地零信任？

第一、对零信任理念的价值认识不足

一方面，部分甲方对零信任落地具体价值不太了解，不知道零信任落地后，能给企业安全和业务带来什么好处。另一方面，目前业界可能高估了零信任落地难度，觉得零信任接入会导致企业安全部门工作量太大，投入产出不成正比。

第二、安全理念的转变需要时间

传统安全以边界防御为主，不需要考虑业务需求，而零信任理念需要承载、支撑业务，所以需要安全部门对企业现状、业务模式、业务发展有更深入的理解。

第三、过于复杂的企业IT环境

很多大型企业在数字化转型过程中，使用成百上千的信息化系统，同时集团员工身份也较为复杂，收敛业务暴露面、身份统一管控、数据安全治理难度较大，大家对企业安全架构更新产生畏惧心里。

第四、用户对安装安全软件有抵触情绪

比如技术人员、业务人员觉得安全产品会影响电脑速度，造成卡顿、延迟等，影响工作效率；还有一些员工认为安装安全系统会带有监控性质，所以抵触此类产品。

如何解决这些问题？

一方面，各类标准的出台正在促进零信任领域逐渐走向成熟，国内外零信任落地案例逐渐增多，可以增强甲方对零信任的信心。另一方面，安全厂商打造轻量级、高性能、不打扰、无侵入、可快速落地的零信任产品，可极大降低零信任落地难度。

此外，在产品方面，可以通过优化使用者的办公体验，提升普通用户与零信任产品的使用粘性。如：持安零信任产品会通过集成办公产品，统一登录界面。原来用户办公可需要登录OA、wiki、CRM等多个系统，但是部署了持安零信任产品后，用户直接通过终端或网页门户一键登录，全天访问系统，无需重复登录；或从网络优化角度，持安零信任网关可以做网络加速与分流，提升出海等特定系统的使用体验。

QUESTION.4

零信任如何帮助企业保障数据安全？

零信任最佳实践的优势，是在7层网络，即应用层，构建以身份为中心，贯穿企业人员、设备、应用、资源、数据的全链路数据权限管控与溯源能力，帮助企业保证数据存储、传输、流转的安全。

在数据存储方面，传统安全产品基于边界防护，默认企业内网是安全的，但是零信任认为，企业内外网均暴露于危险中，员工不管在哪里访问业务系统，都需要设置防护策略。

在数据传输与使用时，一方面，可以使用零信任更新数据权限管控策略，对企业敏感数据和敏感应用，根据最小权限原则设置访问权限、使用权限、外发规则，并为每一个环节记录留痕。

其次，减少企业数据泄露风险，保障企业的业务系统上的客户数据与隐私。零信任拥有持续的、动态的环境监测与风险感知能力，可根据用户操作系统类型、操作时间等动态评估企业数据安全状态，减少企业合作伙伴、代理商等由于安全意识不足而导致的数据泄露风险。

此外，大型集团客户在数字化转型过程中，需要保证企业内部数据流转与使用的合法合规，零信任可以帮助复杂系统做数据监控与审计。零信任可以基于身份信息记录员工访问各个系统的权限和行为，做好企业各业务系统之间的横向、纵向数据访问的监管与审计，遇到异常行为及时告警和阻断。

持安科技在零信任落地实践中发现，最佳实践落地后，零信任会变成企业信息化基础设施，例如某消费企业使用持安零信任产品后，企业内部员工、终端、业务的每一个访问过程，零信任平台会记录留痕。也就是说，零信任平台能精准地知道是哪个人（而非IP）、用哪个终端、访问了哪个应用上、哪个资源的、哪个敏感数据。

QUESTION.5

零信任理念下，安全跟业务部门的关系会发生哪些变化？

当下，企业安全与业务部门的冲突愈加明显。理想状态下，安全团队希望业务在一刚开始就接入安全能力，这样未来安全工作的成本才能最低。但实际上，很少有人在业务初期就愿意花费时间和金钱来接入安全，往往是在业务价值逐渐变高的时候，大家才开始关注到安全，但这时安全的接入成本也会变高，可能需要业务做应用改造，导致业务工作量很大，沟通成本、时间成本和人力成本都居高不下，最终安全和业务都对彼此怨声载道。

此外，在业务系统更新过程中，安全的接入也可能会拖沓业务效率。何艺早些年在完美世界做甲方安全，安全部门有时需要强制业务留一到两周的时间，测试业务系统安全性，以免业务带漏洞上线。此时安全跟业务就会产生冲突，因为很多业务上线时间周期很短，加班加点才能准时上线，很难给安全留出时间。

而零信任能够给安全团队一个机会，业务与安全彼此重新认识与了解。零信任理念在完美世界落地后，保证安全与业务齐头并进，让业务不需要考虑安全，在不改变业务原有工作习惯的基础上，提升企业办公安全能力。

此外，零信任还可以在以下几个方面，帮助业务提高工作效率：

第一、提高业务访问舒适度

从前许多企业基于边界防御模型，只可通过内网访问系统，外网访问系统时系统卡顿严重、网络易掉线。接入零信任之后，员工在任一位置办公时，都可以拥有和公司内部办公时同样平稳流畅的工作体验，提高业务工作效率。此外，控制中心集中管控所有的信息化系统和应用，可以通过零信任一键登录。

第二、承载业务，与业务共同成长

在零信任理念的规划、落地以及持续运营过程中，安全需要对企业业务有深度理解，与业务共同做业务流程梳理，安全部门通过重新分配管理企业网络、应用、数据权限等，帮助业务等相关同事更加深刻、清晰的理解自身的业务流程与权重。且在零信任的持续运营中，可以持续动态调整安全策略与权重，逐渐增加安全与业务的契合度，共同成长。

第三、业务数据精细化管理

随着国家法律法规的频繁出台，业务部门也开始对安全提出要求，如自身数据的权限管理与安全保证等。零信任可通过自建 IAM 体系或与企业原有的IAM融合，完成身份创建工作。打通企业网络、应用、数据等，以分层防护模型，建立以身份为中心的基础架构，遵循最小权限原则，制定动态访问权限，打通企业复杂的IT系统，保障业务高敏数据的安全性。

第四、做好应急响应

部分安全能力确实推进不顺时，可采用灰度上线的原则，在持续运营中让业务慢慢发现安全部门的“善意”。

具体实施时，可以先把重要性最高的核心系统做好保障。同时，安全部门需要时刻做好准备，一旦业务提出需求 ，第一时间响应与处理。

例如，业务团队有时需要请供应商协助做做数据分析，担心数据安全性，以前请供应商到现场，看着他们在电脑上操作，但是疫情后只能远程，此时通过零信任解决方案，让大家看到零信任的防护能力与价值，后面借助一系列类似事件，在公司内做推广，逐渐使业务体会到安全部门的价值，也会逐渐认可安全产品的接入。

QUESTION.6

怎么看待零信任未来在国内的落地趋势？

零信任的部分理念与能力在国内的一些行业，已经得到了很好的落地，但是完整的零信任落地还需要一个过程。

从行业发展角度来看，零信任作为下一代安全基础设施，生长在传统网络安全的延长线上，未来，随着数字化、信息化的发展，安全意识的提升，借助零信任理念，可以把安全做得更加精细化、智能化。

在需求推动层面，企业数字化转型加快，从政府监管到社会对数据安全、个人隐私的关注，对企业安全建设提出了更高的要求，例如随着各种威胁的频发与演进，大家越来越关注细粒度访问控制，但是传统的VPN无法做更细粒度、深层次的用户认证和访问控制。

此外，零信任也可以做内网资源访问权限管理，有效减少钓鱼等攻击事件。当现有的安全解决方案不能满足业务需求时，甲方一定会尝试和寻找新时代的安全解决方案。

另一方面，安全厂商也需要通过优质的产品与技术创新能力，帮助零信任落地。

第一，减少接入及使用成本。

零信任接入时避免业务二次开发，同时通过安全融合能力，不改变用户原有的工作习惯，降低学习成本等，减少零信任落地的干扰因素。

第二，提高用户使用粘性。

零信任需要给企业高管、安全技术部门、业务、普通员工等全公司员工赋能，首选需要保证产品的易用性、流畅性、稳定性和高适配度。其次，需要在产品设计使用逻辑上，适应用户日常办公习惯，提高用户粘性。

第三，建立安全一体化能力。

碎片化的安全产品，日常维护管理工作量大，安全效果也难保证。

通过零信任，让企业客户快速感受零信任安全在日常使用、数据安全、数据合规方面的价值。

作为国内首个以甲方身份创业的零信任厂商，持安科技团队自2015年开始在甲方落地、实践、运营零信任。

持安零信任平台是零信任在国内落地的最佳实践，它不是传统的VPN/SDP，而是兼具VPN/SDP的优势，更能为企业业务提供严密防护；它不是传统的基于IP进行溯源，而是基于精准的用户身份进行溯源；它不在4层网络层，而在7层应用层；它不是基于特征对抗，而是基于零信任可信验证；它不会让企业牺牲效率做安全，而是兼顾效率与安全。

持安零信任平台，适配全网全行业，不同安全成熟度的企业可以根据自己的体量、业务场景、技术架构，选择适合自己的路径落地。