自适应零信任解决方案介绍

随着数字化的深入&＃xff0c;数据成为重要生产要素。数据伴随着业务和 应用&＃xff0c;在不同载体间流动和留存&＃xff0c;贯穿信息化和业务系统的各层面、 各环节&＃xff0c;在复杂的应用环境下&＃xff0c;保证重要数据、核心数据以及用户个 人隐私数据等敏感数据不发生外泄&＃xff0c;是数据安全保障工作的重要挑战。

数据安全靠的不是单点技术&＃xff0c;而是能力体系。真正做好数据安全 防护&＃xff0c;需要从零散建设升级到体系化建设&＃xff0c;内生安全框架是安全体系 化建设的核心&＃xff0c;“一中心两体系”是内生安全框架落地的具体方法&＃xff0c; 即网络安全态势感知与管控中心、网络安全防护体系以及零信任动态 授权体系&＃xff0c;从而打造认知、安全、授权三个重要能力。其中零信任数 据动态授权体系&＃xff0c;则是授权能力的落地。从实体安全、身份可信、业 务合规三个目标出发&＃xff0c;抽象出主体、客体、主体环境&＃xff0c;通过动态评估 主体的数字身份、安全状态和信任、数据安全治理的成果&＃xff0c;进行动态 细粒度授权及访问控制&＃xff0c;并结合数据安全防护体系的技术能力&＃xff0c;实现 对应用和数据的、服务&＃xff0c;API 接口、大数据平台、数据库行、列等级 别的精准管控。

本报告总结分析了数字化时代数据安全的背景和挑战&＃xff0c;结合零 信任理念&＃xff0c;提出构建数据动态授权能力的建设思路&＃xff0c;以及以工程化思 维推进零信任架构演进的建设方法&＃xff0c;旨在为组织开展数据安全体系化 建设提供参考和建议。

数字化时代的数据安全发展现状背景

(一) 数据安全成为数字化发展基石

2021 年 9 月 1 日&＃xff0c;《数据安全法》正式颁布实施&＃xff0c;明确提出了 数据安全保护要求&＃xff0c;包括从战略上将数据安全上升到国家总体安全观 层面&＃xff1b;从组织责任上明确数据流转过程中组织的安全责任与义务&＃xff0c;明 确监管要求&＃xff1b;在安全保护方面完善数据安全保护体系&＃xff0c;提升数据安全 能力&＃xff1b;在安全监管方面建立数据安全应急机制和审查制度。《数据安 全法》同时也阐明了数据安全与发展的关系&＃xff0c;即“国家统筹发展和安 全&＃xff0c;坚持以数据开发利用和产业发展促进数据安全&＃xff0c;以数据安全保障 数据开发利用和产业发展”。坚持安全与发展并重&＃xff0c;在数据作为生产 要素之一的大背景下&＃xff0c;探索全新数据安全体系、保障新形势下的数据 安全&＃xff0c;已成为维护国家安全和国家竞争力的战略需要。

(二) 数据成为关键生产要素加速数据流转

今年是我国“十四五”规划实施的第二年&＃xff0c;是迎接数字时代、激 活数据要素潜能、推进网络强国建设的重要一年。全球也进入全面数 字化转型时期&＃xff0c;数据作为关键生产要素发挥着巨大作用&＃xff0c;推动着数字 经济的发展。传统信息技术开始向以数据和业务为核心的新一代信息 技术转变&＃xff0c;数据资源的种类数量、对接程度、应用领域、价值实现不 断扩张&＃xff0c;数据资源逐步走出企业物理边界&＃xff1b;大数据、物联网等新业务 的开放协同集合企业的业务和数据&＃xff0c;多部门、多平台、多业务的数据 融合打破了业务之间、部门之间的数据边界。其典型特征是企业间的 信息化交互大幅增加&＃xff0c;企业与外部合作伙伴的关系也更加密切&＃xff0c;通过业务协同、数据共享实现流程优化、合作共赢已经成为共识。

同时&＃xff0c;可以预见到&＃xff0c;未来数据流转情况将更加开放&＃xff0c;业务生态将 更加复杂&＃xff0c;参与数据处理的角色将更多元&＃xff0c;系统、业务、组织边界将 进一步模糊&＃xff0c;导致数据的产生、流动、处理等过程比以往更加丰富和 多样。数据的频繁跨界流动&＃xff0c;多环节的信息隐性留存&＃xff0c;带来了严峻的 数据安全挑战。一方面&＃xff0c;数据在各组织、部门之间流动&＃xff0c;系统和数据 安全的责权边界变得模糊&＃xff0c;主体责任划分不清&＃xff0c;权限控制不足&＃xff0c;导致 数据泄漏事件频发&＃xff1b;另一方面&＃xff0c;数据在跨组织间的流转&＃xff0c;导致原本的 边界安全机制无法有效保护流转到边界外的数据&＃xff0c;基于边界的安全管 理和技术措施&＃xff0c;已经无法适应当前的安全需要。在数据安全风险与日 俱增的新形势下&＃xff0c;安全作为发展的前提&＃xff0c;数据安全已成为数字经济时 代最紧迫和最基础的安全问题。

(三) 应用架构演变伴生数据使用场景日趋复杂

随着云计算平台、大数据算力融合平台技术架构的演进&＃xff0c;硬件平 台和网络体系经过多次结构化重组&＃xff0c;以容器、微服务、DevOps 为代 表的云原生技术发展&＃xff0c;以及边缘计算技术的大规模采用&＃xff0c;企业普遍应 用新技术&＃xff0c;帮助企业提升决策水平、构建新型业务模式&＃xff0c;实现产业升 级。如微服务架构的盛行&＃xff0c;导致数据被调用得更加频繁。单体应用架 构下数据只经过单个服务的处理就流向了访问主体&＃xff08;人、应用、终端 等&＃xff09;&＃xff0c;而在微服务架构下&＃xff0c;服务的职能被切分得更加细致&＃xff0c;数据可能 需要经过几个甚至十几个服务的处理才会流向访问主体。同时&＃xff0c;组织 的数据业务交互变得更加开放&＃xff0c;数据的访问可能来源于组织内部&＃xff0c;也可能来自于分支结构&＃xff0c;甚至是外部的第三方合作伙伴。

另外&＃xff0c;新技术、新业态的应用架构带来数据交互日益频繁的同时&＃xff0c; 业务上云、远程办公、应用程序的频繁调用&＃xff0c;数据的流动区域、传输 链路、访问行为等都发生了根本性的改变。数据使用场景的日益复杂 化&＃xff0c;数据安全防护需求随之动态变化&＃xff0c;但由于各组织的数据安全能力 不一致&＃xff0c;属性不同&＃xff0c;难以进行有效管控。数据安全的违规行为往往隐 藏在正常的应用场景中&＃xff0c;如数据 API 滥用——数据 API 按业务需求 开放后&＃xff0c;可能有具备权限的第三方服务没有按约定场景使用&＃xff0c;或长时 间没有使用形成暴露在外的幽灵 API 等&＃xff1b;由于从业务视角短期来看这 些行为都属于正常行为&＃xff0c;但实际上已成为潜在的数据安全风险&＃xff0c;需要 用动态的安全思路来应对这些新需求、新挑战。

数字化时代的数据安全挑战

(一) 边界弱化&＃xff0c;企业资源暴露面增加

随着新一代信息技术的快速演进&＃xff0c;移动互联网、物联网、工业互 联网、车联网等新技术新场景的不断涌现&＃xff0c;应用架构随技术发展不断 演进&＃xff0c;打破了传统单体架构部署于数据中心内的模式&＃xff0c;由数据中心向 云端、终端等各个环节不断延伸&＃xff0c;组织的网络环境愈发多样&＃xff0c;如移动 网络、固定网络接入、虚拟化网络等&＃xff1b;接入方式也愈发复杂&＃xff0c;如手机、 台式机、平板电脑及各类终端等&＃xff1b;传统网络安全边界逐渐消失&＃xff0c;用户、 设备、业务、平台等多样化趋势不可阻挡。新技术态势下的网络安全 威胁和风险同样不断涌现、扩散&＃xff0c;企业与组织等的数字化系统正在面 临来自多方面严峻的安全挑战&＃xff0c;对安全防护能力的要求随之提升&＃xff0c;传统安全防护的劣势凸显。

(二) 攻击的目标从网络转向身份、应用和数据

数据的要素化促进了数据的价值体现和价值释放&＃xff0c;数据已成为 各企业或组织的重要资产。而另一方面&＃xff0c;数据价值凸显引来更多的攻 击者&＃xff0c;从近年来的主要网络安全事件结果来看&＃xff0c;由于利益驱使&＃xff0c;网络 攻击从原来针对平台、网络、系统已经向数据资源转变。据威胁情报 公司 Cyble 透露&＃xff0c;2021 年 8 月&＃xff0c;美国电信巨头 T-Mobile 遭遇重大安 全事件&＃xff0c;攻击者声称窃取了多个数据库&＃xff0c;总计 106GB 的数据&＃xff0c;涉及 近 1 亿用户数据&＃xff0c;其中包括 T-Mobile 的客户关系管理&＃xff08;CRM&＃xff09;数据 库&＃xff0c;并且攻击者将数据在地下黑产信息售卖赚取高额非法回报。

(三) 远程办公增加数据泄漏和权限滥用风险

远程办公已经逐步成为一种常态化的工作模式&＃xff0c;这也是移动办公 延展后的必然结果。办公场景也不再局限于日常工作协同沟通、视频 会议等&＃xff0c;包括远程办公平台、远程开发、远程运维、远程客服、远程 教学等等都已成为现实&＃xff0c;远程办公已经成为走出固定地点&＃xff08;如办公室、 写字楼&＃xff09;&＃xff0c;随时随地的办公形态。远程办公常态化以及数据的开放协 同增加了数据风险暴露面&＃xff0c;各种接入人员的身份和权限管理混乱各种 接入设备&＃xff08;BYOD、合作伙伴设备&＃xff09;安全性参差不齐&＃xff0c;以及各种远程 接入程序的使用&＃xff0c;带来了对设备、人员的权限管理难度和不可控安全 因素都可能导致数据更容易“意外”泄漏。如何确保数据在流经、留 存的各种计算环境、终端设备上的安全变得充满挑战。

(四) 内部威胁成数据泄漏主要原因

根据 Fortinet《内部威胁报告》调查显示&＃xff0c;90&＃xff05;的网络安全组织 感到容易受到内部攻击&＃xff1b;53&＃xff05;的网络安全专业人员确认在过去一年中 其组织遭受过内部攻击。内部威胁一方面指内部人员因为安全意识的 疏忽或操作的失误暴露了某些安全脆弱环节&＃xff0c;从而导致被攻击者利用 造成的数据泄漏等安全事件&＃xff1b;另一方面指组织内部员工通过滥用访问 权限、违规获取访问权限等行为窃取组织数据资源&＃xff0c;例如水滴泄密— —企业内部员工利用自身合法权限每天进行少量敏感数据下载&＃xff0c;积累 到一定程度后加密压缩外发到个人网盘。历年的“净网行动”曾发现 多起内部员工对数据的恶意窃取事件&＃xff0c;虽然部分"内部人员"权限较低&＃xff0c; 但他们仍可以通过盗用高权限人员的账号密码数字证书登录内网获 取敏感数据。

参考资料