漏洞攻擊
零信任如何協助您強化資安並確保供應鏈安全
本文探討零信任 (Zero Trust) 能為您企業帶來哪些效益，主要聚焦在如何提升資安、保障供應鏈安全，以及符合國際法規框架。
在今日快速變遷的數位情勢下，企業正面臨日益精密的資安威脅與漏洞。傳統的資安模型再也無法保護機敏資料並防範風險。這就是零信任能派上用場的時候，它能提供一套全方位的資安方法來協助企業解決新興的挑戰。
本文探討零信任能為您企業帶來哪些效益，主要聚焦在如何提升資安、保障供應鏈安全，以及符合國際法規框架。
零信任對您企業有何幫助
零信任的設計是要用來找出影子 IT 以及企業內效率不彰的環節，以便將它們消除。這套方法有助於降低營運和資產成本，有效降低企業的風險。此外，零信任也能改善資料安全，發掘資料風險高於正常平均值的系統，打造一個更安全的資料環境。
此外，實施零信任還能讓企業減少資安事件及對外營運中斷所造成的商譽損失風險。零信任不僅可確保業務營運不間斷，還能精細地控管漫遊與資料主權，為企業帶來更大的彈性和安全性。
不僅如此，零信任還能讓多種不同的業務功能全都使用同一種存取方式，透過這樣的整合，就能改善資安，減少客戶完成交易時的步驟，最終將提升整體的客戶體驗。零信任可應用在多種場合，滿足不同的營運安全與風險管理要求，其泛用性和適應性讓它成為一種有效保護數位環境的實際作法。
保障供應鏈安全的重要性與零信任的應用
零信任對於保障供應鏈安全相當重要，因為它能協助發掘企業內可能衝擊營收的駭客攻擊鏈。這個攻擊鏈涵蓋了企業的營運流程、資安流程及供應鏈，統稱為「受攻擊面」。
企業可利用零信任原則來主動發掘並切斷供應鏈中的駭客攻擊鏈。所謂的「受攻擊面對應」(Attack Surface Mapping) 以及「資安資產受攻擊面對應」(Cyber Asset Attack Surface Mapping，簡稱 CAASM) 就是要掃描及防範當前、潛在或僥倖躲過的供應鏈攻擊，降低骨牌效應的風險。
受攻擊面對應的內涵包括發掘及對應企業網路、系統與應用程式所有可能的入侵點、弱點、暴露區域。它提供了一個企業受攻擊面的完整樣貌，包括對外的系統與內部的資產與連線。
資安資產受攻擊面對應 (CAASM) 則是聚焦在企業供應鏈中的資產，檢查供應鏈生態系中的數位資產與彼此之間的相依性，包括第三方廠商、合作夥伴以及彼此相連的系統。藉由分析供應鏈的受攻擊面，企業就能找出駭客可能利用的潛在弱點和漏洞。
這些對應技巧可讓企業主動掃描及評估其當前的資安狀況、找出潛在風險、擬定預防工作的優先次序。掌握了自己的受攻擊面與潛在攻擊管道之後，企業就能採取適當措施來強化防禦、修補漏洞、建置資安控管。
零信任框架：DISA NSA 與 NIST
基於企業需求及資安要求的不同，業界出現了各種不同的零信任框架。例如，DISA NSA 的零信任參考架構 (Zero Trust Reference Architecture) 適合大型關鍵基礎設施機構，而 NIST 的方法則適合資安成熟度仍在早期階段的企業。
DISA NSA 的框架提供了一套完整、可調整的藍圖，聚焦四大重點：裝置信任、使用者信任、資料信任以及網路信任。企業可在基礎設施的各元件上實施嚴格的認證、授權及持續監控來建立信任。這套作法可以提高風險管理的準確度，並且降低基礎設施的成本，因此非常適合大型關鍵基礎設施機構採用。
反觀 NIST 的方法則採用一種風險導向的策略，強調持續的監控、精細的存取控管，以及動態的政策貫徹。它主張「絕不信任、持續驗證」的概念，提倡嚴密的認證機制、網路分割及加密。這套框架提供了彈性與擴充性，因此非常適合各種不同資安成熟度的企業。
若要同時善用這兩套框架的長處，企業可根據自身的特殊需求來導入一些互補的設計，同時結合 DISA NSA 和 NIST 的方法來建立一套嚴密的零信任架構以滿足其獨特的資安需求。
最終，零信任的原則能提供企業一種主動而全面的資安方法，降低資安事件的風險、保護機敏資料、確保基礎設施的韌性。藉由擁抱這些框架，企業將可強化其資安並有效對抗今日數位情勢不斷演變的資安威脅。
零信任與國際法規框架
零信任是一套近年來備受矚目也廣獲採納的資安框架，它能與各種國際法規框架接軌，確保企業符合嚴格的資料保護、隱私權及資安要求。
通用資料保護法 (GDPR)
零信任原則非常符合 GDPR 的核心理念，也就是強調個人資料及隱私的保護和責任歸屬。落實零信任原則，企業就能建立嚴密的資安控管、防範資料外洩的風險，並且保護個人資料。零信任能藉由紮實的認證、存取控管、網路分割及加密來協助企業達成 GDPR 的要求，確實遵守資料保護規範。
加州消費者隱私法 (CCPA)
CCPA 強調保護消費者個人資訊的重要性，零信任原則可提供充分的資料保護及隱私權保障。透過強大的認證機制、網路分割及加密，企業將提升其資料安全，履行 CCPA 規範的義務。零信任對持續監控與精細存取控管的重視，可確保企業隨時都能掌控個人資訊的處理及分享，進而達成 CCPA 的合規要求。
支付卡產業資料安全標準 (PCI DSS)
PCI DSS 設計了嚴格的資安措施來保護持卡人的資料。零信任提供了一個穩固的基礎來達成 PCI DSS 的要求，強調安全的存取控管、持續監控及加密。零信任所秉持的「絕不信任、持續驗證」原則恰巧滿足其嚴格認證機制與持卡人資料存取管制的要求。落實零信任原則並隨時遵循 PCI DSS 標準，企業就能建立一套嚴密的資安措施。
零信任原則為企業提供了強大方法來符合國際法規的框架，藉由與 GDPR、CCPA 及 PCI DSS 接軌，零信任將提升企業的資料保護、隱私保障以及資安實務。
結論
在資安威脅和供應鏈漏洞與日俱增的時代，採用零信任方法對於想要強化資安、確保供應鏈完整的企業來說至關重要。透過實施零信任原則，企業就能改善資安、簡化業務功能，並且符合國際法規框架。零信任框架的泛用性 (如 DISA NSA 與 NIST) 可讓企業針對其特殊需求而調整其資安策略。擁抱零信任是邁向主動保護機敏資料與關鍵營運的第一步，也是企業在不斷演變的數位情勢下建立客戶與合作夥伴信任的關鍵。
請下載我們對零信任框架及今日建置策略的完整分析報告，這份報告提供了珍貴的洞見、實用的指引，以及立即可用的資安強化步驟。請點選這裡來下載這份報告，隨時掌握不斷演變的數位情勢。
原文出處：How Zero Trust Can Help Your Organization: Strengthening Security and Supply Chain Assurance