數位浪潮之下，隨之而來的是風險也不斷演變，如今已導致技術背後安全與信任之間的關係，越來越不平衡，如何因應全球都在探討，就在美國每年10月舉辦全國資安意識月前夕，Cisco提出了新信任標準（The New Trust Standard）的探討與分享，期望扭轉現今的威脅局勢。
特別的是，當中以零信任（Zero Trust）的網路安全策略，作為新時代信任標準的首要關鍵構成，而這也可能成為日後Cisco其合作夥伴都必須朝向的目標，甚至倡議各方供應鏈都該重視，臺灣產業勢必也要關注這股潮流，儘早做好準備。
不只網路安全零信任與供應鏈安全，要贏得企業與客戶之間的信任，需在多個層面設法提升
現在的信任失效了嗎？從現實面來看，的確有很大的問題，資料外洩問題持續嚴重，供應鏈威脅更引發產業高度重視，都持續成為國際與資安界關注的焦點。為此，美國政府已積極採取行動，對於零信任與供應鏈議題，提出國家級別的戰略。例如，美國聯邦倡議採用零信任原則與方法來保護資訊系統與網路，於是NIST推出《NIST SP 800-207 Zero Trust Architecture》標準文件，而在2021年5月12日，美國總統拜登簽署EO 14028的總統行政命令，當中已經強調零信任與供應鏈安全的實踐。
同時，該國的大型網路與資安廠商也早已陸續發力，例如這次Cicso提出的新時代信任標準，又在呼應此一態勢。更引起我們關注的是，多年前他們已經提出網路安全的零信任架構，也將這樣的概念融合於產品，而在這次新信任標準的發布中，他們並不只針對網路安全，而是在更多層面上，都提出新的信任基本要求。
根據Cisco的說明，他們之前就已採取多項行動，除了零信任架構的建立，Cisco也與供應商簽訂合約，要求對方也能遵守Cicso所承諾的資安與隱私標準，此外，他們公布了自家面對政府索取資料的原則與方法（a Principled Approach to Government Requests for Data）的文件，以及隱私資料表（Privacy Data Sheets），當中描述自家各產品服務對於處理個人資料的方式，並針對客戶常見問題提供足夠詳細的回答，以獲取客戶的信任。
這也意味著，這些議題早已受各界關注並持續進展，但如今Cisco的行動，開始將這些點、線彙整成面，建構出一個更完整的信任框架。
這樣的國際態勢，勢必將會影響到國內企業，而這也將給予國內企業資訊長一個更宏觀的思維，就是要讓近年備受關注的資安議題，包括零信任網路安全策略、供應鏈安全與資料治理的推動，從現有的信任基準拉升到新一個水準。
關於新信任標準的意義，Cisco指出，現在要贏得客戶的信任，需依賴整個組織的安全性與透明度，這裡所探討的對象，包括：產品、服務、人員、流程、道德與價值觀、內部系統、供應商與承包商。如此一來，客戶才能信任將資料交給你。
畢竟，若不知道環境裡有什麼，不了解硬體與軟體是如何製造，或者沒有證據表明相互連接的系統是如何做到安全，都會使我們面臨風險。
顯然，思科推動的新信任標準涵蓋更多層面，而這當中還不只是企業內部各構面與供應商，甚至還包含了道德與價值觀，儘管Cisco在此並未多作著墨，但也可看出現今信任關係的變化。
提出新時代信任標準的框架，包含5大關鍵要素，期望各界也能仿效
對於這個新信任標準的提出，思科全球資安產品事業部業務經理朱育民表示，這將有助於塑造產業在數位轉型上的思維，可以跨出更好的一步，這個標準如同一份指引，也是一份大綱，能夠分享給客戶與供應商，讓他們在資安行動上，有更明確的方向可以遵循，同時希望這樣的概念，能讓其他企業也能仿效或思考。
具題而言，這是一個關於期望與責任的框架，要讓企業與客戶雙方都能同意新的規範，提升數位的信任關係。而這個新信任標準的內容，是Cisco從各方交流與經驗所整理歸納而來，包括了客戶、合作夥伴、資安產業與監管機構等，當中包含了5大關鍵要素，分別是：零信任架構、受信任供應鏈、資料治理、透明度，以及合規監管與認證。
零信任
在新信任標準的組成要素中，零信任架構（Zero Trust Architecture，ZTA），被列為第一關鍵。
根據Cisco的說明，在允許存取之前，對於是否安全的存取，要經過強制且基於證據的判斷保證，也就是評估是否安全才可放行存取。目前，這種思維方式的轉變，還處於早期階段，但最終必須滲透到所有的系統之中。而這些系統本身的安全變化，將對提供給客戶的產品與服務，帶來深遠的影響。
關於零信任的重要性，朱育民表示，零信任網路安全雖然提出了許多年，但大家還沒有這樣的意識，隨著美國NIST提出SP 800-207，該國政府也正在要求當地聯邦政府，導入零信任架構的網路安全策略，因此，不管是標準、法規的力量，都已朝向這樣的趨勢。他認為，這次Cisco提出的新信任標準，是一個很好的時間點，也可以重新教育客戶、市場與整個產業，了解到零信任的重要。畢竟，現在企業受攻擊的表面是越來越多，零信任網路安全策略將可提供過往要補足的構面。
Cisco本身也這麼做，已經發展零信任解決方案。例如，他們在2019年提出對於零信任網路安全的定義，並將這樣的概念融入自身。朱育民表示，在他們所提的3W零信任架構中──Workforce、Workloads與Workplace，其實就與NIST發布的SP 800-207 ZTA標準文件中，所描述的3個關鍵技術吻合，也就是增加的身分治理、微分割與軟體定義的網路基礎架構。
受信任供應鏈
第二個關鍵，是供應鏈風險的管理，也就是要如何相信供應商能建立一個值得信賴的供應鏈。這已是近年最受關注的資安威脅，供應鏈攻擊已為全球屢屢帶來嚴重損害，挑戰也相當大。
但無論如何，現在的局勢，就是客戶都希望服務提供商要能了解自身產品中所有元件，並採取合理措施來檢測與緩解各式資安問題。
對於供應鏈的議題，Cisco指出，複雜生態系統的廠商需要經過驗證，才能確保最終我們銷售或消費的技術的可信度，而這必須要融入供應鏈流程與技術本身。
至於實踐上，Cisco提出6個要點，包括：防止竄改、要求供應商遵守正確的產業標準、建立信任鏈、在合約中建立信任，以及對於自家與其他供應商產品的整合要進行測試，並要定期執行稽核與漏洞測試。
其中，Cisco也提到了遵循產業標準，事實上，這是推動資安與零信任架構時所能採取的好出發點，他們舉例，包括：資安與隱私控制的NIST 800-53，資安管理標準ISO 27001，以及雲端使用安全的ISO 27018，還有隱私管理的ISO 27701等。
資料治理
第三是資料治理，其用意就是要確保資料得到適當處理與保護，只有為真正有需要的人提供存取權限，畢竟，客戶都希望服務提供者能保護他們的資料，這是數位世界在信任上的基本要求，但不僅僅是如此，還要能尊重資料權利，持續抱持能符合客戶與政府規定的期望。
可以想像的是，將有越來越多的消費者，會考慮隱私與透明度的提供商。而資料的未來，將會朝向數位主權發展。
對此，Cisco提出3個建議，包括透過技術控制、透過合規控制，以及考慮讓客戶能選擇資料存放資料中心的所在地區。
透明度
第四是透明度，企業要能揭露所有客戶所需的資訊，必須讓客戶能在知情的情況下去選擇。這樣的精神，過往資安界積極揭露資安漏洞與資安事件時，就已經不斷呼籲與強調。
關於增加透明度的方法，例如，讓客戶更容易得知或找到他們正在找尋的資訊，對於重大漏洞資訊應公開揭露，同時通知所有受事件影響的人，以及在政府要求資料時為客戶力爭辯護。
合規監管與認證
最後的合規監管與認證，也就是要能證明，這是做到明確信任過程之中所必要，企業應透過獨立的第三方驗證，以證明對客戶的承諾。
整體而言，在前面三大關鍵主軸之外，後面兩個關鍵要素，也就是透明度與認證，其精神其實更是貫穿整個標準，其實兩者的概念，過去其實已經不斷被強調，但重要性可能被忽略，因此這次Cisco將它與零信任、供應鏈與資料治理，列為同等重要的要素。而從這5大方向著手，將是企業重新思考信任基準點的開始。
Cisco建議的零信任原則
●將客戶體驗放在首要任務，因為認證不應該是一種負擔。使用者完成工作需要可以方便地存取企業內部與雲端的應用程式。
●持續驗證使用者、設備與應用程式是否受到信任。
●利用機器學習來識別異常用戶行為的嘗試登錄。會有誤報事件發生，因此要權衡阻止合法存取的風險。
●應用程式安全性政策的強度要與資料的敏感性相符合。這需要準確的資料分類，並要能夠瞭解正常應用程式流量是什麼樣子，這樣才能發現異常。
●確保不同應用程式元件之間需要安全的連接，例如應用程式邏輯與資料庫。
●讓入侵攻擊者更難從一臺伺服器移動到其他伺服器，使用技術包括網路分區隔離、強式的認證與加密，以及建立標記受信任的設備。
＠資料來源：Cisco，iThome整理，2021年10月
為何需要新的信任標準？
之所以提出新的信任標準，Cisco舉出了一個簡單的問題，你的客戶可以信任將資料交給你嗎？答案是，隨著商業型態複雜，信任這件事已不再是建立於個人關係之上，現在客戶的信任已經開始依賴整個組織的安全性與透明度，這裡談的包括你的產品、服務、人員、流程、道德與價值觀、內部系統、供應商與承包商。
因此，現在所論及的信任內涵，已經變得更加全面。例如，客戶是否能信任你，不僅取決於你的政策，也取決於你的供應商，甚至你的共應商的共應商；不僅取決於你的網路安全防護，並還取決於你在發生漏洞時的做法；不僅取決於你如何儲存客戶的敏感資料，還取決於你如何在周五下班之際面對國外執法部門的請求。
而且，現在的安全也與信任及透明度拖不了關係。Cisco說明，在什麼都相互連接的今日世界中，這意味著我們已是共享風險與共享安全的態勢。然而，不知道我們的環境裡有什麼，不了解硬體與軟體是如何製造，或者沒有證據表明相互連接的系統是如何做到安全，都會使我們面臨風險。因此，需要信任與透明度的存在並發揮作用，才能方便我們都能集體管理風險。
"標準" - Google 新聞
October 19, 2021 at 12:13PM
https://ift.tt/30G3oJu
Cisco提出新信任標準，不只是強調零信任架構，供應鏈與資料治理的信任也要重新思考 - iThome Online
"標準" - Google 新聞
https://ift.tt/3aQsuVJ
Mesir News Info
Israel News info
Taiwan News Info
Vietnam News and Info
Japan News and Info Update
https://ift.tt/2yz8FVl
Bagikan Berita Ini
0 Response to "Cisco提出新信任標準，不只是強調零信任架構，供應鏈與資料治理的信任也要重新思考 - iThome Online"
Post a Comment