零信任

零信任是一种安全策略，其核心理念是组织不应自动信任其边界内外的任何事物，而必须在授予访问权限之前验证所有试图连接到其系统的事物。零信任基于“永不信任，始终验证”的原则。它旨在通过网络分段、阻止横向移动、提供第 7 层威胁防御以及实施细粒度的用户访问控制来保护现代数字环境。

零信任信息安全模型摒弃了传统的“城堡护城河”策略，这种策略让企业专注于防御自身边界，却想当然地认为内部一切安全无虞。许多专家认为“城堡护城河”策略行不通。《权力的游戏》一次又一次地证明了这一点：任何能够突破城墙的人都能也确实会杀了你。在现实世界中，最具破坏性的数据泄露往往发生在黑客突破企业防火墙，并能够畅通无阻地在内部系统中移动时。

专家表示，许多IT企业已经在零信任的许多方面进行了实践。他们通常已经部署了双因素身份验证、身份访问管理（IAM）和“最小权限原则”。

这对于中小企业来说意味着什么？

建议采用主动式零信任（永不信任/始终验证）方法。零信任信息安全模型摒弃了以往的“城堡护城河”策略，这种策略让企业专注于防御自身边界，却想当然地认为内部一切安全无虞。专家指出，“城堡护城河”策略行不通。《权力的游戏》一次又一次地证明了这一点：任何能够突破城墙的人都能也确实会杀了你。在现实世界中，最具破坏性的数据泄露往往发生在黑客突破企业防火墙后，能够畅通无阻地在内部系统中活动时。

专家表示，许多IT企业已经在零信任的许多方面进行了实践。他们通常已经部署了双因素身份验证、身份访问管理（IAM）和“最小权限原则”。

对于中小企业来说，零信任模型虽然难以采用，但却必不可少。采用零信任模型时，网络通常会根据分工进行划分。中小企业应采用双因素身份验证、强大的身份和访问管理 (IAM) 保护措施，并始终遵循最小特权原则来访问关键敏感数据。

其他建议

除了这些保护措施外，CyberHoot 还建议中小企业采取以下步骤来保障其业务安全。这些措施将为他们所需的成本和时间投入带来巨大的价值（尤其是在通过 CyberHoot 实施的情况下）。

1. 用政策和程序来管理员工。你至少需要制定密码策略、可接受使用策略、信息处理策略以及书面信息安全计划 (WISP)。
2. 培训员工如何发现和避免 网络钓鱼攻击. 采用 CyberHoot 等学习管理系统来教导员工他们需要的技能，使他们更加自信、高效和安全。
3. 使用网络钓鱼攻击测试员工的实践经验。CyberHoot 的网络钓鱼测试允许企业使用可信的网络钓鱼攻击来测试员工，并对未通过测试的员工进行补救性网络钓鱼培训。
4. 部署关键网络安全技术，包括 双因素认证 所有关键账户。启用垃圾邮件过滤、验证备份、部署 DNS 保护， 杀毒软件以及所有端点上的反恶意软件。
5. 在现代的在家办公时代，请确保通过验证个人设备的安全性（修补、防病毒、DNS 保护等）或完全禁止其使用来管理连接到网络的个人设备。
6. 如果您过去两年没有进行过第三方风险评估，现在就应该进行一次。在组织中建立风险管理框架对于利用有限的时间和金钱应对最严重的风险至关重要。
7. 购买网络安全保险，在灾难性故障情况下为您提供保障。网络安全保险与汽车、火灾、洪水或人寿保险一样，在您最需要的时候为您提供保障。

这些建议中的大部分都已内置于 Cyber​​Hoot 中。借助 Cyber​​Hoot，您可以管理、培训、评估和测试您的员工。立即访问Cyber​​Hoot.com并注册我们的服务。至少，您可以订阅我们每月发布的网络安全新闻简报，持续学习，掌握最新的网络安全动态。

要了解有关零信任的更多信息，请观看这个 2 分钟的简短视频：

来源： 

Palo Alto Networks公司

CSO在线

NIST——零信任

延伸阅读：

2021年XNUMX月网络安全行政命令（零信任架构）

DISA 发布国防零信任架构

相关术语：

双因素认证

最小特权原则 

网络细分 

了解 CyberHoot 如何保护您的业务。

线上一对一演示