零信任實施失敗的三大因素

史敏才

雖然零信任網(wǎng)絡訪問的價值和重要性如今怎么強調(diào)都不為過，但在實現(xiàn)它的過程中也有許多失敗的例子，尤其是中小型企業(yè)。零信任通常難以建立和維持，零信任的安全承諾非常吸引人，但對許多人來說，這種做法已經(jīng)變得不可行。

對零信任的重新審視表明，它并不一定那么復雜。事實上，零信任可以應用到企業(yè)現(xiàn)有的安全解決方案中，而不需要作為單獨的解決方案或難以掌握的全新解決方案來實現(xiàn)。有三大因素可以影響零信任實施的成敗，令人驚訝的是，它們并不是神秘的技術(shù)細節(jié)，而是管理原則。

是否為零信任鋪平了道路

影響零信任實施成敗的第一個因素是整體復雜性。復雜性是影響安全性的主要因素，過于復雜和困難的解決方案和策略會無法使用，并將促進繞過解決方案或?qū)嵺`的變通方法。員工在顯示器上貼有密碼的便箋就是一個很好的例子，這是他們應對嚴格的密碼政策的一種方式。

從解決方案或架構(gòu)的角度來看，在現(xiàn)有解決方案中加入零信任有助于降低復雜性。不需要安裝、維護和跟上各種變化的另一個系統(tǒng)或工具，可以減輕工作人員的工作量，這是另一件必須處理的事情。擴展一個現(xiàn)有的、熟悉的系統(tǒng)以提供零信任是非?？扇〉?。

一些安全套件或平臺正在或?qū)⒓{入全方位零信任服務。托管網(wǎng)絡安全服務也可能將零信任與它們的產(chǎn)品捆綁在一起。即使是面向中小企業(yè)的現(xiàn)代VPN，也已經(jīng)或?qū)⒉捎靡环N相對簡單的方式來實現(xiàn)零信任態(tài)勢。

是否適應當前的環(huán)境

影響零信任實施成敗的第二個因素是，是否適應當今的云計算環(huán)境，這涉及分布式組織的適應能力。如果零信任架構(gòu)需要在完全受控的網(wǎng)絡上部署組件，或者基于傳統(tǒng)的網(wǎng)絡和數(shù)據(jù)中心，都可能會阻礙部署的成功。如果SaaS應用程序、對數(shù)據(jù)和資源使用公有云以及主要或完全遠程工作人員的普遍性無法完全適應，那么零信任解決方案注定會失敗。

如果要實現(xiàn)零信任，還必須適應Web3和元宇宙技術(shù)。Gartner公司在GartnerIT研討會/Xpo2022上預計，到2027年，完全虛擬的工作空間將占企業(yè)對元宇宙技術(shù)投資增長的30 %，并將“重新想象”辦公體驗。零信任的失敗可能是“無法從這里到達那里”的問題，這阻礙了必要的工作或信息流的發(fā)生。這也可能過于復雜，阻礙或限制員工的自然工作方式。

Verizon公司最近發(fā)布的一份移動安全指數(shù)報告表明，66 %的受訪者預計，為了滿足業(yè)務或工作要求，他們將不得不犧牲安全性。另有79 %的受訪者表示，他們已經(jīng)不得不做出這樣的權(quán)衡，以滿足最后期限或目標。這意味著零信任要想成功實施，就不能妨礙工作效率，它必須符合現(xiàn)有的工作風格、流程和期望。

是否能夠應對未知的威脅

影響零信任實施成敗的第3個因素是，是否能夠應對有意和無意的威脅。零信任必須阻止惡意行為，同時也必須阻止完全偶然的行為。例如，分配或利用固定IP地址的能力有助于確保用戶和他們試圖訪問的資源的更大確定性。

還可能是加密隧道的開始和終止方式，無論是作為VPN還是作為應用程序與用戶之間通信的一部分，漏洞可能會導致網(wǎng)絡攻擊，網(wǎng)絡攻擊者可以通過這些漏洞規(guī)避零信任保護。

零信任實施的失敗不是一個選項

除了上述3個因素之外，成功或失敗可能取決于對企業(yè)的完整攻擊面，或員工和部門協(xié)作模式等事情的清晰理解。零信任架構(gòu)可能無法正確識別現(xiàn)有數(shù)據(jù)流或業(yè)務流程，不能同時保護和促進這些事情將意味著失敗。

零信任實施的失敗幾乎不是企業(yè)可以承受的選擇，隨著數(shù)據(jù)泄露持續(xù)升級，對違規(guī)行為的處罰不斷上升，并達到對業(yè)務至關(guān)重要的程度，大多數(shù)人都認為零信任是必要的。

毫無疑問，零信任項目的失敗將使它與其他IT失敗相提并論。根據(jù)Smart Insights公司發(fā)布的調(diào)查數(shù)據(jù)，在企業(yè)實施的項目中，63 %的CRM項目失敗，70 %的營銷自動化項目失敗，84 %的業(yè)務轉(zhuǎn)型失敗。不過，零信任實施的失敗并不一定是不可避免的悲劇。通過重新思考如何實現(xiàn)零信任，并將其整合到現(xiàn)有系統(tǒng)、基礎(chǔ)設(shè)施、工作風格和預期的未來變化中，可以極大地提高零信任實施的成功率。