安全管理者俱乐部沙龙 “零信任”还有哪些意想

炙手可热的“零信任”技术到底如何融入企业安全建设？“零信任”是否又能针对性地解决每一行独有的安全痛点，以及企业如何从0到1搭建基于零信任的安全体系?

近日，由腾讯安全主办的安全管理者俱乐部沙龙在深圳迎来首场活动，汇聚了来自金融、物流、投研、制造业、传媒、航空等行业的安全代表，围绕“零信任”话题展开谈论，本次安全管理者俱乐部沙龙创新地设置了主题分享和分组研讨等环节，形成了集痛点解析、需求配对、实践分享、成果沉淀等于一体的沙龙模式，为各行各业加速部署“零信任”提供的案例实操性的经验和前瞻性思考。

主题分享

李维春丨证券行业零信任场景探讨

券商是一个强监管的行业，要求办公网和交易网两张大网有效隔离，每张大网又通过防火墙隔离出不同的分区。虽然不同券商具体做法不一样，但整体大同小异。

在券商行业有三个场景可能需要“零信任”技术：

一是远程办公和外协人员访问网络资源。远程办公情况下，员工经常需要使用个人电脑通过VPN的形式接入公司网络。员工使用个人电脑没有准入控制的基线，容易引入安全风险。此外，个人电脑类型繁多，VPN客户端体验也很差；如果是外协人员通过VPN接入网络，安全人员无法掌握和控制其行动轨迹，同样容易引发安全风险。

二是定制化交易系统。现在很多私募基金投资机构会自己开发一套交易系统，放到券商的环境里面，和券商的交易系统对接。这套系统对于券商是不透明的，后者不知道它有多少安全漏洞，也不清楚私募基金投资机构通过自己的防火墙后进行了什么操作。

三是整体架构。券商的两张大网之间虽然做了有效隔离，但还是存在大量数据交互：有的是接口调用，有的是设备、应用之间互相访问，有时是用户身份访问设备或应用，这些都有可能导致安全隐患。

三大场景中，现有的网络架构已经无法应对新时代所带来的安全挑战，如何通过零信任来解决证券行业目前面临的网络安全问题、实现从现有架构向零信任架构的过渡，是业界共同的诉求。

周智坚丨一句话说清安全与零信任，产业互联下的安全业务架构

通过科技将生产资料、设备和客户的快速链接将使能企业，企业生产、经营和决策将平台化、自动化化、数据化、甚至智能化，这是产业互联接下来的大趋势，不转型的企业将逐渐被市场淘汰。

产业互联转型的大趋势下，信息安全就是生产安全，安全必须融入业务。针对产业互联下企业的安全诉求，周智坚创造性地提出了一套名为“1+N”的零信任架构落地方案：安全业务平台化运行的安全ERP作为核心的“1”，连接各类安全产品，如员工安全、终端安全、身份识别、权限管理、自动化工具、数据安全等基于零信任的安全能力，从而推动企业从传统网络架构向零信任网络架构转型。

“1+N”零信任架构方案的落地，既需要企业技术架构作为基础支持以及产品化和技术化，也需要安全ERP辅助才能产生更好的安全效果。

曹静丨零信任能力图谱解读与应用场景探讨

零信任是当下安全领域的热门话题，安全厂商纷纷推出了各自的零信任解决方案。百家争鸣之下，甲方企业颇有种乱花渐欲迷人眼的感觉。零信任到底有哪些能力？甲方该如何选择适合自己的解决方案？

腾讯安全在5月份发布的《企业级零信任能力图谱》，对零信任技术的能力做了详细列举。零信任的核心理念是“没有默认的信任，只有默认的威胁”，零信任不仅可以替换VPN，实现无边界的办公和运维场景，针对云上业务系统的安全访问，零信任可以隐藏互联网暴露面进而阻断黑客攻击。

具体应用场景上，目前零信任被广泛应用于东西向安全访问控制、分支机构访问总部、应用数据安全调用、统一身份与业务集中管控、全球链路加速访问、物联网业务场景中。

企业只有了解零信任建设的能力目标，根据能力视图、业务优先级规划建设场景路径，才能分场景、分阶段完成零信任整体能力体系的建设。

嘉宾演讲的间隙，为增加沙龙活动的趣味性，让与会企业对自身零信任实践水平有更好的认识，主办方特地邀请现场嘉宾参与了零信任成熟度模型自测。

分组圆桌研讨

主题分享后，沙龙活动进入备受期待的圆桌讨论环节。现场参会的嘉宾来自各行各业，每个行业都有不同的需求痛点及零信任思路和方法。为了让与会嘉宾更好地交流碰撞，从不同视角激荡出思维的火花，在头脑风暴和开放讨论中求同存异，圆桌环节采用了非常新颖的讨论形式——由腾讯安全的两位安全专家各带领一组嘉宾分别讨论，与会嘉宾从甲方立项视角和需求视角提出了针对八大零信任应用场景的具体需求。

在传媒行业，业务场景除了会涉及多个业务部门外，还包含了混合云的网络架构。网络安全架构极为复杂，其安全建设的关键痛点之一是：虽然通过容器化把各类数据、资产以及管理配置整合到了一起，但在进行单一机群访问控制时，会对整个网络层的规划产生影响。分享嘉宾认为，零信任为安全管理工作提供了一个新的视角和工具，能够成为未来网络安全管理工作的抓手。

民航领域的安全痛点则是——传统机场连接互联网的接口很少，可能就有一个是连接办公网络的。但随着私营机场的增多，对接外网的接口也将越来越多。这意味着暴露接口增多将会让机场更容易受到黑客的攻击，对零信任解决方案中的管控对外端口功能需求旺盛。此外，目前大多数机场和空管的外部访问管控，也需要借助零信任来实现进行南北向、东西向的安全管控。

在垂直行业之外，对于企业普遍存在的安全运营挑战，零信任也是一把好手。来自大型企业的安全专家认为，一直以来企业对于端上的安全管控非常严格，加之使用VPN的情况不多，所以一直以来所有的VPN都采用白名单制。在今年疫情的影响下，远程办公需求激增，就需要安全运营团队手动进行所有外部访问的权限控制，导致工作量激增，对业务的时效性造成了较大影响。如果能够通过零信任的动态评估功能来进行管控的话，不仅能节约人力成本、提升业务效率，还能进一步控制安全风险。

分组讨论结束后，两组各推举出一位代表对讨论结果进行圆桌成果输出展示，由裁判组对两组嘉宾的分享成果进行评判。

一组成果输出

零信任的方案落地面临着三大挑战：

一是如何说服领导，让他觉得“零信任”是有好处的。

二是如何让领导理解零信任和传统安全的区别，零信任能解决哪些问题。

三是零信任在不同行业有不同的落地方式，企业如何找到最适合自己的路径。

二组成果输出

零信任的应用场景分为三块——端上的需求、系统侧的需求和链路需要。

端上的需求包括Mac地址绑定、账号共用、分支机构、个人设备绑定BIOD、第三方机构访问、账号体系互认、网络变化、IOT六大块；系统侧的需求包括东西向、混合云等等。