零信任并不一定意味着零信息共享

什么是零信任?

零信任安全模型假定网络内外的用户、数据和设备存在恶意。根据联邦首席信息安全官的说法，由于它可以限制对许多组织的运作至关重要的数据共享，因此它需要组织的技术和使命的合作才能正常工作。

零信任是一种用于保护现代数字商业环境的战略性网络安全模型。这些不断增长的环境包括公共云和私有云、SaaS应用程序、开发和维护、机器人流程自动化(RPA)等。零信任概念认为，组织不应该自动信任任何人，无论他们是在网络边界内还是在网络边界外。零信任模型要求试图连接到组织系统的人员和个人必须经过身份验证才能获得访问权限。零信任的主要目标是降低大多数组织在现代环境中遭受网络攻击的风险。

在过去20年的大部分时间里，联邦政府将其系统和网络分段，但允许认证用户“几乎看到其中的一切”，“如果他们有适当的访问权限”，你可以自由地控制它”，这是联邦政府在9/11事件后促进更多信息共享的更大转型的一部分。“这对信息共享非常有用。从安全的角度来看，这是一个挑战，因为这对我们的对手来说是一个机会。”

零信任架构

零信任架构可以通过在授予或保留访问权限时向标准登录凭据添加基于设备和位置的数据以及其他信任指标来帮助阻止这些攻击者。但是，如果安全框架也不考虑任务需求和其他上下文数据，那么这样做可能会损害预期的重要访问权限。

当信任为零时，机构将不得不重新评估谁可以在什么情况下访问哪些信息。与远程登录的员工相比，实际在联邦机构工作的员工可能拥有不同的访问权限和特权。当员工的角色(以及相应的访问权限)发生变化时，代理也必须更好地跟踪和快速更新。

建立零信任所需的技术并不特别复杂或难以实现。更棘手的是确保该机构有明确的准入规则。这些政策和决策“将来自理解数据和环境的任务方面，即业务方面。”这意味着首席信息官和首席信息官必须参与任务安全人员的培训。