网络安全检测|网络安全服务|网络安全扫描-香港墨客投资移动版

零信任安全建设的关键抓手是现代身份管理平台在企业的落地及全面应用，其建设和运营需要企业各干系方积极参与，可能涉及到安全部门、IT技术服务部门和IT运营部门等。企业数字化转型的关键决策者应该将基于零信任的身份安全架构上升到战略层面，确定愿景和路线图，成立专门的组织(或虚拟组织)并指派具有足够权限的人作为负责人。

在零信任架构下，IAM是安全基础和核心架构，如果企业还是和以前一样，仅仅将IAM视为业务基础架构，势必导致IAM的建设和运维降级为普通的IT项目，难以发挥IAM及零信任安全在企业数字化转型过程中的安全支撑作用。根据企业的具体职责分工情况，零信任项目的负责人可能由首席信息官(CIO)、首席安全官(CSO)、甚至首席执行官(CEO)亲自担任，无论如何，关键点在于，此责任人必须在企业内拥有较高的权力，确保能推动各部门共同建设和发挥IAM的安全支撑作用。

从企业数字化转型的战略高度，确定IAM建设项目的愿景和路线图，并指派强有力的项目负责人，是零信任安全建设至关重要的关键环节。

WHEN：什么时候引入零信任安全?

零信任安全是在现今严峻的安全态势和数字化转型浪潮驱动下的新型安全架构，企业引入零信任安全的最佳时机需要和企业数字化转型进程保持相同的步伐，应将零信任安全作为企业数字化转型战略的一部分，在企业进行云迁移战略或建设大数据平台的时候同步规划。

企业进行全新的基础设施规划或迁移时，需要由内至外的基于零信任进行整体安全架构设计和规划，细致梳理人员、数据、系统、应用的逻辑边界及安全需求，制定符合企业安全策略的全面的应用级、功能接口级和数据级访问控制机制，切不可在基础设施建设完毕后再叠加零信任。

对于尚无基础设施转型计划的企业来说，实施部分零信任安全实践也未尝不可，但企业必须意识到，这个过程难以一蹴而就，毕竟Google建设BeyondCorp耗时也超过六年，一种可能的实施方案是基于现代身份管理平台建设应用级的访问控制，确保应用访问的身份识别、授权策略的统一。

零信任安全是一种架构理念，因此，企业何时、如何实施零信任安全并无放之四海而皆准的金科玉律，企业应该遵循零信任安全基本理念，结合现状，逐步规划实施零信任，当企业完成数字化转型之时，零信任安全也就水到渠成了。

HOW：如何实现零信任安全?

前文提到，从技术方案层面来看，零信任安全是借助现代身份管理平台实现对人/设备/系统的全面、动态、智能的访问控制，下面以360ID零信任身份安全解决方案为例，介绍零信任安全的关键实践，包括：

1. 以身份为中心

通过手机即令牌的方式提供指纹识别、人脸识别等生物识别技术对用户进行身份确认，同时对用户智能手机终端进行病毒查杀、root/越狱检测，通过注册建立用户与设备的唯一绑定关系。确保只有同时满足合法的用户与可信的终端两个条件才能接入到业务系统。为了提高用户的使用便捷性，用户认证支持动态口令、二维码扫描、推送验证的多种身份认证方式。

2. 业务安全访问

通过可信接入网关接管企业所有应用、资源、服务器的访问流量，将访问控制规则设定为只允许通过可信接入网关对应用进行访问，防止内网访问逃逸问题。所有的业务隐藏在可信接入网关之后，只有通过身份安全认证与终端可信检测的用户才可以访问业务系统。

3. 动态访问控制

用户发起访问请求后，360ID智能身份平台基于多种源数据分析，包括安全策略、用户属性、环境属性、其他风险因子等，对此次访问进行授权判定，得到一个信任等级，最终根据评估得出的信任等级分配用户一个最小访问权限。

当然，如上几点关键实践离不开敏捷、智能、安全的现代身份管理技术的支撑，360企业安全集团基于强大的云计算和大数据计算技术和经验，利用360强大的安全积累，推出的360ID智能身份平台正是足以支撑零信任安全的现代身份管理平台。

结语

数字化转型推动了大数据、云计算、物联网、人工智能为代表的新一代信息技术应用，也掀起了以现代身份管理平台为技术基础的零信任安全热潮，安全从0开始，让业界携手同行，基于身份构筑新的安全边界!