重构网络安全体系零信任如何保障数据安全？

10月11日讯 随着5G、大数据、物联网、人工智能等技术的发展，企业数字化转型进程不断加快，网络空间安全风险日益凸显，对传统网络安全防护机制提出了新的挑战。

2021年全国网络安全宣传周将于10月11日至17日举行，论坛内容包括网络安全产业发展、网络安全标准、零信任安全实践、网络空间安全学科专业建设、数据安全等。

网络安全的重要性被提升到前所未有的高度，相关政策、法律法规不断完善。企业正在寻求网络安全的新解决方案，以零信任为代表的安全理念和架构脱颖而出。

网络空间安全迎来新挑战

随着新技术在不同行业的加速应用，数字化逐渐渗透到人们日常生活的各个角落。据103010数据显示，2020年中国数字经济规模将达到39.2万亿元，占GDP比重达到38.6%，保持9.7%的增速，成为确保经济稳定增长的关键动力。

智象科技高级副总裁吴表示，“云计算、大数据、物联网、人工智能、移动互联网”不断演进，目前正从消费领域进一步向产业领域渗透，带动产业升级。5G也将给工业物联网乃至整个物联网领域带来巨大的变革。

随着各行各业数字化进程的加快，远程访问和使用数据以及在网络空间生活、工作和生产是必然趋势。网络安全迎来了新的命题，用户随时随地安全访问、访问和生产，数据存储和保护成为新的挑战。

003010显示，77%的受访者表示破坏性网络攻击(如ransomware)的数量日益增加。

从外部环境来看，网络空间安全领域的法律法规不断完善，进一步带动了网络安全体系的重构。2014年，网络安全升级为国家安全战略，开启了中国网络空间治理的新范式。随后，网络安全技术迭代升级，相关监管政策逐步落实。《中国互联网发展报告2021》、《2021安永全球信息安全调查报告(GISS)》、《中华人民共和国网络安全法》等。对企业的网络安全管理提出了新的要求。

新形势下，中国企业对网络安全的投入越来越大。根据《中华人民共和国数据安全法》的预测，2021年中国网络安全市场投资规模将达到97.8亿美元，预计2025年将增长至187.9亿美元，5年复合增长率约为17.9%，增速继续领跑全球市场。

零信任安全脱颖而出

如今，网络安全不再是企业提前规划的布局。外部环境的变化和企业自身的发展需求都推动着安全技术的应用和不断演进，成为企业维持日常生产经营的重要保障。

零信任安全技术的实际应用和落地完全一样。2020年突如其来的新冠肺炎疫情，是推动其发展的重要转折点。

吴告诉中国网科技记者，疫情已经席卷而来，企业面临两大问题，一是如何快速恢复和保持有序生产，二是在业务发展受到远程和各种非企业设备终端限制的情况下，如何保障企业数据的访问安全和合规使用。特别是对于很多高科技企业来说，不仅要让员工能够远程访问和进行复杂的R&D和测试工作，还要保证敏感数据的安全传输、交换和合规使用。这在很多方面给企业IT带来了严峻的挑战，——。无论是用户的权限管理认证、数据分类、全生命周期的流转控制，都需要高层次的安全防护。而基于零信任概念的安全架构恰好满足了这一需求。

零信任安全的概念并不新鲜，早在2010年就提出来了，其核心思想是“永不默认信任，多链路连续认证”，即默认不信任网络内外的任何人/设备/系统，基于认证和授权重构访问控制的信任基础。零信任导向的安全架构从传统的网络中心化走向云时代的身份中心化，使得传统的安全边界无处不在，更加面向业务。

根据中国通信研究院发布的《中华人民共和国个人信息保护法》，数字化转型浪潮下，企业传统安全架构面临三大挑战：一是上云、应用架构升级等技术转型带来新的安全风险；第二，工作空间和供应链协作的数字化引入了更多的安全隐患。三是新零售、物联网等产品和服务创新面临各种安全威胁。零信任安全的理念可以最大限度地保证资源的可信访问，增强企业数字化转型中新IT架构的安全性。

需求从粗放式转向精细化 推动零信任落地与持续发展

疫情带来的网络安全需求不是过渡性的暂时需求，但新的网络安全解决方案不是一劳永逸的。吴认为，这是一个老大难问题，主要原因是行业需求在不断变化。

不同行业的数字化进程不同，其网络安全需求也不同，在网络安全新技术的应用中也表现出不同的接受度。根据吴的分析，从智象科技的客户反馈来看是很明显的。集成电路设计、软件开发等高科技行业的互联网公司，在数字化、上云的过程中速度相对较快，对新的业务形式和应用的接受度较高。传统行业在IT和安全的应用上比较保守和缓慢。零信任安全技术和产品的应用也是如此，安全厂商的产品也在不断探索更有效、更实用的开发路径。

以企业内部数据文件安全交换为例，后疫情时代，企业远程办公成为常规要求，远程办公安全成为标准。在业务发展中，企业逐渐对跨区域、跨权限的数据文件交换提出越来越精细化的要求。传统的VPN接入方式可以满足企业远程接入的需求，但其“连接”。

入即可信”的做法，难以实现用户权限的精细化管理。在跟很多敏感数据行业企业交流后，伍海桑发现，这些企业对于数据文件的安全交换有非常多的新需求，数据文件传输权限需要考量的因素更为复杂，例如跨境、跨部门、高安区低安区等不同情况的权限管控、审批审计等，这些都是仅用VPN解决不了的难题。

据伍海桑介绍，志翔科技承接的一个跨国金融机构客户需求中，就涉及到从国外总部访问中国区域数据，以及总部如何对企业在我国境内的数据进行合规审计等流程，这对合规性和网络安全都提出了极高的要求。集成电路设计类企业也面临棘手问题，例如在流片过程中，芯片设计企业希望自己的核心数据能安全传输到代工厂，但是其宝贵的IP在操作和传输过程中不被泄露，这就需要对操作者、接收者、使用者等不同人员设置不同的访问权限和操作许可。这些需求推动了基于零信任的产品和解决方案被快速的接受、部署，并不断在不同行业的实际应用中演进和发展，成为当下最受关注与青睐的安全“关键词”。

Gartner在2019年发布的行业报告《Market Guide for Zero-Trust Network Access》中预测，到2022年，面向生态系统合作伙伴开放的80%的新数字业务应用程序将通过零信任网络(ZTNA)进行访问。到2023年，60%的企业将淘汰大部分远程访问VPN，转而使用 ZTNA。

专注于数据安全保护的志翔科技早在2015年就提前布局，提出“无边界、零信任”的理念。面对企业不断升级的网络安全服务需求，志翔科技从2020年起逐步整合技术和产品形成 “T”型零信任产品框架。

“T”型框架中的南北纵向指的是为企业提供远程安全接入和访问的服务(南北向安全)，企业员工不需要通过VPN即可实现远程安全接入和办公，保证业务不中断。“T”型框架中的东西横向指的是在企业业务系统的云平台内提供微隔离和工作负载保护(东西向安全)。志翔科技基于更精细化的身份权限管控，对不同员工的工作负载、虚拟机、服务器等提供不同的精细化权限管理策略。目前志翔的零信任方案方案已经应用于金融、软件开发、能源、军工等行业。

数字化时代，我国的网络安全市场机遇与挑战并存，未来任重道远。我国网络安全占信息化的投入比例已提升至3%~5%，但对比美国、日本、德国等发达国家平均11%~13%的占比仍有差距。工信部在《网络安全产业高质量发展三年行动计划(2021-2023年)(征求意见稿)》中提出新目标，到2023年，网络安全产业规模超过2500亿元，年复合增长率超过15%。电信等重点行业网络安全投入占信息化投入比例达10%。