零信任系统的误解

重点摘要

许多网络安全供应商错误地将他们的产品宣传为零信任Zero Trust系统。根据《VentureBeat》的报道，这种误解在行业内相当普遍，真正的零信任技术非常有限。知名分析师David Holmes指出，只有零信任网络访问ZTNA、微分段和特权身份管理/特权访问管理PIM/PAM才是零信任特定技术。其他技术如身份和访问管理IAM、网络自动化和端点加密虽然支持零信任，但本身并不属于零信任。为了解决这一误解，有必要实施一些基准，包括人与机器的IAM和PAM与供应商平台的兼容性、支持持续网络投资的零信任平台、风险驱动的零信任方法的供应商支持、平台和架构符合NIST 800标准以及在DevOps和系统开发生命周期中整合零信任。

详细内容

根据《VentureBeat》的报道，网络安全供应商在市场上对零信任系统的误宣传已经引起了广泛关注。David Holmes，Forrester的高级分析师表示：“我们多次看到这种情况。实际上，真正的零信任技术非常稀缺，包括零信任网络访问ZTNA、微分段和特权身份管理/特权访问管理PIM/PAM。”

关于零信任的几点重要说明：

Holmes还补充说：“许多其他技术，如身份和访问管理IAM、网络自动化和端点加密，可以支持零信任，但它们本身并不是零信任技术。”一个很好的规则是：如果供应商不是为零信任而设计该产品，那么它就不是零信任解决方案。

这种对零信任的误解促使实施一系列基准测试，包括：

人与机器的IAM和PAM兼容性：确保身份管理系统能够有效运作。对持续网络投资的支持：评估零信任平台的长期效用。风险驱动的零信任方法：确定供应商是否支持以风险为基础的策略。遵守NIST 800标准：确保平台和架构符合行业标准。在DevOps和系统开发生命周期中整合零信任：推动零信任在软件开发中的应用。

通过以上这些基准，企业能够更准确地评估和选择合适的零信任解决方案，以适应日益严峻的网络安全环境。