传统上，IT 行业依赖 外围安全策略 来保护其最有价值的资源，如用户数据和知识产权。 这些安全策略涉及使用防火墙和其他基于网络的工具来检查和验证进出网络的用户。 然而，数字化转型和混合云基础结构迁移之旅正在改变各个行业开展业务的方式。 依赖网络外围已不再足够。
许多企业也在调整其业务模型。 它们提供了客户需要并想要的新型数字体验，同时也支持全球化、差异化的员工队伍。 最近的事件更进一步加速了这一数字化转型之旅。 突然之间，各个企业有成千上万的个人从家中电脑进行连接，脱离了 IT 部门的掌控。 用户、数据和资源分布在全球各地，难以快速、安全地连接起来。 而脱离了传统本地基础结构的保护，员工的家中环境更易受受到攻击，从而给业务带来风险。
雪上加霜的是，很多企业目前使用东拼西凑、未能很好集成的各种安全解决方案和工具来运营。 这样一来，安全团队就要花更多时间执行手动任务。 他们缺乏场景和洞察，难以有效减少企业的攻击面。 数据违规情况日益增多，全球监管也趋于增加，这些都加大了保护网络的难度。 不妨看看具体数据， 数据违规的平均成本接近 400 万美元，这包括丧失的业务和罚款。
应用程序、用户和设备需要快速、安全地访问数据，为此，有整个行业的安全工具和体系结构专门用于保护数据。 零信任解决了这种数据驱动的混合云环境的安全需求。 它为各个企业提供了对用户、数据和资产的自适应持续保护，并能够主动管理威胁。 换言之，从不信任、始终验证的这种做法旨在针对每一笔交易，给每一个用户、设备和连接构筑安全性。 应用零信任框架还有助于威胁防御者在其整个安全业务中获得洞察。 他们可以始终强制实施安全策略，并以精准的方式更快检测和响应威胁。 不过，这也产生了一些附带的好处，例如：
- 由于子网上的流量减少，增强了网络性能
- 提高了解决网络错误的能力
- 由于粒度更细，进一步简化了日志记录和监视过程
- 更快的违规检测时间
零信任体系结构在 2010 年由时任 Forrester Research 主要分析师的 John Kindervag 开发，是一个广泛的框架，承诺有效保护企业最有价值的资产。 其工作原理是假设每一个连接和端点都被视为威胁。 该框架针对这些威胁进行防护，无论是外部还是内部威胁，甚至是那些已经在内部的连接。 简而言之，一个零信任网络可以：
- 记录并查看所有企业网络流量
- 限制和控制对网络的访问
- 验证和保护网络资源
为了进行扩展，零信任安全模型会确保数据和资源在缺省情况下不可访问。 用户只能在合适的情况下进行有限的访问，称为最小特权访问。 零信任安全模型会验证和授权每一个连接，例如在用户通过应用程序编程接口 (API) 连接到应用程序时，或软件通过 API 连接到数据集时。 这可确保交互符合企业的安全策略的有条件需求。 零信任安全策略还会使用来自尽可能多的数据源的上下文，基于动态策略认证和授权每一个设备、网络流和连接。
为了成功实现零信任体系结构，企业需要连接来自每个安全域的信息。 整个公司的安全团队必须就优先事项达成一致，并相应调整访问策略。 他们必须保护整个企业中的所有连接，从数据到用户和设备，再到应用程序、工作负载和网络。 这种体系结构需要一个精心策划的策略和路线图，以实现和集成安全工具，达到以业务为中心的特定结果。 要使零信任模型正常起作用，采用者必须：
- 动员全企业齐心协力。
- 对所有 IT 和数据资产编目，并基于角色分配访问权限。
- 封锁一些常见漏洞。
- 针对 以数据为中心的方法 对数据分类（链接位于 ibm.com 之外）。
- 对网络分段以防止 内网漫游 （链接位于 ibm.com 之外），这是造成数据违规的一大原因。
- 在虚拟机和云服务器交叉漫游期间隔离和保护工作负载。
从外部视角来看，这可能像是具有限制性的过程。 但是，成功实现零信任模型有助于为安全团队将场景和洞察引入快速演化的攻击面，并改善用户的体验。
零信任需要安全能力和体验的广泛组合：身份、数据、设备和工作负载、分析和可视性、自动化和编排，以及网络和端点。
身份
定义并管理零信任安全策略，以通过 SSO、多因子认证和生命周期管理功能来管理所有用户和特权帐户的访问权。
数据
使用零信任安全实践保护关键数据。 根据风险发现、分类和管理数据访问。
设备和工作负载
通过各种零信任安全实践（从利用安全原则设计的应用程序到监视和管理端点）保卫企业。
分析和可视性
监视并强制实施带有智能分析的零信任安全策略。 查看并监视企业中进行连接的所有用户、资源和数据的行为。
自动化和编排
通过编排的操作和常用运行手册，快速解决在零信任实践过程中出现的安全问题并对其进行迭代。
网络和端点
应用公认的技能、专业知识和现代解决方案，以保护网络、基础结构和端点免受当今网络安全威胁的影响。
零信任模型需要场景 （链接位于 ibm.com 之外）才有效。 因此，安全团队必须收集并使用来自整个企业的信息，以创建快速决定每个连接的可信赖度所需的场景。 持续执行时，此模型可帮助企业加快安全授权连接的过程。 它支持合适的用户在合适的条件下获得对合适数据的合适访问权。 以下四个零信任原则建立了在安全工具之间共享场景的治理模型，以保护用户的连接、数据和资源。
定义场景
了解用户、数据和资源，以创建与企业一致的协调安全策略。 这个过程需要基于风险发现和分类资源，定义细粒度的资源边界，并根据角色和职责分隔用户。
验证并强制实施
通过快速、一致地验证场景并强制实施策略，以保护企业。 这一细节需要针对公司策略中定义的条件，积极监视和验证所有访问请求，以快速、一致地授予对合适资源的访问权限。
解决事件
通过采取有针对性的操作，在对业务影响最小的情况下解决安全违例。 此作业需要进行准备并采取有针对性的操作，例如，撤销个别用户或设备的访问权，调整网络分段，隔离用户，擦除设备，创建事件凭单，或生成合规报告。
分析和改进
通过调整策略和实践以做出更快、更明智的决策，从而不断提高安全态势。 此操作需要持续评估和调整策略、授权操作和修复手段，以缩小每个资源的影响范围。
解决方案
零信任安全性
数字化转型和混合多云迁移之旅正在改变我们开展业务的方式。 而且用户、数据和资源分布在全球各地，难以快速、安全地连接起来。 利用 IBM 零信任安全解决方案，您可以使企业数据和资源仅在合适的情况下以有限的程度可供访问，从而帮助对其进行保护。
网络安全性
攻击者一直在设法破坏您的网络，他们会使用复杂的方法来找到闯入的门道。 您是否充分了解这些情况，以便能阻止攻击？ 面对已经攻破防线的攻击者该怎么办？ IBM 可以提供新一代网络安全解决方案，帮助保护整个网络，智能地发现未知威胁，实时调整措施抵御威胁。
数据安全
数据为您企业的每个操作提供了关键基础，因此保护和安全使用数据对于零信任策略至关重要。 遗憾的是，网络犯罪分子也看到了您数据的价值，企图利用安全漏洞将您的信息置于风险之中。 无论是在本地或混合多云环境中，IBM 数据解决方案都可帮助您获得更好的可视性和洞察，以调查和修复威胁，并强制实施实时控制及合规。
身份管理系统
身份和访问管理 (IAM) 对于保护混合多云企业至关重要。 IBM 身份解决方案为每个用户、资产和数据交互提供安全且无摩擦的体验，为零信任战略奠定了基础。 授予访问权限，从任何设备提供单点登录，通过多因子认证增强安全性，支持用户生命周期管理，保护特权帐户等。
特权访问管理
数据泄露几乎总是由端点和特权凭证泄露引起的。 因此，监视和保护特权帐户变得至关重要。 要彻底保护敏感数据，请实施 IBM 特权访问管理 (PAM) 解决方案，以使端点和特权凭证保持安全。
云安全
将公共云服务集成到您的现有企业安全计划需要评估您的资源和业务需求，以开发全新的方法来适应您的文化和云安全策略。 要管理统一的混合多云安全计划，需要建立可视性和控制力。 IBM Security 产品和专家可以帮助您整合相应的控制措施，统筹工作负载部署，建立有效的威胁管理。
统一终端管理
远程工作继续成为新常态，因而移动设备已成为必不可少的业务工具。 移动威胁的范围和影响力也在扩大，极大地改变了安全格局。 IBM 统一终端管理 (UEM) 解决方案可支持组织控制并实施零信任策略。 您可以轻松地将解决方案集成到现有环境中；管理和控制您的所有移动设备、应用和内容；并运行 AI 驱动的分析，同时最大限度地减少用户操作。
终端安全
远程工作趋势和终端互联互通兴起的同时，也带来了一系列网络安全挑战。 为了应对这些问题，需要一种 AI 驱动的现代化终端响应与检测工具，能够主动阻止和隔离恶意软件和勒索软件威胁，并推进终端安全性向零信任的方向发展。
