電子發(fā)燒友App
每一次波及全社會的重大事件，都會對某些行業(yè)產(chǎn)生革命性的影響。
17年前的非典疫情，推動了電商、網(wǎng)絡(luò)游戲的爆發(fā)式發(fā)展，催生了京東、盛大等行業(yè)巨頭。而今年春節(jié)前后的新冠肺炎疫情，幾乎在一夜之間，讓國內(nèi)每個人的生活和工作方式都迎來一場巨變，遠(yuǎn)程辦公就是其中之一。
在全球范圍，尤其是剛剛結(jié)束的美國舊金山RSAC大會上，遠(yuǎn)程辦公這個熱門話題也引起了業(yè)界的關(guān)注和熱議。比如，知名身份認(rèn)證廠商Auth0的CISO兼運(yùn)營副總裁瓊。佩平（JoanPepin）女士在接受采訪時表示，將允許員工居家遠(yuǎn)程辦公。同時，和遠(yuǎn)程辦公安全緊密關(guān)聯(lián)的零信任，成為RSAC2020熱度增長最快的熱詞之一。
關(guān)注度激增663%霸榜下載榜遠(yuǎn)程辦公爆發(fā)提前了5年
事實上，在歐美國家，特別是美國，遠(yuǎn)程辦公早就已經(jīng)是一種普遍存在的工作模式。據(jù)前瞻產(chǎn)業(yè)研究院的研究顯示，截至2017年，美國超過八成企業(yè)引入了遠(yuǎn)程辦公制度，已有3000萬人在家中遠(yuǎn)程辦公，占美國工作人口的16%-19%。數(shù)據(jù)顯示，至2017年，全世界已有24%的公司尤其是科技公司采用遠(yuǎn)程辦公方式；到2020年，大約50%的科技公司將會有約29%的員工實現(xiàn)遠(yuǎn)程辦公。
疫情之后的復(fù)工潮，使得國內(nèi)遠(yuǎn)程辦公熱度激增。根據(jù)某搜索引擎的大數(shù)據(jù)顯示，復(fù)工30天內(nèi)遠(yuǎn)程辦公需求環(huán)比上漲663%。
在AppStore免費(fèi)應(yīng)用排行榜上，釘釘長期霸榜，騰訊會議、企業(yè)微信也位居前幾位。據(jù)估計，全國至少有超過2億人進(jìn)入了遠(yuǎn)程辦公模式，除日常工作協(xié)同溝通、視頻會議等基本功能外，還有遠(yuǎn)程簽約、遠(yuǎn)程開發(fā)、遠(yuǎn)程運(yùn)維、遠(yuǎn)程客服、遠(yuǎn)程教學(xué)、企業(yè)在線直播等更復(fù)雜豐富的應(yīng)用。
有觀點(diǎn)認(rèn)為，雖然說國內(nèi)目前的大規(guī)模遠(yuǎn)程辦公是新型冠狀病毒肺炎驅(qū)動的一次黑天鵝事件，但事實上遠(yuǎn)程辦公原本就已經(jīng)成為一種必然的發(fā)展趨勢，只是因為疫情的爆發(fā)，讓這種趨勢提前到來。藍(lán)信移動CEO路軼認(rèn)為，“從市場數(shù)據(jù)分析來看，可以說移動辦公普及進(jìn)度至少提前了三到五年?！笨梢赃@么認(rèn)為，遠(yuǎn)程辦公不應(yīng)被看作特殊時期的一種特殊的辦公形式，而應(yīng)該將其作為面向未來工作模式的一種常態(tài)。
遠(yuǎn)程辦公普及或致網(wǎng)絡(luò)安全威脅兩年內(nèi)激增
便利性和安全性，往往是一對矛盾，遠(yuǎn)程辦公也不例外。遠(yuǎn)程辦公需求的爆發(fā)式增長，一方面為穩(wěn)定社會經(jīng)濟(jì)發(fā)揮了重要作用，同時也給信息化系統(tǒng)帶來巨大的安全挑戰(zhàn)：
為了確保移動辦公的運(yùn)行和效率，傳統(tǒng)辦公網(wǎng)絡(luò)的邊界被徹底打破，各單位不得不讓大量沒有安全保障的設(shè)備，通過各種網(wǎng)絡(luò)，任其接入原本戒備森嚴(yán)的內(nèi)部信息系統(tǒng)，由此引發(fā)的安全風(fēng)險也呈幾何級劇增，有可能導(dǎo)致災(zāi)難性后果，保障遠(yuǎn)程辦公的網(wǎng)絡(luò)安全成為當(dāng)前最迫切的任務(wù)?！斑@就像沒帶防護(hù)裝備就緊急出發(fā)的消防隊員，赤手空拳暴露在沖天大火中”，一位RSA與會專家說道。
奇安信安全專家張澤洲表示，遠(yuǎn)程辦公迅速普及，但因為研發(fā)時間過短，網(wǎng)絡(luò)安全卻成為被嚴(yán)重忽視的一面，網(wǎng)絡(luò)安全規(guī)劃及措施嚴(yán)重滯后。這就帶來了全新的安全風(fēng)險，主要表現(xiàn)在三個方面：
首先是網(wǎng)絡(luò)暴露面的增加。為了支撐遠(yuǎn)程辦公，更多的業(yè)務(wù)系統(tǒng)需要對互聯(lián)網(wǎng)開放，無論是通過端口映射將業(yè)務(wù)系統(tǒng)直接開放公網(wǎng)訪問，還是使用VPN打通遠(yuǎn)程網(wǎng)絡(luò)通道，都是對原本脆弱的網(wǎng)絡(luò)邊界打上了更多的洞，敏銳的攻擊者一定不會放過這些暴露面。
其次是接入網(wǎng)絡(luò)的人員、設(shè)備、系統(tǒng)的多樣性呈指數(shù)型增加。遠(yuǎn)程辦公模式允許員工、外包人員、合作伙伴等各類人員，使用家用PC、個人移動終端，從全國各地全天候的遠(yuǎn)程訪問業(yè)務(wù)。參差不齊的終端接入設(shè)備和系統(tǒng)，具有極大的不確定性，各種接入人員的身份和權(quán)限管理混亂，這些都會給企業(yè)網(wǎng)絡(luò)帶來了極大風(fēng)險。
最后是數(shù)據(jù)流動的復(fù)雜性。企業(yè)的業(yè)務(wù)數(shù)據(jù)在復(fù)雜的人員、設(shè)備、系統(tǒng)之間頻繁流動起來，原本只能存放于企業(yè)數(shù)據(jù)中心的數(shù)據(jù)不得不面臨在員工個人終端的留存，企業(yè)數(shù)據(jù)和個人數(shù)據(jù)甚至混在一起，企業(yè)數(shù)據(jù)的機(jī)密性難以確保，數(shù)據(jù)泄露和濫用風(fēng)險大幅增加。
可見，遠(yuǎn)程辦公的復(fù)雜性導(dǎo)致企業(yè)已經(jīng)不存在單一的、易識別的、明確的安全邊界，或者說，企業(yè)的安全邊界已經(jīng)被瓦解，傳統(tǒng)解決方案難以應(yīng)對。尤其是近年來外部攻擊的規(guī)模、手段、目標(biāo)等都在演化，有組織的、攻擊武器化、以數(shù)據(jù)及業(yè)務(wù)為攻擊目標(biāo)的高級持續(xù)攻擊屢見不鮮，可以說企業(yè)的網(wǎng)絡(luò)安全邊界原本就已經(jīng)很脆弱，遠(yuǎn)程辦公讓這種脆弱性雪上加霜。
張澤洲分析認(rèn)為，按照目前遠(yuǎn)程辦公的井噴式增長趨勢，未來1-2年，將是企業(yè)網(wǎng)絡(luò)安全事件的集中爆發(fā)期，如果不及時采取對應(yīng)的安全措施，損失將不可估量。就拿剛剛不久前的微盟刪庫事件為例，一個員工的不當(dāng)操作，就使得市值100多億港幣的公司，三天內(nèi)市值蒸發(fā)超過30億港幣，縮水近1/4。
遠(yuǎn)程辦公常態(tài)化趨勢下的安全思考
針對遠(yuǎn)程辦公常態(tài)化的趨勢和其面臨的安全挑戰(zhàn)，安全界應(yīng)該結(jié)構(gòu)化的思考和應(yīng)對，奇安信安全團(tuán)隊提供了如下建議：
常態(tài)化思維審視遠(yuǎn)程辦公安全
國內(nèi)目前大規(guī)模的遠(yuǎn)程辦公，導(dǎo)致網(wǎng)絡(luò)威脅加劇，導(dǎo)致傳統(tǒng)的邊界安全體系失效，但業(yè)界應(yīng)該清晰的意識到，這些安全挑戰(zhàn)一直就存在，并非遠(yuǎn)程辦公導(dǎo)致了這些安全調(diào)整，而是因為安全架構(gòu)沒有及時跟上節(jié)奏，遠(yuǎn)程辦公只是把這些問題放大了而已。
事實上，數(shù)字化轉(zhuǎn)型推動著云、大、物、移、智等新技術(shù)的采用，早就已經(jīng)埋下了邊界瓦解的種子，業(yè)界應(yīng)該直面這種趨勢，把遠(yuǎn)程辦公看成是現(xiàn)代企業(yè)業(yè)務(wù)的一個有機(jī)組成部分，作為一種常態(tài)，企業(yè)“邊界”之外的人、設(shè)備、系統(tǒng)接入網(wǎng)絡(luò)也是不可逆轉(zhuǎn)的趨勢，企業(yè)的業(yè)務(wù)和數(shù)據(jù)走出“邊界”上云也是信息技術(shù)發(fā)展的必然。
基于常態(tài)化思維，審視現(xiàn)有的安全架構(gòu)，將遠(yuǎn)程辦公作為企業(yè)數(shù)字化轉(zhuǎn)型的一個業(yè)務(wù)場景，避免將遠(yuǎn)程辦公作為一個單點(diǎn)進(jìn)行加固，而是應(yīng)該針對企業(yè)不得不面臨的新型IT環(huán)境進(jìn)行安全構(gòu)建。
基于零信任架構(gòu)進(jìn)行安全革新
遠(yuǎn)程辦公常態(tài)化，或者說網(wǎng)絡(luò)的無邊界時代，應(yīng)該假設(shè)系統(tǒng)一定有未被發(fā)現(xiàn)的漏洞、一定有已發(fā)現(xiàn)但仍未修補(bǔ)的漏洞、假設(shè)系統(tǒng)已經(jīng)被滲透、假設(shè)內(nèi)部人員不可靠，這“四個假設(shè)”就徹底推翻了傳統(tǒng)網(wǎng)絡(luò)安全通過隔離、修邊界的技術(shù)方法，徹底推翻了邊界安全架構(gòu)下對“信任”的假設(shè)和濫用，基于邊界的網(wǎng)絡(luò)安全架構(gòu)和解決方案已經(jīng)難以應(yīng)對如今的網(wǎng)絡(luò)威脅。
面對越來越復(fù)雜嚴(yán)峻的網(wǎng)絡(luò)安全形式，零信任架構(gòu)應(yīng)運(yùn)而生。零信任安全體系認(rèn)為默認(rèn)情況下不應(yīng)該信任網(wǎng)絡(luò)內(nèi)部和外部的任何人/設(shè)備/系統(tǒng)，需要基于認(rèn)證和授權(quán)重構(gòu)訪問控制的信任基礎(chǔ)。零信任對訪問控制進(jìn)行了范式上的顛覆，其本質(zhì)是以身份為基石的動態(tài)可信訪問控制，是一種網(wǎng)絡(luò)/數(shù)據(jù)安全的端到端方法，關(guān)注身份、憑證、訪問管理、運(yùn)營、終端、主機(jī)環(huán)境和互聯(lián)的基礎(chǔ)設(shè)施。
近幾年，零信任越來越受到業(yè)界的認(rèn)可，Google、微軟、亞馬遜眾多領(lǐng)導(dǎo)廠商都大力推動零信任的應(yīng)用。2018年網(wǎng)絡(luò)巨頭思科不惜斥資23.8億元收購身份安全廠商DUO。無獨(dú)有偶，2018年奇安信提出了“安全從0開始”并在國內(nèi)率先推出了零信任安全整體解決方案，把國內(nèi)零信任的這股風(fēng)也吹了起來。
到2019年，RSAC上主打零信任的廠商就逐漸開始增多，大致有39家，NIST也推出了《零信任架構(gòu)》標(biāo)準(zhǔn)草案，美國國防創(chuàng)新委員會DIB發(fā)布的《零信任架構(gòu)建議》白皮書中更是直接建議美國國防部應(yīng)將零信任實施列為最高優(yōu)先事項。
而到2020年，RSAC上打著零信任標(biāo)簽的廠商就已經(jīng)有91家之多，是去年的兩倍以上，零信任也因此成為了RSAC2020熱度增長最快的熱詞之一。
結(jié)合國內(nèi)的政企客戶實踐，奇安信賦予了零信任架構(gòu)四大關(guān)鍵能力：以身份為基石、業(yè)務(wù)安全訪問、持續(xù)信任評估和動態(tài)訪問控制，最終在訪問主體和訪問客體之間建立一種動態(tài)的信任關(guān)系，并基于信任關(guān)系賦予動態(tài)的訪問權(quán)限，其本質(zhì)是以身份為基石的動態(tài)訪問控制。
奇安信認(rèn)為，在遠(yuǎn)程辦公常態(tài)化的時代，應(yīng)該基于零信任對安全架構(gòu)進(jìn)行革新，基于零信任構(gòu)建內(nèi)外網(wǎng)一體的業(yè)務(wù)訪問平臺，在人員、設(shè)備和業(yè)務(wù)之間構(gòu)建一張?zhí)摂M的基于身份的邏輯邊界。同時針對核心業(yè)務(wù)和數(shù)據(jù)資產(chǎn)，梳理訪問這些資產(chǎn)的各種訪問路徑和場景，針對各種場景構(gòu)建一體化的零信任動態(tài)訪問控制體系，并逐漸演進(jìn)為“一個中心”+“五張過濾網(wǎng)”的整體安全體系。（“一個中心”指的是安全運(yùn)營中心，“五張濾網(wǎng)”指的是網(wǎng)絡(luò)、身份、應(yīng)用、數(shù)據(jù)和行為五張濾網(wǎng)。）
加強(qiáng)員工安全教育和培訓(xùn)
遠(yuǎn)程辦公的安全，離不開加強(qiáng)員工的安全教育和培訓(xùn)。今年RSAC大會的主題是“人的因素”，事實上，任何時候，人永遠(yuǎn)是安全必不可少的因素，奇安信在幾年前也曾提出過“人是安全的尺度”的思想。遠(yuǎn)程辦公場景下，員工面臨的網(wǎng)絡(luò)風(fēng)險和現(xiàn)場辦公存在較大的差異，員工現(xiàn)有安全意識和遠(yuǎn)程辦公的安全現(xiàn)狀之間會出現(xiàn)鴻溝，并且由于辦公場所的變更，員工的安全意識會出現(xiàn)一定程度的弱化。
因此，奇安信認(rèn)為，需要針對性的加強(qiáng)員工安全教育和培訓(xùn)，幫助員工了解他們可能無意間引入企業(yè)的安全風(fēng)險，并對場景風(fēng)險的緩解和處置方式進(jìn)行培訓(xùn)，降低由于缺乏意識或無意之間的意識弱化導(dǎo)致的安全風(fēng)險。
遠(yuǎn)程辦公和安全建設(shè)需同步規(guī)劃、同步推進(jìn)
“網(wǎng)絡(luò)安全和信息化相輔相成，安全是發(fā)展的前提，發(fā)展是安全的保障，安全和發(fā)展要同步推進(jìn)?！睂τ谘杆籴绕鸬倪h(yuǎn)程辦公更是如此?！懊鎸σ呀?jīng)提前到來的遠(yuǎn)程辦公浪潮，對于每一個企業(yè)主，都需要汲取過去信息化和安全相互獨(dú)立并行的教訓(xùn)，而是在戰(zhàn)略規(guī)劃之初，就將兩者同步考慮和部署下去，只有這樣，才能讓企業(yè)把握住遠(yuǎn)程辦公的浪潮，實現(xiàn)安全、平穩(wěn)的數(shù)字化、移動化轉(zhuǎn)型和升級?！睆垵芍拚劦健?/p>
工商網(wǎng)監(jiān)
評論