疫情下的远程办公,让零信任更火了

科技云报道原创。

三年的国内疫情防控,让很多行业已经习惯了远程办公。从疫情刚爆发时的手忙脚乱,到如今的淡定管理,远程办公已经内化为企业办公的一种常态模式。

 

 

但随着越来越多的员工以远程方式接入,访问公司内部的办公和生产系统,企业在传统办公模式下的安全边界瞬间被打破了。由于员工的访问行为不再局限于企业内网,接入设备也再不局限于企业资产,企业数据会在不同设备、内外网之间频繁流动,大大增加了企业应用安全和数据泄露风险。

如何保障远程办公的安全问题,成为疫情下众多行业的关注焦点。

 

零信任在国内迎来高速发展

据IDC研究显示,随着远程办公、业务协同、分支互联等业务需求快速发展,企业的员工、设备、合作伙伴以及客户需要通过多种方式灵活接入企业业务系统,导致基于边界的传统安全架构不再可靠,零信任成为一个必选项。

近几年零信任理念在技术圈非常火爆,以“持续验证,永不信任”为核心理念的零信任成为全球网络安全领域的热点话题,国内外无论是政府还是企业,都开展着大量的零信任研究和实践。

据ResearchAndMarkets研究报告显示,2020年,美国零信任安全市场规模约为54亿美元,预计在2020年-2027年,年复合增长率约为19%;作为世界第二大经济体中国,预计到2027年零信任将达到111亿美元的市场规模。

巨大的市场潜力,吸引了腾讯、阿里、华为、深信服、奇安信、绿盟等国内互联网和安全厂商的纷纷布局,同时也诞生了近百家以零信任为基础的初创安全公司。

零信任市场的欣欣向荣,让不少人认为2021年是国内零信任发展的元年。

但反观用户市场,对于零信任的落地却不那么笃定。

业界普遍认为零信任落地难点表现在几个方面:一是,难以找准落地场景;二是,难以改造现有安全体系;三是,成本高、投入大,难以持续管理;四是,难以评估实施效果和价值;五是,用户的使用习惯要改变。

总的来说,零信任的成功落地需要“找准落地场景”,“厘清零信任与安全、业务的关系”,不仅需要用户侧对于业务和场景的理解,还需要零信任方案对传统网络安全框架有便捷的适配,并用轻量化的方式降低用户的建设和维护成本,帮助用户完成新一代网络安全框架的转型。

但从目前国内零信任行业发展水平看,实属鱼龙混杂。很多产品算不上真正的零信任解决方案,只是传统的安全产品换了个包装;还有一些厂商暂时处于产品自用的阶段,并没有真正实现商业化,还在探索如何去落地外部客户。

这种行业乱象也在一定程度上加深了企业用户对于零信任的“不确定感”。

 

 

远程办公成为零信任的最佳切入点

尽管零信任在国内存在“供给偏热,需求偏少”的现状,但作为一种备受认可的技术趋势,零信任已在一些行业实现了落地应用。

据中国信通院调查显示,政府机关、信息技术服务业、金融业、制造业作为排头兵,零信任应用试点占比靠前,总占比达 53%。

其中,远程访问是当前企业实施零信任的主要驱动和优先选择,供应商的产品也更聚焦在该领域,远程办公、远程分支机构接入、远程运维三大场景占比居于前三,总占比达 46%。

在远程办公场景,零信任能够应对多样化终端设备远程接入带来的安全风险。一方面,零信任不再根据网络位置来验证身份和提供权限,而是基于多源数据进行权限判定,保证只有安全合法的访问行为被放行;另一方面,零信任强调按需分配和最小权限原则,大大降低了资源的可见性,减少远程攻击。

在远程运维场景,企业通过传统VPN和堡垒机对内网进行运维,存在身份冒用、权限管理混乱、审计薄弱等安全风险,若涉及公有云、私有云、混合云等多个环境的运维,需要切换VPN连接,效率低、体验差。

零信任安全以运维访问中的人和设备组合状态构建访问主体,为其设定满足需求的最小资源和最小权限,统一安全网关,在动态风险感知和安全控制下,高效地解决运维场景下面临的安全问题。

不难发现,以远程办公为代表的远程访问场景,正在成为零信任落地的最佳切入口。

高灯科技副总裁兼安全负责人莫晓盛在采访中表示,突如其来的疫情让公司远程办公需求猛增,每名员工的PC终端上要安装多个客户端,且不同厂商的客户端之间缺乏安全联动,无法发挥最大的安全效果。传统VPN产品也爆出高危漏洞,在远程办公需求量暴增的背景下扩容非常不便。基于这种情况,高灯科技开始测试并使用腾讯iOA零信任解决方案。

“如果按照传统方式,我们要部署多家厂商的安全产品,电脑上可能要安装七、八个终端,但是腾讯iOA给我们带来了一整套的防病毒、终端安全管控、VPN转入、数据防泄露等功能的综合性安全平台,一个运维人员就可以管理多个平台和系统,防护效果还比传统部署方式要好”,莫晓盛表示。

事实上,和高灯科技面临同样困境的政企机构不在少数。自疫情持续爆发以来,远程办公就成为国内政企机构业务运转的常态,从而使得零信任的发展迎来了新的分水岭。

近日,腾讯宣布iOA零信任解决方案落地终端突破100万端,成为国内首个突破百万终端的零信任产品,这也从侧面印证了零信任在国内的进一步成熟和落地。

 

 

零信任广泛落地更需本土化

从国家层面看,零信任在国内也迎来了“最好的时代”。

工信部2019年发布的《关于促进网络安全产业发展的指导意见(征求意见稿)》,已将“零信任安全”列入需要“着力突破的网络安全关键技术”。

在经历了三年的政策引导和市场培育,目前国内零信任技术发展到了什么阶段?在落地方面还存在哪些挑战?

腾讯零信任产品总经理杨育斌表示,中美在零信任的技术层面其实已经没有太大区别,更多是使用场景上的区别。

“欧美国家在企业上云、云原生上已经走得非常靠前,所以他们的零信任更多是基于资产在云上的保护措施。但中国的应用场景会更复杂,在落地过程中需要做很多思考和变通,去不断适应本土企业的一些要求”,杨育斌表示。

最明显的一个场景是VPN替代。

在国内,部分政企机构出于合规的要求,远程接入必须通过VPN。即使企业非常认可零信任的解决方案,但在合规要求下,零信任的接入也必须通过VPN,因此腾讯iOA的做法是在合规体系内兼容VPN协议,与VPN进行融合。

此外,零信任的落地部署,也需考虑本土企业应用场景的复杂程度。

例如,针对中小企业的远程办公,基本上小时级就可以实现基于云的零信任接入访问;但是针对大中型企业,由于内部数据交换场景复杂,需要和企业的业务系统、身份系统、审计系统进行接口对接,同时整个解决方案也需要进行全面规划、分期建设,落地周期会长达几个月乃至一年。

从企业角度看,落地零信任时主要面临平衡安全性与成本效益的挑战。

高灯科技信息安全专家王凯表示,零信任能够释放出原先比较冗余的IT安全工程师的资源,长远看这部分成本能够被缩减掉。从整体防护效果看,腾讯iOA零信任方案比传统安全部署方案要更好,同时还能节省系统资源占用,带来审计的便捷性,对于企业来说有比较可观的促进作用。

不过面对市场上琳琅满目的零信任方案,企业在选择适合自身方案落地时,仍需从技术、方案、案例、成本、使用体验等多个方面去考量。毕竟零信任并不是一个产品,而是一套整体的解决方案,背后体现的是厂商的综合实力。

以近两年发展迅猛的腾讯iOA为例,依托腾讯10 余年技术沉淀,结合了哈勃、TAV,内容安全、云检测四大安全引擎,井集成腾讯威胁情报中心,加上腾讯安全联合实验室矩阵的技术支持,在安全能力上百余次获得全球七大权威机构最高评级。同时,腾讯iOA具备腾讯云的连接能力,以及大型案例落地的丰富经验,体现了其零信任方案背后的综合实力。

值得一提的是,腾讯零信任标准工作组制定的接口标准,已实现了同18个行业安全厂商的对接,接口标准化促进了企业安全办公体系的融合,也进一步优化了办公体验。

 

结语

Gartner曾预测,到2023年,60%企业会逐步淘汰虚拟专用网(VPN)方式,采用零信任网络访问来进行远程方案。

国内疫情下的常态化远程办公,再一次将零信任推向应用的高潮,进一步催化着市场和供应商的成熟。零信任的大规模落地,已近在眼前。

 

【关于科技云报道】

专注于原创的企业级内容行家——科技云报道。成立于2015年,是前沿企业级IT领域Top10媒体。获工信部权威认可,可信云、全球云计算大会官方指定传播媒体之一。深入原创报道云计算、大数据、人工智能、区块链等领域。

为您推荐