“零”信任就是“无”信任。作为代表“缺乏”的概念，零信任无处不在。试水零信任项目的公司在忽视零信任方法的最初目标时遇到了挑战。零信任方法旨在用持续自适应的显式信任代替广泛存在于用户、设备、网络、应用和数据之间的隐性信任，有效提升业务各个环节的可信度。零信任方法的主要目标是从“信任，但验证”转变为“验证，然后信任”。我们不应隐式信任所有实体，而应不断评估上下文。零信任的次要目标是假设业务环境随时会被破坏，并在此前提下逆向设计安全防护方案。通过消除隐式信任并根据身份、自适应访问和综合分析持续评估用户和设备信任，零信任方法可降低风险并提高业务敏捷性。每家公司的零信任之旅可能不尽相同，但大体上可分为以下五个关键阶段。第一阶段：禁止匿名访问对公司内的用户角色和访问级别进行分类，清点所有应用程序，识别公司内所有数据资产。然后您可以开始整合身份和访问管理（包括角色和角色成员资格），并推广发现私有应用程序并维护已批准的SaaS应用程序和网站类别的列表。它还应该减少入侵者横向移动和隐藏应用程序以免受端口扫描、漏洞检测和签名提取的机会。单点登录(SSO)和多因素身份验证(MFA)也应作为强制性要求实施。这一阶段的具体工作包括：识别身份的来源和与其他身份的潜在联合，确定何时需要强认证，然后控制哪些用户可以访问哪些应用程序和服务。此阶段还需要构建和维护一个将用户（员工和第三方）映射到应用程序的数据库。公司还必须合理化应用程序访问权限，并删除因角色变更、离职、合同终止等原因不再需要的过时授权。还需要通过策略执行点引导所有访问，从而消除直接连接。第2阶段：维护一个明确的信任模型一旦您对您的应用程序和身份基础架构有了深入的了解，您就可以进入构建自适应访问控制的阶段：评估来自应用程序、用户和数据的信号，并为用户实施自适应策略。验证或发出警报。在此阶段，企业需要明确如何确定设备是否在内部进行管理，并为访问策略添加上下文（阻止、只读或根据不同条件允许特定操作）。在高风险情况下使用更强的身份验证（例如删除所有对私有应用程序内容的远程访问），并在低风险情况下减少使用强身份验证（例如受管设备以只读权限访问本地应用程序）。公司还应评估用户风险并为特定应用程序类型定义用户类别，同时不断调整策略以反映不断变化的业务需求。在应用活动中为授权建立信任基线也是企业现阶段应该完成的事情之一。第3阶段：实施隔离，限制影响范围继续消除隐式信任的主题，公司应尽量减少对高风险Web资源的直接访问，尤其是当用户还与托管应用程序交互时。按需隔离是指在高风险情况下自动触发的隔离，以限制被黑用户和危险网站的访问范围。在这个阶段，公司需要在访问有风险的网站或从非托管设备访问时自动触发远程浏览器隔离，并考虑将远程浏览器隔离作为CASB反向代理的替代方案，以处理重写SaaS应用程序时的错误行为。同时，公司应监控实时威胁和用户仪表板，以检测命令和控制(C2)尝试和异常情况。阶段4：实现持续数据保护接下来，我们必须了解敏感数据的存储位置和传输距离，并监控敏感信息在已批准和未批准的应用程序和网站之间的移动。公司应确定托管设备与非托管设备在数据访问方面的总体差异，并添加自适应策略的细节，以实现基于上下文的内容访问（例如完全访问、敏感或机密）。可以调用云安全态势管理来持续评估公共云服务配置，以保护数据并满足合规性要求。公司还可以考虑采用内联数据丢失防护(DLP)规则和政策来保护数据和遵守法规，以及定义静态数据DLP规则和政策，尤其是云存储对象文件共享权限和对文件共享和移动的支持.应用到应用集成。此外，除了全面采用和执行最小特权原则外，公司还应不断检查并消除过度信任。阶段5：通过实时分析和可视化进行完善零信任之路的最后阶段是实时丰富和优化政策。参考用户趋势、访问异常、应用变化、数据敏感度变化，评估现有政策的效果是否合适。在此阶段，公司应保持对用户应用程序和服务以及相关风险级别的可见性；它还可以增强可见性并深入了解云和Web活动，以实现对数据和威胁策略的持续监控和调整。此外，公司可以识别安全和风险管理计划的主要利益相关者（CISO/CIO、法务、CFO、SecOps等）并可视化数据以供他们理解。创建可共享的仪表板以查看不同组件的情况也是一个好主意。2020年和2021年的COVID-19大流行加速了数字化转型，现代数字化企业无需等待IT部门的许可。与此同时，现代数字业务越来越依赖通过Internet传输的应用程序和数据，无论您是否知道，在设计时从未考虑过安全性。很明显，需要一种新方法来通过简单有效的风险管理控制来实现简单方便的用户体验。
