如何構(gòu)建零信任的云數(shù)據(jù)架構(gòu)

王英哲

云計算對CISO產(chǎn)生了深遠的影響。他們意識到其廉價的存儲、巨大的可擴展性、資源彈性和可隨時隨地從世界任何地方訪問，為他們負責保護數(shù)據(jù)的公司創(chuàng)造了競爭優(yōu)勢。但是這些相同的因素，尤其是它的可訪問性，使他們的工作變得更加困難。

云擴大了組織的攻擊面，以至于CISO必須保護跨多個云、工具和本地位置的數(shù)據(jù)。這進一步使他們將未經(jīng)授權(quán)的數(shù)據(jù)訪問風險降至最低的目標變得更加復(fù)雜，并使他們確保信息資產(chǎn)和技術(shù)得到充分保護的工作成為一項艱巨的任務(wù)。

更糟糕的是，傳統(tǒng)的安全和治理模型對云架構(gòu)無效，部分原因是每個云供應(yīng)商都有獨特的數(shù)據(jù)訪問機制，這增加了管理員犯下代價高昂錯誤的機會。

傳統(tǒng)的、集中的或指令的方法通過IT路由請求、訪問和策略來保護數(shù)據(jù)，這限制了用戶利用信息的速度。云和云資源的陣列需要更流暢的方法來保護訪問。

去中心化的方法也行不通，因為業(yè)務(wù)部門在實施有關(guān)如何使用數(shù)據(jù)和使用什么工具的政策方面有太多的選擇。這會造成業(yè)務(wù)部門和平臺之間的孤島和沖突，因為云架構(gòu)需要在設(shè)置、工具和部門之間更加統(tǒng)一。

委托治理模型正在成為更合適的方式，因為它是通過結(jié)合上述方法中的最佳方法來簡化多云安全性的理想選擇。它利用IT統(tǒng)一的、自上而下的策略（由業(yè)務(wù)線數(shù)據(jù)管理員定制），并基于IT為企業(yè)提供的安全平臺來訪問選擇的工具。然后，該平臺將這些由數(shù)據(jù)管理員配置的中央策略分發(fā)到跨云和本地的存儲庫或工具中，以實現(xiàn)零信任安全。

實現(xiàn)多云安全

委托模型使CISO能夠降低存儲和利用數(shù)據(jù)的風險，無論他們身在何處，通過在本地和云設(shè)置之間提供一致的數(shù)據(jù)安全性。這些環(huán)境受益于相同的集中式數(shù)據(jù)訪問策略，但是，這些策略是由熟悉用例并了解數(shù)據(jù)含義數(shù)據(jù)管理員，根據(jù)特定業(yè)務(wù)團隊的需求量身定制的。這種范式在不增加風險的情況下擴展了數(shù)據(jù)訪問速度。

強化這種方法的安全平臺在數(shù)據(jù)層發(fā)出細粒度的訪問控制。它支持基于數(shù)據(jù)管理員如何解釋和執(zhí)行集中策略的屏蔽、加密和標記化等技術(shù)。不需要用于混淆的其他工具集，同時組織還可以通過審計和報告有關(guān)誰訪問了哪些數(shù)據(jù)，以及調(diào)用了哪些策略來授予或拒絕訪問權(quán)限，從而可以清楚地了解治理過程。

內(nèi)部審計師可以使用這種可追溯性向監(jiān)管機構(gòu)證明合規(guī)性。例如，特定營銷團隊在構(gòu)建活動時嘗試訪問PII數(shù)據(jù)，但被拒絕訪問。還有未經(jīng)授權(quán)的訪問或復(fù)制數(shù)據(jù)等操作的警報。這些措施共同解決了CISO的主要關(guān)注點，即在整個企業(yè)中一致地應(yīng)用訪問策略。

利用混合云安全架構(gòu)

委托治理模型取決于集中、安全的數(shù)據(jù)訪問平臺的架構(gòu)靈活性。該架構(gòu)支持將策略和訪問控制機制推送到跨本地和云環(huán)境的分布式資源中。例如，將這些策略實施到S3存儲桶等存儲單元中，是鞏固零信任網(wǎng)絡(luò)同時降低數(shù)據(jù)泄露風險的基礎(chǔ)。

跨源系統(tǒng)應(yīng)用這些策略是將集中式和分散式方法與委托模型相結(jié)合的推動因素。政策仍然來自治理委員會，但它們最終會在更接近根數(shù)據(jù)、工具和業(yè)務(wù)用例做出決策的地方執(zhí)行。

最重要的是，這種方法仍然為CISO和他們的信息安全人員提供對安全問題的集中監(jiān)督。有一個單一的管理平臺，用于跨云和本地設(shè)置的可見性，同時可以根據(jù)角色、屬性和數(shù)據(jù)標簽輕松配置策略。

例如，銷售中的數(shù)據(jù)管理員可以訪問所有客戶數(shù)據(jù)，而負責特定區(qū)域的銷售人員只能查看與這些區(qū)域的客戶和潛在客戶相關(guān)的數(shù)據(jù)。因此，只有經(jīng)過授權(quán)的人員才能獲得對數(shù)據(jù)的授權(quán)訪問。

為企業(yè)保駕護航

在云優(yōu)先的世界中，委托方法是能夠降低未經(jīng)授權(quán)訪問整個企業(yè)數(shù)據(jù)風險的最有效方法。它為實施統(tǒng)一的、自上而下的策略提供了集中的好處，并具有將這些策略分發(fā)到用戶訪問數(shù)據(jù)來源的分散優(yōu)勢。

這種方法單方簡化了云和內(nèi)部環(huán)境的數(shù)據(jù)安全問題，使CISO及其組織能夠滿懷信心地進入云，這是他們習慣的，當他們的資源舒適地位于物理防火墻之后。這種對數(shù)據(jù)的一致、安全訪問可以解決日益增長的現(xiàn)代數(shù)據(jù)分布問題。