■ 北京 李先龄

编者按：当下企业内部网络系统也变得不再安全，零信任模型是解决企业内网安全问题行之有效的方法。在实施零信任之时，请牢记本文所述的几个关键点。

在“新冠”病毒疫情流行时期，网络攻击者经常针对用户展开网络钓鱼活动，特别是利用疫情相关信息实施钓鱼攻击，窃取用户登录凭据。

员工在家远程办公期间，许多组织向远程员工及其设备授予了更多信任权限。但与此同时，在家工作的员工在不知不觉中就可能浏览潜在恶意网站，并感染恶意程序。而如果此时员工正在通过VPN 连接到公司网络进行办公，那么恶意软件就能够轻易地渗透到企业内网。

在此期间一旦用户的凭据遭到盗用或破坏，攻击者就可以利用该凭据在企业内网内横向传播恶意软件。因此，一旦传统安全防护网被穿透，就再也无法通过边界防御的方法来保护企业内网安全——传统上人们往往认为内网范围内的企业资产是比较安全的。

在企业网络安全形势日益严峻的当下，没有哪里能够确保绝对的安全。此时能确保企业安全的一个好方法是假设一切都是不可信的，即零信任思维。零信任旨在消除与用户访问位置（例如企业内外网上的用户）相关的绝对的信任，并将安全重点转移到应用、设备和用户上来。

在实施零信任之时，请牢记以下几个关键点：

零信任是一个过程，而不是产品

零信任很重要的一项特征是，它不是一个产品或工具，而是一种框架，是一种用于管理IT 和网络运营的方法，并有助于防止安全漏洞的出现。……