[庆元]百山祖镇老书记“传带”新书记 换届不换初心

数字化转型正在塑造一个新的常态。 组织正在接受数字化转型，通过跟踪来管理持续的业务环境更改：

• 转变业务模式和合作关系。
• 技术趋势。
• 监管、地缘政治和文化力量。

此外，COVID-19 远程工作加速了这一转型，并将安全性从成本中心转移到增长的战略驱动因素。

零信任是数字业务的安全性。 数字化转型需要更新传统安全模型，因为传统安全方法不符合业务敏捷性、用户体验和持续演变威胁的当前要求。 组织正在实施零信任来应对这些挑战，并支持随时随地与任何人一起工作的新的常态。

然而，从传统安全模型转变为零信任代表了一次重大变革，需要整个组织的认可、普遍采用和变更管理。 业务领导者、技术领导者、安全领导者和安全从业者在创建敏捷的零信任安全方法方面都发挥着关键作用。

许多安全架构师和 IT 团队请求帮助与业务主管沟通、跟踪进度和推动采用。 本指南通过提供以下方法帮助安全和技术团队与零信任业务主管协作：

• 建议跨组织的业务领导者实现零信任目标。
• 实施零信任架构的有条不紊和分阶段的方法。
• 跟踪进度的系统方式，范围限定于业务领导者。
• 为采纳零信任模型而精心策划了最相关的资源，涵盖从可向业务领导者展示的幻灯片到技术实施指南和用户信息图。

Microsoft的执行董事长兼首席执行官 Satya Nadella 表示：“我们的目标是通过零信任体系结构来帮助每个组织增强其安全功能，该体系结构基于我们全面的解决方案，跨所有云和平台进行标识、安全、合规性和设备管理。

作为Microsoft合作伙伴，NBConsult 为本采用指南做出了贡献和提供材料反馈。

零信任需要获得最高管理层的认同

零信任保护企业资产，无论其位于何处，去往何处。 零信任是一种主动、集成的安全方法，需要知道哪些业务资产和流程最重要的保护，同时保护这些资产，同时保持业务敏捷性。

采用零信任方法需要跨 C 套件进行购买。 随着威胁格局的扩大，关键攻击变得更加常见，各职能领域的业务领导者越来越关注组织采用的网络安全方法。

零信任允许整个 C 套件和企业接受一个可衡量的业务成果，该结果与减少威胁和提高工作效率保持一致。

零信任为市场中看到的两种主要方案增加价值：

1. 符合业务成果的正式安全策略。 此零信任方法通过在整个业务之间共享并在每个级别从上到下采用的值，提供对整个业务的安全性的整体视图。 这通常由 CISO 主导，业务成果作为零信任报告功能的一部分不断进行跟踪。
2. 将安全性委派给 IT 职能，其中特别将安全性视为一种独立的技术领域，与高管的参与和整合关系不大。 这通常侧重于安全性的短期成本优化，而不是将其作为业务风险进行管理，通常将安全性进一步分离为非集成的“最佳品种”独立解决方案。

零信任提供了一种将垂直解决方案集成到单个愿景的方法。 此愿景支持一致的业务功能和结果，并提供关于安全状态的持续可度量指标。

传统上，CISO 或 IT/安全管理器设置策略或至少安全技术选择。 然而，需要其他 C 级领导人的支持，以证明额外“安全”支出的合理性。 在零信任安全策略下，其他 C 套件成员必须参与零信任之旅，了解安全是符合业务成果的共同业务责任。

下面是各种 C 级函数采用的可能函数的通用视图，以及它们如何与使用零信任的安全集成愿景保持一致。

零信任原则适用于首席执行官层级

零信任是基于三个原则的策略和体系结构。

零信任功能领域和技术体系结构

零信任的三个原则适用于防御领域。 这些有时称为 IT 管理的功能领域或规则。 许多组织围绕这些领域进行结构化，并且由专门化的个人团队组成。

零信任需要在这些领域和团队中采用集成方法，因此获得高管层的支持非常重要，并在整个组织中制定精心的战略和计划。

在数字资产中应用零信任策略时，独立考虑处理每个域区域会不太有用。 这与标识团队无法完成所有建议一样，零信任焦点可以移动到管理终结点的团队。 零信任策略将这些功能区域一起应用于保护数字资产中的区域，然后扩大其保护范围。

例如，标识团队在使用 Microsoft Entra 条件访问策略方面的进展有限，必须与终结点团队协调，以共同构建保护措施。

下图将这些功能区域集成到统一的零信任体系结构中。

在图中：

• 每个功能区域都表示：标识、终结点、网络、数据、应用、基础结构
• 零信任通过策略和策略优化跨所有功能领域集成保护。
• 威胁防护将整个组织的信号实时汇集在一起，以便提供攻击的可见性，并通过自动化作和事件响应跟踪简化修正。

下一部分讨论如何开始零信任之旅。 我们将使用 “标识” 功能区域作为示例。

零信任采纳倡议

熟悉适用于 Azure 的云采用框架的客户询问了“零信任采用框架在哪里？”

适用于 Azure 的云采用框架是将新应用和服务引入组织的一个有条不紊的过程。 重点是组织可以遵循的成熟流程，以将应用或服务引入环境。 缩放动作对添加到数字资产的每个应用重复此过程。

采用零信任策略和体系结构需要不同的范围。 这是关于在整个 数字化环境中引入新的安全配置。 刻度运动为二维：

• 获取零信任架构中的一部分（例如数据保护），并在整个数字化资产中扩展此保护。
• 对零信任体系结构的每个附加部分重复此过程，从战略快速胜利和基础部分开始，然后推进到更复杂的部分。

与适用于 Azure 的云采用框架一样，此零信任采用指南将按照下一部分中所述的采用方案来解决工作。

下图总结了这两种类型的采用运动之间的差异。

此零信任采用指南使用与 Azure 云采用框架相同的生命周期阶段，但改编为零信任。

下表描述了生命周期阶段。

业务场景

此零信任采用指南建议通过以下业务方案构建零信任策略和体系结构：

• 快速实现安全状况的现代化
• 保护远程和混合工作
• 识别和保护敏感业务数据
• 防止或减少因违规造成的业务损失
• 满足法规和合规性要求

每一个业务方案都在一篇文章中介绍，该文章介绍如何从构建业务案例开始，在各个生命周期阶段推进技术工作。 在这一过程中，会提供最适合的资源。

其中每个业务方案将零信任的工作分解为可在四个实现阶段实现的可管理部分。 这有助于在完成实现零信任体系结构的不同层时确定优先级、前进和跟踪工作。

本指南包括一个 PowerPoint 幻灯片组，其中包含可用于向业务主管和其他利益相关者演示工作的进度幻灯片，并在总体层面跟踪进度。 这些幻灯片包括有助于跟踪进展并向利益干系人展示的功能。 下面是一个示例。

本指南还包括一个 Excel 工作簿 ，其中包含每个业务方案的工作表，可用于分配所有者并跟踪每个阶段、目标和任务的进度。 下面是一个示例。

在整个业务场景中，实施阶段大致对齐，这样跨场景实现第 1 阶段的目标，有助于使组织在各个方面共同进步。

开始零信任之旅

如果你正在开始零信任之旅，该旅程符合业务场景，或者希望接受零信任作为战略防御理论，那么成功可能很难衡量。 这就是因为安全性无法通过简单的通过/失败型评估。 安全更像是一个承诺的过程和旅程，而零信任为此提供指导原则。

将此采用指南用作流程框架，首先建立并记录我们的安全策略，非常类似于项目初始文档（PID）。 在应用策略的原则时，您至少应该记录的是：

• 你在做什么？
• 你为什么要这么做？
• 你如何达成一致并衡量成功？

每个业务方案都包含一组不同的资产，其中包含用于清点的不同工具。 从方法上来说，从每个业务方案的资产清单和分类开始：

1. 资产标识： 要保护哪些资产，例如标识、数据、应用、服务和基础结构？ 可以使用上面提到的功能区域作为开始位置的指南。 资产标识构成了 “定义策略 ”和 “计划 生命周期”阶段的一部分。 定义策略阶段可以阐明特定方案，而计划阶段将记录数字资产。
2. 资产分类： 每个标识的资产（如标识、业务关键数据和人力资源数据）有多重要？ 资产分类是 “就绪” 阶段的一部分，开始确定每个资产的保护策略。
3. 资产管理： 如何选择保护（治理）和管理（管理）这些资产？
4. 资产恢复： 如何从资产被破坏或失去控制中恢复？

每个业务方案都建议如何清点，以及如何保护资产并报告进度。 虽然在业务方案中不可避免地存在一些重叠，但这种采用指南试图通过解决主要业务方案中的资产类型来尽可能简化。

跟踪进度

在整个零信任采用过程中跟踪进度至关重要，因为它允许组织监视和衡量战略目标和目标。

需要跟踪和度量的事项

Microsoft建议采用两种方法来跟踪进度：

1. 根据缓解业务风险衡量进度。
2. 衡量在零信任体系结构中实现战略目标的进度。

许多组织使用国际标准化组织（ISO）标准资源和工具来衡量组织的风险。 具体说来：

• ISO/IEC 27001：2022

  • 信息安全、网络安全和数据保护
  • 信息安全管理系统
  • 要求

• ISO 31000

  • 风险管理

这些标准中的要求和准则是通用的，适用于任何组织。 它们提供了一种结构化和全面的方法来查看和衡量适用于组织的风险，以及缓解措施。

确定和了解适用于组织的特定风险有助于确定零信任体系结构中最战略目标的优先级。

如何跟踪和度量

组织识别并优先考虑最具战略性的技术目标后，即可制定分阶段实施路线图。 然后，可以使用各种工具跟踪进度。

可自定义跟踪报告

Microsoft提供可自定义的 PowerPoint 和 Excel 跟踪工具。 这些内容预先填充了根据零信任业务方案组织的目标和任务。 可以使用自己的优先级、目标和团队成员自定义这些项。 有关详细信息，请参阅 评估和进度跟踪资源。 可以从零信任合作伙伴工具包下载可定制品牌和可定制的跟踪器。

产品内数据面板

Microsoft安全暴露管理 是一种安全解决方案，可跨公司资产和工作负载提供安全状况的统一视图。 在此工具中， 安全计划 可帮助你评估安全风险特定领域的准备情况和成熟度。 安全计划采取主动方法来管理安全计划，以处理特定风险或域相关目标。

使用零信任计划跟踪组织实现零信任安全性的进度。 此计划与此Microsoft零信任采用框架保持一致，使你能够使用与业务方案一致的指标跟踪进度。 这些指标记录您在优先级的可操作建议中的资源覆盖范围，以帮助安全团队保护他们的组织。 该计划还提供零信任进度的实时数据，可与利益干系人共享。

有关如何在曝光管理工具中使用零信任计划的详细信息，请参阅 快速现代化安全态势 - 跟踪和度量。

此外，其他几个门户和报表可帮助你在业务中创建风险概述，包括：

• Microsoft安全风险管理中的关键资产保护计划将 Defender 产品和区域的关键资产风险汇集在一起。
• Microsoft Defender XDR 中的报表提供有关安全趋势的信息，并跟踪标识、数据、设备、应用程序和基础结构的保护状态。
• 云安全资源管理器允许你主动寻找安全风险。

例如，在 Microsoft Defender XDR 中，设备清单提供了对网络中新发现的尚未保护的设备的清晰视图。 在每个 “设备清单 ”选项卡的顶部，可以看到未加入的设备总数。 下面是一个示例。

有关使用 Microsoft Defender XDR 跟踪进度的详细信息，请参阅 使用 Microsoft Defender XDR 加强安全状况。

请注意，产品内工具提供的进度百分比对于不愿意实施所有控制的组织可能不准确，原因如下：

• 业务范围
• 许可
• 能力

关于采纳的附加文章

• 快速实现安全状况的现代化
• 使用零信任确保远程和混合工作的安全
• 识别和保护敏感业务数据
• 防止或减少因违规造成的业务损失
• 满足法规和合规性要求

进度跟踪资源

对于每个业务方案，可以使用以下进度跟踪资源。

进度跟踪资源	这有助于你...	设计为...
采用情境计划阶段表格可下载Visio 文件或PDF	轻松了解每个业务场景的安全增强功能，以及计划阶段的步骤和目标的努力程度。	业务方案项目主管、业务主管和其他利益干系人。
零信任采用跟踪器 可下载 PowerPoint 幻灯片集	通过计划阶段中的各个步骤和目标来跟踪进度。	业务方案项目主管、业务主管和其他利益干系人。
业务方案目标和任务 可下载的 Excel 工作簿	分配所有权，并通过计划阶段的各个步骤、目标和任务来跟踪进度。	业务方案项目主管、IT 主管和 IT 实施者。

有关其他资源，请参阅 零信任评估和进度跟踪资源。

其他零信任文档

根据所使用的文档集或在组织中的角色，浏览其他零信任内容。

文档集

请遵循此表，了解所需的最佳零信任文档集。