從身份認證到檔案存取
What is Zero Trust and why is it important?
零信任是什麼?
零信任安全（Zero Trust Security）的主要概念是「從不信任，總是驗證」。意指預設情況下，不應信任嘗試建立連線的任何設備，即使它們連接到許可網絡（例如公司 LAN）或之前曾通過驗證。
2009年，Google 實作零信任架構 BeyondCorp，旨在保護網路連線安全。有別於傳統 Virtual Private Network (VPN)，BeyondCorp 的登入存取政策，是基於設備的資訊、狀態和使用者，並以「內網及外網皆完全不可信任」為前提，實作網路安全。
隨後在2010年，Forrester Research 的分析師 John Kindervag 以零信任為基礎，提出更嚴格的企業網路安全存取措施。然而，此時的零信任概念尚未普及。隨著越來越多雲服務、個人連網設備，於 2015 – 2020 大量被布署及使用，「零信任」一詞才成為業界資安實作的準則及基石。
一、美國國家標準暨技術研究院，提出零信任框架 NIST SP 800-207
2018年，美國國家標準暨技術研究院（National Institute of Standards）and Technologies，NIST）發布了 SP 800-207 文件，標題為「零信任架構」（Zero Trust Architecture），定義零信任為「面對易受攻擊的網路環境，為減少在資訊系統或服務中，執行存取請求上的不確定性，而設計的一系列概念及作法。」
二、零信任安全基礎原理
具體要實作零信任安全，需要多因素認證（multi-factor authentication）、身分保護（identity protection）、端點保護（endpoint security）、雲端認證、系統安全維護等技術。也需依所需的安全強度，考量資料加密保護、電子郵件安全、端點認證等。並且，在每個環節中，以「從不信任，總是驗證」為準則，在預設時段後重新進行驗證。因此，企業需要持續監控、並驗證使用者和設備的授權狀態，亦需考量使用者和設備的安全風險，在這之上有效地實行政策及合規，藉此管控潛在安全風險。
零信任架構要求企業，應完全掌握對內及對外的服務及特權帳號，建立確實的管理方式，來掌握連線者的身份及位置。過往一次性的驗證無法符合零信任概念，因為威脅和使用者狀態隨時都在改變。
根本的防護目標仍是「檔案」
一般業界提及的零信任方案，往往僅止於網路端點防護。
然而，當勒索病毒侵入企業系統後，其實已能竊取內部檔案，因此根本上應以「檔案」為防護標的來進行思考。
匯智安全的 FileAegis 檔案安全管理平台，導入 FIDO2 無密碼/多因素認證，確保登入權限的合法性。使用者用硬體安全金鑰或 Passkey 登入後，只能看到自己有權限的檔案。所有系統內上傳分享的檔案，都會被自動加密儲存，透過獨家專利加密技術，確保非授權者無法看到和解密。檔案流路再亂，企業都能完全掌控。是從身份認證到檔案存取，實現零信任的新一代解決方案。
