如何構建零信任的云數據架構

王英哲

云計算對CISO產生了深遠的影響。他們意識到其廉價的存儲、巨大的可擴展性、資源彈性和可隨時隨地從世界任何地方訪問，為他們負責保護數據的公司創造了競爭優勢。但是這些相同的因素，尤其是它的可訪問性，使他們的工作變得更加困難。

云擴大了組織的攻擊面，以至于CISO必須保護跨多個云、工具和本地位置的數據。這進一步使他們將未經授權的數據訪問風險降至最低的目標變得更加復雜，并使他們確保信息資產和技術得到充分保護的工作成為一項艱巨的任務。

更糟糕的是，傳統的安全和治理模型對云架構無效，部分原因是每個云供應商都有獨特的數據訪問機制，這增加了管理員犯下代價高昂錯誤的機會。

傳統的、集中的或指令的方法通過IT路由請求、訪問和策略來保護數據，這限制了用戶利用信息的速度。云和云資源的陣列需要更流暢的方法來保護訪問。

去中心化的方法也行不通，因為業務部門在實施有關如何使用數據和使用什么工具的政策方面有太多的選擇。這會造成業務部門和平臺之間的孤島和沖突，因為云架構需要在設置、工具和部門之間更加統一。

委托治理模型正在成為更合適的方式，因為它是通過結合上述方法中的最佳方法來簡化多云安全性的理想選擇。它利用IT統一的、自上而下的策略（由業務線數據管理員定制），并基于IT為企業提供的安全平臺來訪問選擇的工具。然后，該平臺將這些由數據管理員配置的中央策略分發到跨云和本地的存儲庫或工具中，以實現零信任安全。

實現多云安全

委托模型使CISO能夠降低存儲和利用數據的風險，無論他們身在何處，通過在本地和云設置之間提供一致的數據安全性。這些環境受益于相同的集中式數據訪問策略，但是，這些策略是由熟悉用例并了解數據含義數據管理員，根據特定業務團隊的需求量身定制的。這種范式在不增加風險的情況下擴展了數據訪問速度。

強化這種方法的安全平臺在數據層發出細粒度的訪問控制。它支持基于數據管理員如何解釋和執行集中策略的屏蔽、加密和標記化等技術。不需要用于混淆的其他工具集，同時組織還可以通過審計和報告有關誰訪問了哪些數據，以及調用了哪些策略來授予或拒絕訪問權限，從而可以清楚地了解治理過程。

內部審計師可以使用這種可追溯性向監管機構證明合規性。例如，特定營銷團隊在構建活動時嘗試訪問PII數據，但被拒絕訪問。還有未經授權的訪問或復制數據等操作的警報。這些措施共同解決了CISO的主要關注點，即在整個企業中一致地應用訪問策略。

利用混合云安全架構

委托治理模型取決于集中、安全的數據訪問平臺的架構靈活性。該架構支持將策略和訪問控制機制推送到跨本地和云環境的分布式資源中。例如，將這些策略實施到S3存儲桶等存儲單元中，是鞏固零信任網絡同時降低數據泄露風險的基礎。

跨源系統應用這些策略是將集中式和分散式方法與委托模型相結合的推動因素。政策仍然來自治理委員會，但它們最終會在更接近根數據、工具和業務用例做出決策的地方執行。

最重要的是，這種方法仍然為CISO和他們的信息安全人員提供對安全問題的集中監督。有一個單一的管理平臺，用于跨云和本地設置的可見性，同時可以根據角色、屬性和數據標簽輕松配置策略。

例如，銷售中的數據管理員可以訪問所有客戶數據，而負責特定區域的銷售人員只能查看與這些區域的客戶和潛在客戶相關的數據。因此，只有經過授權的人員才能獲得對數據的授權訪問。

為企業保駕護航

在云優先的世界中，委托方法是能夠降低未經授權訪問整個企業數據風險的最有效方法。它為實施統一的、自上而下的策略提供了集中的好處，并具有將這些策略分發到用戶訪問數據來源的分散優勢。

這種方法單方簡化了云和內部環境的數據安全問題，使CISO及其組織能夠滿懷信心地進入云，這是他們習慣的，當他們的資源舒適地位于物理防火墻之后。這種對數據的一致、安全訪問可以解決日益增長的現代數據分布問題。