疫情下的遠程辦公，讓零信任更火了
三年的國內疫情防控，讓很多行業已經習慣了遠程辦公。從疫情剛爆發時的手忙腳亂，到如今的淡定管理，遠程辦公已經內化為企業辦公的一種常態模式。
但隨著越來越多的員工以遠程方式接入，訪問公司內部的辦公和生產系統，企業在傳統辦公模式下的安全邊界瞬間被打破了。
由于員工的訪問行為不再局限于企業內網，接入設備也再不局限于企業資產，企業數據會在不同設備、內外網之間頻繁流動，大大增加了企業應用安全和數據泄露風險。
如何保障遠程辦公的安全問題，成為疫情下眾多行業的關注焦點。
據IDC研究顯示，隨著遠程辦公、業務協同、分支互聯等業務需求快速發展，企業的員工、設備、合作伙伴以及客戶需要通過多種方式靈活接入企業業務系統，導致基于邊界的傳統安全架構不再可靠，零信任成為一個必選項。
近幾年零信任理念在技術圈非常火爆，以“持續驗證，永不信任”為核心理念的零信任成為全球網絡安全領域的熱點話題，國內外無論是政府還是企業，都開展著大量的零信任研究和實踐。
據ResearchAndMarkets研究報告顯示，2020年，美國零信任安全市場規模約為54億美元，預計在2020年-2027年，年復合增長率約為19%；作為世界第二大經濟體中國，預計到2027年零信任將達到111億美元的市場規模。
巨大的市場潛力，吸引了騰訊、阿里、華為、深信服、奇安信、綠盟等國內互聯網和安全廠商的紛紛布局，同時也誕生了近百家以零信任為基礎的初創安全公司。
零信任市場的欣欣向榮，讓不少人認為2021年是國內零信任發展的元年。
但反觀用戶市場，對于零信任的落地卻不那么篤定。
業界普遍認為零信任落地難點表現在幾個方面：一是，難以找準落地場景；二是，難以改造現有安全體系；三是，成本高、投入大，難以持續管理；四是，難以評估實施效果和價值；五是，用戶的使用習慣要改變。
總的來說，零信任的成功落地需要“找準落地場景”，“厘清零信任與安全、業務的關系”，不僅需要用戶側對于業務和場景的理解，還需要零信任方案對傳統網絡安全框架有便捷的適配，并用輕量化的方式降低用戶的建設和維護成本，幫助用戶完成新一代網絡安全框架的轉型。
但從目前國內零信任行業發展水平看，實屬魚龍混雜。很多產品算不上真正的零信任解決方案，只是傳統的安全產品換了個包裝；還有一些廠商暫時處于產品自用的階段，并沒有真正實現商業化，還在探索如何去落地外部客戶。
這種行業亂象也在一定程度上加深了企業用戶對于零信任的“不確定感”。
盡管零信任在國內存在“供給偏熱，需求偏少”的現狀，但作為一種備受認可的技術趨勢，零信任已在一些行業實現了落地應用。
據中國信通院調查顯示，政府機關、信息技術服務業、金融業、制造業作為排頭兵，零信任應用試點占比靠前，總占比達53%。
其中，遠程訪問是當前企業實施零信任的主要驅動和優先選擇，供應商的產品也更聚焦在該領域，遠程辦公、遠程分支機構接入、遠程運維三大場景占比居于前三，總占比達 46%。
在遠程辦公場景，零信任能夠應對多樣化終端設備遠程接入帶來的安全風險。
一方面，零信任不再根據網絡位置來驗證身份和提供權限，而是基于多源數據進行權限判定，保證只有安全合法的訪問行為被放行；另一方面，零信任強調按需分配和最小權限原則，大大降低了資源的可見性，減少遠程攻擊。
在遠程運維場景，企業通過傳統VPN和堡壘機對內網進行運維，存在身份冒用、權限管理混亂、審計薄弱等安全風險，若涉及公有云、私有云、混合云等多個環境的運維，需要切換VPN連接，效率低、體驗差。
零信任安全以運維訪問中的人和設備組合狀態構建訪問主體，為其設定滿足需求的最小資源和最小權限，統一安全網關，在動態風險感知和安全控制下，高效地解決運維場景下面臨的安全問題。
不難發現，以遠程辦公為代表的遠程訪問場景，正在成為零信任落地的最佳切入口。
高燈科技副總裁兼安全負責人莫曉盛在采訪中表示，突如其來的疫情讓公司遠程辦公需求猛增，每名員工的PC終端上要安裝多個客戶端，且不同廠商的客戶端之間缺乏安全聯動，無法發揮最大的安全效果。傳統VPN產品也爆出高危漏洞，在遠程辦公需求量暴增的背景下擴容非常不便。
基于這種情況，高燈科技開始測試并使用騰訊iOA零信任解決方案。
“如果按照傳統方式，我們要部署多家廠商的安全產品，電腦上可能要安裝七、八個終端，但是騰訊iOA給我們帶來了一整套的防病毒、終端安全管控、VPN轉入、數據防泄露等功能的綜合性安全平臺，一個運維人員就可以管理多個平臺和系統，防護效果還比傳統部署方式要好”，莫曉盛表示。
事實上，和高燈科技面臨同樣困境的政企機構不在少數。自疫情持續爆發以來，遠程辦公就成為國內政企機構業務運轉的常態，從而使得零信任的發展迎來了新的分水嶺。
近日，騰訊宣布iOA零信任解決方案落地終端突破100萬端，成為國內首個突破百萬終端的零信任產品，這也從側面印證了零信任在國內的進一步成熟和落地。
從國家層面看，零信任在國內也迎來了“最好的時代”。
工信部2019年發布的《關于促進網絡安全產業發展的指導意見（征求意見稿）》，已將“零信任安全”列入需要“著力突破的網絡安全關鍵技術”。
在經歷了三年的政策引導和市場培育，目前國內零信任技術發展到了什么階段？在落地方面還存在哪些挑戰？
騰訊零信任產品總經理楊育斌表示，中美在零信任的技術層面其實已經沒有太大區別，更多是使用場景上的區別。
“歐美國家在企業上云、云原生上已經走得非常靠前，所以他們的零信任更多是基于資產在云上的保護措施。但中國的應用場景會更復雜，在落地過程中需要做很多思考和變通，去不斷適應本土企業的一些要求”，楊育斌表示。
最明顯的一個場景是VPN替代。
在國內，部分政企機構出于合規的要求，遠程接入必須通過VPN。即使企業非常認可零信任的解決方案，但在合規要求下，零信任的接入也必須通過VPN，因此騰訊iOA的做法是在合規體系內兼容VPN協議，與VPN進行融合。
此外，零信任的落地部署，也需考慮本土企業應用場景的復雜程度。
例如，針對中小企業的遠程辦公，基本上小時級就可以實現基于云的零信任接入訪問；但是針對大中型企業，由于內部數據交換場景復雜，需要和企業的業務系統、身份系統、審計系統進行接口對接，同時整個解決方案也需要進行全面規劃、分期建設，落地周期會長達幾個月乃至一年。
從企業角度看，落地零信任時主要面臨平衡安全性與成本效益的挑戰。
高燈科技信息安全專家王凱表示，零信任能夠釋放出原先比較冗余的IT安全工程師的資源，長遠看這部分成本能夠被縮減掉。
從整體防護效果看，騰訊iOA零信任方案比傳統安全部署方案要更好，同時還能節省系統資源占用，帶來審計的便捷性，對于企業來說有比較可觀的促進作用。
不過面對市場上琳瑯滿目的零信任方案，企業在選擇適合自身方案落地時，仍需從技術、方案、案例、成本、使用體驗等多個方面去考量。畢竟零信任并不是一個產品，而是一套整體的解決方案，背后體現的是廠商的綜合實力。
以近兩年發展迅猛的騰訊iOA為例，依托騰訊10 余年技術沉淀，結合了哈勃、TAV，內容安全、云檢測四大安全引擎，井集成騰訊威脅情報中心，加上騰訊安全聯合實驗室矩陣的技術支持，在安全能力上百余次獲得全球七大權威機構最高評級。
同時，騰訊iOA具備騰訊云的連接能力，以及大型案例落地的豐富經驗，體現了其零信任方案背后的綜合實力。
值得一提的是，騰訊零信任標準工作組制定的接口標準，已實現了同18個行業安全廠商的對接，接口標準化促進了企業安全辦公體系的融合，也進一步優化了辦公體驗。
Gartner曾預測，到2023年，60%企業會逐步淘汰虛擬專用網（VPN）方式，采用零信任網絡訪問來進行遠程方案。
國內疫情下的常態化遠程辦公，再一次將零信任推向應用的高潮，進一步催化著市場和供應商的成熟。零信任的大規模落地，已近在眼前。
本文來自微信公眾號 “科技云報道”（ID：ITCloud-BD），36氪經授權發布。
