2022北京网络安全大会于7月13日盛大开幕,在2022北京网络安全大会期间,多位与会专家认为,应进一步摆脱传统思路束缚,将“零事故”作为网络安全建设新目标,总结了零事故的三条标准,分别是业务不中断、数据不出事以及合规不踩线。并强调,合规作为网络安全的基本要求和底线,企业不遵守安全规范,就像没有打牢地基,注定无法长久。
“零事故”三条标准:业务不中断、数据不出事、合规不踩线。实现网络安全“零事故”目标需满足三个要求:联合作战、精准防护和深度运营。其中精准防护是实现数据不出事的关键。
首先,精准防护要“防内鬼”。这一步的核心是管特权。特权账号是通往企业数据大门的“钥匙”,要把“账号特权”管起来,对特权账号的开设、使用、注销进行全生命周期的统一管理;治理“一号多用”现象,一经发现立刻降权;解决“账号弱口令”问题,用密码保险箱实现“一次一密”,防范密码泄露和身份仿冒风险。同时,通过堡垒机,实现所有账号对数据访问的安全管控;通过数据库审计,确保一切数据操作行为可追踪、可溯源。
其次,精准防护要防住外部攻击。这一步的重点是给API上锁。API接口是数字系统的神经元,具有联络和整合输入信息并传出信息的作用。一个中型数字化企业中的API接口数量可能多达数万个,通过API接口盗窃数据已成为网络攻击的重点。
最后,精准防护还需要实现全局管控。这一步需要施行“零信任”策略。“零信任”默认任何人、任何设备都不可信,在用户的每一个网络访问活动中重新检查凭证,以实现“权限最小化”。一方面,对主体身份进行动态授权管理,确保主体身份可信;另一方面,通过主客体的身份管理系统和风险管理系统,持续进行信任评估,确保行为操作合规。一旦发现异常行为,立刻冻结权限,从而有效降低数据安全风险。
防住“内鬼”和外部攻击,实现全局管控,真正落地网络安全“零事故”。“零事故”之路,将加快网络安全领域的创新,推动网络安全防御能力实现新飞跃。
原文地址:https://www.sfn.cn/news/technology/detail/514.html?navId=22
扫一扫,或长按识别二维码
关注艾瑞网官方微信公众号