近年來，公部門對於資安的要求逐漸提高，主要是因為數位化轉型和敏感數據的重要性不斷增加，需要更強大的安全措施來保護國家和公民的資訊。
公部門資安要求的趨勢和重點包括：
- 零信任模型
公部門機構也越來越傾向於將所有內部和外部的訪問都視為不受信任，並要求用戶在訪問資源時進行嚴格的身份驗證和授權。有助於減少內部威脅和外部攻擊的風險。
- 數據隱私和合規性
公部門需要遵守嚴格的數據隱私法規，並確保個人和敏感數據的保護。包括確保數據只被授權人員訪問，並且有適當的數據加密和安全措施。
- 多因素身份驗證
為了確保用戶身份的安全，多因素驗證（MFA）在公部門機構中變得更加普遍。意味著用戶需要提供多個身份驗證要素，例如密碼和生物特徵，以訪問系統。
- 強化網絡安全
公部門機構需要加強其網絡的安全性，包括入侵檢測系統（IDS）、入侵防禦系統（IPS）、防火牆和威脅情報共享，以檢測和防止攻擊。
- 培訓和教育
教育和培訓員工成為資安意識和實踐的一部分，以減少社交工程和內部威脅的風險。
- 應急計劃和演練
公部門機構需要建立健全的資安應急計劃，包括定期的演練，以應對各種資安事件，並迅速恢復正常運作。
- 供應鏈安全
公部門通常依賴於供應商提供技術和服務，因此要求供應鏈的安全性也變得更加重要。包括確保供應商符合相關的安全標準和要求。
公部門資安要求在面對現代威脅和技術挑戰時不斷發展和加強。這些要求旨在確保政府機構能夠有效地保護國家資訊基礎設施，並維護公民的隱私和安全。因此，公部門必須不斷提升其資安策略，以應對不斷演變的風險。
什麼是「零信任」？
圖片來源／NCCoE
零信任（Zero Trust Security）是一種資訊安全策略和架構，旨在提高組織的資訊安全性。傳統的資安模型通常建立在「信任但驗證」的原則上，這意味著內部網絡被視為相對安全，而外部網絡才受到更嚴格的控制和驗證。相反，零信任採用了一個基本的假設，即不信任內部或外部網絡，並要求在所有情況下都進行驗證和授權。
以下是零信任的主要原則和特點：
- 不信任點對點通信
在資安零信任模型下，所有的通信都被視為不受信任，不論是內部還是外部的。每個訪問都需要驗證和授權，並使用強化的身份驗證方式。
- 最小權限原則
用戶和設備只能訪問其需要的資源，並僅在需要時才被授予相應的許可權。有助於減少潛在攻擊面。
- 多因素驗證
為了增加身份驗證的安全性，資安零信任通常使用多因素驗證（MFA）來確保用戶的身份。
- 微分隔離
資安零信任將網絡和應用程序劃分為微小的可信任區域，以減少攻擊者在系統中移動的能力。這種方式可以限制攻擊擴散的範圍。
- 持續監控和分析
資安零信任要求實時監控和分析網絡流量、用戶活動和系統事件，以檢測不正常行為和威脅。
- 政策驅動的自動化
資安零信任模型通常使用自動化來執行訪問控制和策略執行，以確保合規性和快速應對威脅。
- 教育和培訓
資安零信任的成功也依賴於用戶的安全意識和培訓，使他們能夠識別和報告潛在的威脅。
零信任是一種現代化的資訊安全模型，旨在提高組織對內部和外部威脅的防禦能力，並減少安全漏洞。這種方法強調了不信任的基本原則，並將安全性置於所有資源和用戶的訪問之前。
「零信任」潛在問題和挑戰
導入和維護零信任模型需要大量的資金和資源。它可能需要組織重新設計網絡架構、引入新的安全工具和技術、以及培訓員工。這可能對預算有一定的負擔。
零信任模型的設計和實施可以變得非常複雜。它需要建立高度細緻的策略、設定多重身份驗證、實行持續監控和分析等，這可能超出了某些組織的技術能力。
嚴格的零信任控制可能導致用戶體驗變差。多次身份驗證和訪問控制可能會增加用戶的工作負擔，降低效率。平衡安全性和用戶體驗是一個挑戰。
結論
零信任模型提高網路安全性，將內部和外部的威脅都納入考量，降低了內部威脅和資料外洩的風險。提供更精細的存取權限控制，能夠根據用戶的身份和需求進行限制，並增加資料的權限，對資料的監控和日誌記錄。
更加靈活、強大和安全的方法，以確保組織的資訊和資產免受威脅。它反映了現代數位環境的現實，即不應該信任任何人或任何事物，並且需要以最高的警惕性來保護資訊安全。