Cisco提出新信任標準，不只是強調零信任架構，供應鏈與資料治理的信任也要重新思考

數位浪潮之下，各種風險也隨之不斷演變，如今導致安全與信任之間的關係，越來越不平衡，全球都關注該如何因應，基於這樣的態勢，在美國每年10月固定舉辦的全國資安意識月前夕，思科提出了新信任標準（The New Trust Standard）的口號，期望扭轉現今的威脅局勢。

這當中主要以零信任（Zero Trust）網路安全策略，作為新時代信任標準的首要構成，同時，也是與該公司合作的廠商，都需努力的目標，思科甚至倡議各方供應鏈都該重視，臺灣產業勢必也要關注這股潮流，儘早做好準備。

不只網路安全零信任與供應鏈安全，要贏得企業與客戶之間的信任，需在多個層面設法提升

「信任」真的失效了嗎？從現實面來看，互信的確出現很大的問題，資料外洩日趨嚴重，供應鏈威脅更引發產業高度重視，持續成為國際與資安界關注的焦點。為此，美國政府已積極採取行動，對於零信任與供應鏈議題，提出國家級別的戰略。例如，美國聯邦倡議採用零信任原則與方法來保護資訊系統與網路，於是NIST推出《NIST SP 800-207 Zero Trust Architecture》標準文件，而在2021年5月12日，美國總統拜登簽署EO 14028的總統行政命令，當中已經強調零信任與供應鏈安全的實踐。

同時，該國的大型IT廠商也早已陸續投入發展，例如，思科此刻提出的新時代信任標準，又再呼應此一態勢。更引發我們關注的是，多年前他們已提出零信任架構，也將這樣的概念融合於產品，而在這次新信任標準的發布中，他們並不只針對網路安全，而是在更多層面上，都提出新的信任基本要求。

思科表示，他們已採取多項行動，除了建立零信任架構，也與供應商簽訂合約，要求對方遵守資安與隱私標準，此外，他們公布自家面對政府索取資料的原則與方法（a Principled Approach to Government Requests for Data），以及隱私資料表（Privacy Data Sheets），當中描述各產品服務對於處理個人資料的方式，並針對客戶常見問題提供足夠詳細的回答，以獲取其信任。

這意味著，相關議題早已受各界關注並持續進展，但如今思科的行動，開始將這些點、線，彙整成面，建構出一個更完整的信任框架。

這樣的國際態勢，勢必將會影響到國內企業，管理階層須具備更宏觀的思維，例如，面對近年備受關注的資安議題，包括零信任網路安全策略、供應鏈安全與資料治理的推動，企業必須思考：如何從現有的信任基準，拉升到新水準。

關於實踐新信任標準的意義，思科指出，現在要贏得客戶的信任，需依賴整個組織具備足夠的安全性與透明度，而這裡所探討的對象，包括：產品、服務、人員、流程、道德與價值觀、內部系統、供應商與承包商。如此一來，客戶才能夠信任你，將資料交給你。

畢竟，若不知道環境裡有什麼，不了解硬體與軟體是如何製造，或者沒有證據表明相互連接的系統是如何做到安全，都會使我們面臨風險。

顯然，思科推動的新信任標準涵蓋更多層面，而這當中還不只是企業內部各構面與供應商，甚至還包含了道德與價值觀，儘管Cisco在此並未多作著墨，但也可看出現今信任關係的變化。

提出新時代信任標準的框架，包含5大關鍵要素，期望各界也能仿效

關於這個新信任標準，思科全球資安產品事業部業務經理朱育民表示，這樣的新信任概念，有助於塑造產業數位轉型思維，跨出更好的一步，而且，這個標準如同一份指引，也是一份大綱，能夠分享給客戶與供應商，讓他們在資安行動上，有更明確的方向可以遵循，同時希望這樣的概念，能讓其他企業也能仿效或思考。

具體而言，這是一個關於期望與責任的框架，要讓企業與客戶雙方都能同意新的規範，提升數位的信任關係。而這個新信任標準的內容，是思科整理歸納各方的交流經驗而來，包括了客戶、合作夥伴、資安產業與監管機構等，當中包含了5大關鍵要素，分別是：零信任架構、受信任供應鏈、資料治理、透明度，以及合規監管與認證。

Cisco在9月底發布了新的信任標準，為企業的數位轉型計畫提供指引，當中具有5大關鍵面向，包括零信任架構、受信任供應鏈、資料治理、透明度，以及合規監管與認證。（圖片來源：Cisco）

零信任

在思科新信任標準的組成要素中，零信任架構（Zero Trust　Architecture，ZTA），被列為第一關鍵。

所謂的零信任架構，是指在允許存取之前，要經過強制且基於證據的判斷，作為擔保，也就是評估安全性，超過一定門檻之後，才可放行存取。目前，這種思維方式的轉變，還處於早期階段，但是，最終必須要滲透到所有的系統之中。而這些系統本身的安全變化，將對提供給客戶的產品與服務，帶來深遠的影響。

關於零信任的重要性，朱育民表示，各界對於零信任網路安全雖然已經談了許多年，但大家還沒有這樣的意識，隨著美國NIST提出SP 800-207，該國政府正要求各單位導入零信任架構的網路安全策略，因此，不管是標準、法規的力量，都已朝向這樣的趨勢。

他認為，這次思科提出新信任標準，是一個很好的時間點，基於這樣的理念，也可以重新教育客戶、市場與整個產業，了解到零信任的重要。畢竟，現在企業面臨攻擊的層面是越來越多元，有了零信任網路安全策略，將可補強過往無法顧及的構面。

Cisco本身也這麼做，並已發展零信任解決方案。例如，他們在2019年提出對於零信任網路安全的定義，並將這樣的概念融入自身。朱育民表示，在他們所提的3W零信任架構中──Workforce、Workloads與Workplace，其實就與NIST發布的SP 800-207 ZTA標準文件中，所描述的3個關鍵技術吻合，也就是增加的身分治理、微分割與軟體定義的網路基礎架構。而他們之前所收購的DUO Security來強化零信任的技術，也就是成為思科Workforce的主要解決方案。

受信任供應鏈

第二個關鍵，是供應鏈風險的管理，也就是，要如何相信供應商，確認他們能建立值得信賴的供應鏈。事實上，供應鏈攻擊，已是近年最受關注的資安威脅，已為全球屢屢帶來嚴重損害，挑戰也相當大。

但無論如何，現在的局勢，就是客戶都希望服務提供商要能了解自身產品中所有元件，並採取合理措施來檢測與緩解各式資安問題。

對於供應鏈的議題，思科指出，複雜生態系統的廠商需要經過驗證，才能確保最終銷售或使用的技術，具有足夠的可信度，而這樣的檢核，必須要融入供應鏈流程與技術本身。

至於實踐方式上，思科提出6個要點，包括：防止竄改、要求供應商遵守正確的產業標準、建立信任鏈、在合約中建立信任，以及對自家與其他供應商產品的整合進行測試，並且定期執行稽核與漏洞測試。

其中的遵循產業標準，相當重要，事實上，推動資安與零信任架構時，這是一個好的出發點。要注意那些法規呢？舉例來說，包括：資安與隱私控制的NIST 800-53，資安管理標準ISO 27001，以及關於雲端使用安全的ISO 27018，還有隱私管理方面的ISO 27701等。

資料治理

這是新信任標準的第三要素，其目的在於，確保資料得到適當的處理，以及保護，例如，只為真正有需要的人提供存取權限，畢竟，客戶都希望，服務提供者能保護他們的資料，這是數位世界信任的基本要求，但不僅僅是如此，還要能尊重資料權利，持續抱持能符合客戶與政府規定的期望。

而且，可以想像的是，越來越多的消費者，會考慮隱私與透明度的提供商。而資料的未來，將會朝向數位主權發展。

對此，思科提出3個建議，包括：運用技術控制、運用合規控制，以及考慮讓客戶能選擇資料存放資料中心的所在地區。

透明度

第四關鍵是透明度，企業要能揭露所有客戶所需的資訊，客戶能在知情的狀態之下進行選擇。過往資安界積極揭露資安漏洞與資安事件時，就已不斷呼籲與強調這樣的精神。

關於增加透明度的方法，思科提出以下建議：讓客戶更容易得知或找到資訊，對於重大漏洞資訊應公開，同時通知所有受事件影響的人，而且，在政府向企業或組織要求資料時，要能為客戶力爭、力保。

合規監管與認證

這是新信任標準的最後關鍵，也就是要能證明自己做到。這是達到互信的必要手段，企業應透過獨立的第三方驗證，以證明對客戶的承諾。

整體而言，除了前三大是關鍵主軸，後面兩個要素也相當重要，也就是透明度與認證，其精神貫穿整個標準。其實兩者的概念，過去已經不斷被強調，但重要性可能被忽略，因此思科將它與零信任、供應鏈與資料治理並列。而從這5大方向著手，將是企業重新思考信任基準點的開始。

Cisco建議的零信任原則

●將客戶體驗放在首要任務，因為認證不應該是一種負擔。使用者完成工作需要可以方便地存取企業內部與雲端的應用程式。

●持續驗證使用者、設備與應用程式，確認其是否能夠信任。

●利用機器學習來識別異常用戶行為的嘗試登入。過程中，可能會有誤報事件發生，因此要權衡阻止合法存取的風險。

●應用程式安全性政策的強度要與資料的敏感性相符。這需要準確的資料分類，並要能夠瞭解正常應用程式流量是什麼樣子，這樣才能發現異常。

●確保不同應用程式元件之間需要安全的連接，例如應用程式邏輯與資料庫。

●讓入侵攻擊者更難從一臺伺服器移動到其他伺服器，使用技術包括網路分區隔離、強式的認證與加密，以及針對受信任的設備建立標記。

資料來源：Cisco，iThome整理，2021年10月

為何需要新的信任標準？

之所以提出新的信任標準，Cisco舉出了一個簡單的問題，你的客戶可以信任將資料交給你嗎？答案是，隨著商業型態複雜，信任這件事已不再是建立於個人關係之上，現在客戶的信任已經開始依賴整個組織的安全性與透明度，這裡談的包括你的產品、服務、人員、流程、道德與價值觀、內部系統、供應商與承包商。

因此，現在所論及的信任內涵，已經變得更加全面。例如，客戶是否能信任你，不僅取決於你的政策，也取決於你的供應商，甚至你的共應商的共應商；不僅取決於你的網路安全防護，並還取決於你在發生漏洞時的做法；不僅取決於你如何儲存客戶的敏感資料，還取決於你如何在周五下班之際面對國外執法部門的請求。

而且，現在的安全也與信任及透明度拖不了關係。Cisco說明，在什麼都相互連接的今日世界中，這意味著我們已是共享風險與共享安全的態勢。然而，不知道我們的環境裡有什麼，不了解硬體與軟體是如何製造，或者沒有證據表明相互連接的系統是如何做到安全，都會使我們面臨風險。因此，需要信任與透明度的存在並發揮作用，才能方便我們都能集體管理風險。