零信任模式勢在必行

總統蔡英文在7月22日結束友邦出訪的行程，然而，卻爆出隨行國安局人員利用國賓禮遇貨物海關免驗的機會，私運大量香菸入境的事件，在結束出訪的最後一刻，竟發生這樣的狀況，導致焦點完全轉移的結果，令人惋惜。

雖然此案仍在調查之中，但如果根據目前揭露的消息來看，涉案人員原本應該是受到信任的，卻從事這樣具有爭議性的行為，而使得整個外交之旅蒙塵，讓我想到前幾天在資安廠商的研討會上，恰巧談到「零信任（Zero Trust）」的議題。

在去年3月，我曾經就這個資安模式，初步整理出基本概念，簡而言之，就是要從「信任並且驗證（trust but verify）」的認知，改為「驗證且永不信任（verify and never trust）」。其實，trust but verify這句話是俄國諺語，但因為也是美國總統雷根表達了兩國核武裁減立場的名言，而聲名大噪，通常譯為「要信任，但也要查證」，口語一點的解釋則是「先姑且信之，但找驗證的機會」，無論如何，這都表達了某種預設信任的基礎，不只能用於國際關係、人際關係，也能用許多場合的互動上。

而在資安的領域裡面，有越來越多專家、廠商近年來都在提倡零信任，而它的核心精神就是「Never Trust, Always Verify」，這讓我聯想到90年代的美國電視影集X檔案，裡面常提到的臺詞「Trust No 1」，劇情也充滿了政府陰謀論的描述，讓人不寒而慄。不過，經歷十多年後的現在，當另一部美國影集疑犯追蹤（Person of Interest）大談手機竊聽、人們正持續受到各種監控的場景時，主角說出「Only the paranoid survive.（只有偏執狂才能生存）」的對白時，我們不得不承認，自己已悄然置身在這樣難以信任的環境，而且，許多有形與無形的威脅正在凝視著各種連網裝置，伺機而動。

當然，抱持著零信任的態度，並不是徹底拒絕科技的進步與創新，而是修正我們的預設值，因為信任不會憑空出現，信任也不會是一體適用於全部，而是要經過充分驗證，才能夠建立的；同時，隨著科技與價值觀的快速變化，我們對於威脅的定義、面貌和範圍也一直在調整之中，過去被認為是無傷大雅的便利彈性、行之有年的慣例，如今卻有可能成為有心人士謀取私利的弱點，甚至演變成組織的重大醜聞，不只是被認定為經年累月形成的陋習，而能被大家包容。

若不幸遇到這樣的事故，我們除了設法查明真相，積極進行裁決與處份，對於如何及早預防類似事件發生，也是必須採取的策略，因為單靠「偵測」與「反應」，終究是事中與事後的亡羊補牢，在威脅攻守的局面之中，已處於被動因應的劣勢，損害的結果已經無法挽回，差別只在於破壞規模的大小，因此，要奪回主導權的關鍵，仍在於能否料敵機先、具備主動察覺與處理各種潛在可能威脅的能力，方可避免災害的發生。

所以，對於資安威脅的預防，真的是徒勞無功，而不需要重視嗎？

在這個普遍重視快速偵測與反應的時代氛圍之下，單是處理目前能夠應付的問題，只能說是剛好及格，並不能保證未來可以繼續因應層出不窮的威脅，長久之計，仍在於如何提高對於網路與端點活動的透視能力，掌握內外部的威脅情報，並且持續縮小可能受到攻擊的表面。

同時，零信任的概念應更廣泛落實，針對網路、使用者、裝置，以及工作負載、資料等層面，並且充分運用資料收集與分析，以及自動化、調度指揮等能力，持續活化整體防禦。