總統蔡英文在7月22日結束友邦出訪的行程,然而,卻爆出隨行國安局人員利用國賓禮遇貨物海關免驗的機會,私運大量香菸入境的事件,在結束出訪的最後一刻,竟發生這樣的狀況,導致焦點完全轉移的結果,令人惋惜。

雖然此案仍在調查之中,但如果根據目前揭露的消息來看,涉案人員原本應該是受到信任的,卻從事這樣具有爭議性的行為,而使得整個外交之旅蒙塵,讓我想到前幾天在資安廠商的研討會上,恰巧談到「零信任(Zero Trust)」的議題。

在去年3月,我曾經就這個資安模式,初步整理出基本概念,簡而言之,就是要從「信任並且驗證(trust but verify)」的認知,改為「驗證且永不信任(verify and never trust)」。其實,trust but verify這句話是俄國諺語,但因為也是美國總統雷根表達了兩國核武裁減立場的名言,而聲名大噪,通常譯為「要信任,但也要查證」,口語一點的解釋則是「先姑且信之,但找驗證的機會」,無論如何,這都表達了某種預設信任的基礎,不只能用於國際關係、人際關係,也能用許多場合的互動上。

而在資安的領域裡面,有越來越多專家、廠商近年來都在提倡零信任,而它的核心精神就是「Never Trust, Always Verify」,這讓我聯想到90年代的美國電視影集X檔案,裡面常提到的臺詞「Trust No 1」,劇情也充滿了政府陰謀論的描述,讓人不寒而慄。不過,經歷十多年後的現在,當另一部美國影集疑犯追蹤(Person of Interest)大談手機竊聽、人們正持續受到各種監控的場景時,主角說出「Only the paranoid survive.(只有偏執狂才能生存)」的對白時,我們不得不承認,自己已悄然置身在這樣難以信任的環境,而且,許多有形與無形的威脅正在凝視著各種連網裝置,伺機而動。

當然,抱持著零信任的態度,並不是徹底拒絕科技的進步與創新,而是修正我們的預設值,因為信任不會憑空出現,信任也不會是一體適用於全部,而是要經過充分驗證,才能夠建立的;同時,隨著科技與價值觀的快速變化,我們對於威脅的定義、面貌和範圍也一直在調整之中,過去被認為是無傷大雅的便利彈性、行之有年的慣例,如今卻有可能成為有心人士謀取私利的弱點,甚至演變成組織的重大醜聞,不只是被認定為經年累月形成的陋習,而能被大家包容。

若不幸遇到這樣的事故,我們除了設法查明真相,積極進行裁決與處份,對於如何及早預防類似事件發生,也是必須採取的策略,因為單靠「偵測」與「反應」,終究是事中與事後的亡羊補牢,在威脅攻守的局面之中,已處於被動因應的劣勢,損害的結果已經無法挽回,差別只在於破壞規模的大小,因此,要奪回主導權的關鍵,仍在於能否料敵機先、具備主動察覺與處理各種潛在可能威脅的能力,方可避免災害的發生。

所以,對於資安威脅的預防,真的是徒勞無功,而不需要重視嗎?

在這個普遍重視快速偵測與反應的時代氛圍之下,單是處理目前能夠應付的問題,只能說是剛好及格,並不能保證未來可以繼續因應層出不窮的威脅,長久之計,仍在於如何提高對於網路與端點活動的透視能力,掌握內外部的威脅情報,並且持續縮小可能受到攻擊的表面。

同時,零信任的概念應更廣泛落實,針對網路、使用者、裝置,以及工作負載、資料等層面,並且充分運用資料收集與分析,以及自動化、調度指揮等能力,持續活化整體防禦。

作者簡介


Advertisement

更多 iThome相關內容