戴爾（Dell Technologies ）支持企業導入零信任原則，強調防護應貫穿整個技術生命週期，透過關鍵策略，企業可以顯著改善復原結果。從Forrester研究發現，Dell PowerProtect Cyber Recovery能讓停機時間減少75%，復原時間縮短80%。記者孫敬／台北報導

想像一個真實的駭人情境：企業將面臨高達261萬美元的鉅額損失、2.45 TB的敏感資料外洩，以及超過一整天的非預期停機時間。這不是誇張的假設，而是現今網路攻擊不斷升高的殘酷現實。隨著數位營收持續成長，資料的完整性、可用性與安全性已成為企業高階主管最關切的議題，特別是在組織導入最新技術的時期。

亞太地區超過半數企業在2023至2024年間遭遇過某種形式的勒索攻擊。這引發了一個關鍵問題：我們真的能在不可避免的攻擊發生時，保護那些驅動企業未來成長的系統與資料，並維持業務不中斷嗎？答案與最佳防禦策略，在於全力強化「網路韌性」（Cyber Resilience），讓企業預測、抵禦、復原與持續適應資安事件的整體能力。

延伸閱讀：亞馬遜AWS全球大當機 5年內3次網路中斷原因為何？

[caption id="attachment_196179" align="aligncenter" width="1920"] 戴爾全球技術長John Roese。（圖／戴爾）[/caption]

戴爾談數據保護為基石、零信任的重要性

在日益複雜的數位世界中，強化資料防護是確保業務連續性的最關鍵行動。根據IDC調查，備援隔離不足與缺乏不可竄改的備份，是企業在勒索攻擊中選擇付贖金的主要原因之一。

因此，強韌的資料保護架構已不再是選項，而是基本要求。它必須包含四大要素：首先，是能快速有效地保護大量資料集；其次，是能即時復原資料，最好結合內建的重複資料刪除技術。再者，必須涵蓋地端、虛擬化與多雲環境中的現代化工作負載。最後，解決方案的設計核心必須具備高效能、可擴展性與成長潛力。

為提升網路韌性，企業可導入零信任（Zero Trust）原則，透過自動化防護機制來強化不可竄改性、加密、多重驗證（MFA）與角色存取控管（RBAC）等功能。這些措施在 AI 帶來新的風險向量時代尤為關鍵，不僅能抵禦勒索與惡意攻擊，還能顯著縮短復原時間。

威脅的新常態，GenAI與錯誤安全幻覺

網路韌性讓企業在強化防禦的同時，仍保有在攻擊發生時快速復原的靈活性，不論其資安成熟度或產業別如何。據悉，已有59%的亞太企業已經開始尋求外部專業支援，邁向更高的資安韌性。然而，生成式AI應用將帶來新的攻擊管道，從資料汙染、隱私外洩到複雜的社交工程，企業必須強化AI資料防護以降低風險。

另外錯誤的安全幻覺讓近四分之三的員工，誤以為只要付贖金就能完整取回所有資料並恢復營運，這種過度自信是一種極度危險的漏洞。雖然在勒索險很常見，但它們往往帶有嚴苛的條款和限制，近半數的保單無法完全涵蓋攻擊帶來的財務損失。目前，部分企業正努力應對複雜的備份工具生態系統，並對公有雲服務商的資料保護安全疑慮，甚至有企業考慮將工作負載遷回地端，但卻缺乏專業能力有效執行。

企業網路韌性需納入高層決策會議中

培養真正的網路韌性必須從高層開始，它應被視為與財務風險或競爭策略同等重要的董事會議題。企業領導者需要投入足夠資源、設定清晰的時程，並將安全與韌性內化至每個層面，讓每位員工都能理解並負責自身在資安防護中的角色。

戴爾（Dell Technologies ）支持企業導入零信任原則，強調防護應貫穿整個技術生命週期，透過關鍵策略，企業可以顯著改善復原結果。從Forrester研究發現，Dell PowerProtect Cyber Recovery能讓停機時間減少75%，復原時間縮短80%。

這些提升韌性的關鍵策略包括：減少攻擊面，藉由建立不可刪除或修改的「鎖定」資料副本，結合硬體信任根、安全啟動、加密、保留鎖定、角色存取控管與多重認證等強大安全控制措施。搭配自動化資料隔離，利用安全的數位保險庫（Digital Vault）隔離生產環境，使敏感資料永遠不會直接暴露於潛在威脅。

快速偵測與回應也至關重要。企業需利用AI驅動的機器學習和完整內容索引，來快速識別和處理入侵，將資料損壞的可能性降至最低。最後，透過與專家合作進行策略性規劃，評估合適的復原時間目標（RTO）與復原點目標（RPO），有效確保在事件發生後能可靠復原，並提高流程效率。

隨著企業對雲端服務、混合環境和生成式 AI 的依賴日益加深，保護我們的數位世界變得越來越複雜。尤其當 AI 就緒（AI-readiness）已成為基本的業務預期時，企業資訊長（CIO）必須確保他們的平台能在不影響生產力的情況下，安全地發揮AI潛能。

這篇文章 AI時代資安怎麼做？戴爾談企業應重點關注網路韌性、零信任原則 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

Palo Alto Networks台灣區總經理尤惠生表示，76%受訪業者已著手規劃從同一個資安防護公司取得完整的資安託管服務（MSSP），並有82%的業者認為零信任（ZTA）能有效保障OT環境安全，並以此為基礎尋找全新OT安全解決方案。

記者／孫敬 Archer Sun

資安業者Palo Alto Networks今（18）日發表最新「2024 OT 安全現狀報告」報告指出，過去一年全球有超過70%的運營技術（OT）系統曾遭受網路攻擊，常見的攻擊中依序為內部攻擊、網路釣魚及勒索軟體，且有近4成的OT和IT（資訊科技）團隊在資安政策往往有不同的意見。

Palo Alto Networks台灣區總經理尤惠生表示，76%受訪業者已著手規劃從同一個資安防護公司取得完整的資安託管服務（MSSP），並有82%的業者認為零信任（ZTA）能有效保障OT環境安全，並以此為基礎尋找全新OT安全解決方案。

延伸閱讀：Google推新資安證照！ 與北科、數發部、資策會聯手 目標培育2000名資安人才

多個資安防護服務串起聯防、協防才是業者的需求

「企業資安在OT、IT各有一套規範，因此擁有一套完整的OT解決方案，會是接下來2到3年間業者重視的議題。」Palo Alto Networks技術總監蕭松瀛觀察，現今OT環境越加重視多個資安防護，能否整合成一套能聯防、協防系統的資安託管服務。

「OT裡面零信任還是很重要的基礎。」報告書提到，市場有高達92%業者熟悉零信任相關技術，82%稱其適合保護OT環境，並有8成受訪者點出遠端存取OT環境將會更普及，自生成式AI崛起，也有業者對採用AI安全解決方案，可阻止針對OT環境的攻擊持正面態度。

雖然臺灣政府尚未強制執行關鍵基礎設施（CI）法規，但預期未來法規的嚴謹度會越來越高，業者往後恐要花費更多時間來符合標準。蕭松瀛回應，5成受訪者預測未來兩年網路安全決策將走向集中化，另有三分之一認為會採分散和集中化並行的混合模式，換言之，OT跟IT業者需要能分權、分層管理的OT網路安全防護系統。 

完整2024 OT 安全現狀報告書，可見Palo Alto Networks官方連結。

這篇文章 Palo Alto Networks「2024 OT 安全現狀報告」揭密市場對MSSP、零信任解決方案需求 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

近年來，「零信任」是個在資訊安全領域非常熱門的話題，連美國政府都在制定零信任策略。其實零信任不是一種產品，更像是保護企業資訊安全的方法論。

作者：黃婉中（雲端架構師）

前陣子因為疫情，睽違了一個月才進公司，需要影印的時後發現印表機沒有辦法連上線，問了IT同事才知道，公司現在實施「零信任」（Zero Trust），必須要確認身分和裝置才能夠登入。

隔天在做客戶訪談的時候，被問到該怎麼做「零信任」？客戶強調：「可不可以不要講產品，直接告訴我該怎麼做？」

近年來，「零信任」是個在資訊安全領域非常熱門的話題，連美國政府都在制定零信任策略。其實零信任不是一種產品，更像是保護企業資訊安全的方法論。

為什麼大家都在說零信任？

除了網路攻擊事件頻傳外，這幾年全球工作模式改變也是一大推手。

過往一間企業裡面所有的電腦、印表機等都在同一個網路中，彼此信任，認為「進了我家門，就是一家人」。因此我們可以便利的使用電腦連接印表機或者在網路硬碟上找到同事的檔案。

這幾年開始流行「數位游牧」與「在家上班」，許多員工和裝置本身並不一定位在辦公室內。加上疫情的推波助瀾，更是讓企業發現「家門外的可能也是自己人」，因而開始放鬆管制。

過了一段時間後，卻發現這樣一來不只網路負擔重，攻擊者也可以利用這些漏洞趁虛而入，反正「只要進得了家門，都是一家人」，而讓企業承受巨大損失。

慢慢地，我們發現是不是家人，不能用家門內外來判斷這麼單純。

零信任的三個原則

這三個原則分別是：隨時驗證身分、採用最小權限原則、假設資料已經外洩。

以微軟為例，從不假設任何在公司網域內的身分或裝置是安全的，凡事要執行任務前必定會再次確認。實務上，使用多因素認證（Multi-factor authentication）、隨時確認裝置安全、隨時監控服務和裝置的運行狀況達成。

總結

以上就是業界開始採用零信任的動機以及三個原則。下一篇文章，我們來了解實務上怎麼進行。

這篇文章 全球遠距工作浪潮下，你「零信任」了嗎？｜專家論點【黃婉中】 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

在2022年RSA大會的同時，美國發布《實施零信任架構》(Implementing a Zero Trust …

在2022年RSA大會的同時，美國發布《實施零信任架構》(Implementing a Zero Trust Architecture)，預計7、8月還會發布另外兩份資料。在業界，Akamai、Appgate、Csico、Zscaler等公司先後宣布各自的零信任解決方案，或在2022年RSA公開旗下最新版本，這樣的現象代表業界正在試圖解決潛在問題來讓平台更加成熟。

圖/123RF

零信任(Zero Trust)是一種網路安全模式，該模型最大特點為「先驗證，後信任」，因為其假定網路內外都存在著威脅，因此每個帳號、應用程式、設備等都必須確實驗證後才會授予權限。

CrowdStrike透過Asset Graph來處理如何提供即時遙測數據 (real-time telemetry data)和長期數據儲存的問題；Csico推出Csico安全雲(Security Cloud)，其中包含了由Duo和Box支援的安全存取(Secure Access)、安全存取服務邊緣(Secure Access Service Edge, SASE)解決方案的Csico+ Secure Connect Now；Ericom與Cyber Guards合作將SASE供應給需要零信任網路存取(Zero Trust Network Access, ZTNA)的支持的中小型企業。這些供應商的產品都標誌著零信任架構趨於成熟。

這些網路安全供應商了解一個零信任解決方案要達到有價值要包含以下三個關鍵點：（一）身分訪問管理(Identity Access Management)的多角色、多雲支持，目前BeyondTrust、Ivanti、Microsoft等皆有支持。（二）提高彈性，企業需要關注在如何建立有彈性的tech stacks。（三）透過整合實現更大規模。

2022年大會能了解到零信任，以及目前業界產品可達到的效益。科技的變動，政府也要隨之發展，《實施零信任架構》就是由美國國家標準暨技術研究院(NIST)的國家網路安全卓越中心(NCCoE)所發布。另外，國家安全電訊諮詢委員會(NSTAC)也有一關於零信任和身分管理的草案，兩者目的都在於能協助企業規劃零信任計畫，並提供一個有效的方案。（編譯／施毓萱）

資料來源：

https://venturebeat.com/2022/06/27/zero-trust-market-shows-signs-of-maturity-at-rsa-2022/

https://www.trendmicro.com/vinfo/us/security/definition/zero-trust

這篇文章 2022年RSA大會 零信任發展漸趨成熟 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。