張如旭

新型冠狀病毒疫情迫使組織迅速加速數(shù)字化轉(zhuǎn)型。幾乎在一夜之間，各種規(guī)模和行業(yè)的公司都部署了云和容器等技術(shù)，以支持向物聯(lián)網(wǎng)的轉(zhuǎn)變并解決遠(yuǎn)程勞動力問題。

如今，由于新技術(shù)模糊了網(wǎng)絡(luò)邊界，許多組織感覺已經(jīng)失去了對傳統(tǒng)IT資產(chǎn)清單的控制，這種缺乏可見性是一個主要的安全風(fēng)險，必須通過更新的資產(chǎn)管理方法來解決。

網(wǎng)絡(luò)安全資產(chǎn)管理（CSAM）是整個企業(yè)IT安全運營的主要基礎(chǔ)。CSAM為安全團(tuán)隊提供了IT資產(chǎn)及其相關(guān)安全風(fēng)險的實時目錄，使其成為主動的、端到端的安全策略的基石。

CSAM讓我們考慮到進(jìn)行適當(dāng)資產(chǎn)清查繁瑣、耗時的過程，主要包括以下幾個挑戰(zhàn)：

從多個來源收集分布式數(shù)據(jù)

隨著云和容器技術(shù)的引入，大量數(shù)據(jù)存在于多個來源中。在疫情期間，這種大型的、分布式的工作環(huán)境已經(jīng)成為常態(tài)，給試圖定位和保護(hù)所有數(shù)據(jù)帶來了巨大的挑戰(zhàn)。

驗證合規(guī)性法規(guī)

越來越多的合規(guī)性法規(guī)和受最佳實踐啟發(fā)的框架，例如網(wǎng)絡(luò)安全成熟度模型認(rèn)證（CMMC），正在朝著基于風(fēng)險或以成熟度為中心的目標(biāo)邁進(jìn)。

這要求組織了解隨時控制目標(biāo)的方法。為了實現(xiàn)這種狀態(tài)，安全團(tuán)隊需要對組織內(nèi)的所有資產(chǎn)進(jìn)行全面、實時的盤點，因為以程序化的方式驗證合規(guī)性幾乎是不可能的。

實施網(wǎng)絡(luò)安全資產(chǎn)管理

當(dāng)開始使用CSAM時，安全團(tuán)隊?wèi)?yīng)該尋找一個自動化的、基于云的系統(tǒng)，使他們能夠維護(hù)所有IT資產(chǎn)的完整、詳細(xì)和不斷更新的庫存，無論它們位于何處，包括在企業(yè)內(nèi)部、云實例或移動端點。

在這樣的云資源中還必須考慮以下能力：

需要提供IT環(huán)境的完整可見性，包括所有IT資產(chǎn)（硬件和軟件）；

需要對IT和安全數(shù)據(jù)進(jìn)行持續(xù)和自動更新；

需要在不借助額外硬件的基礎(chǔ)上完成快速擴(kuò)展；

需要幫助突出和排列資產(chǎn)的重要性；

需要交互式和可自定義的報告功能，以便根據(jù)需要對數(shù)據(jù)進(jìn)行切片、切塊，并確保報告可跨多個受眾使用。

今天，組織必須以安全第一的心態(tài)運營，意味著所有員工都有責(zé)任確保公司盡可能地安全運營。這包括幫助CSAM通過基于云的系統(tǒng)，員工將能夠整合工作負(fù)載并滿足跨組織的功能要求，這對組織來說是一個重大勝利。

零信任后的資產(chǎn)管理

在多起大規(guī)模網(wǎng)絡(luò)安全事件發(fā)生后，零信任引起了人們的極大關(guān)注?，F(xiàn)在，組織比以往任何時候都更傾向于采用“零信任”的方法來更好地保護(hù)資產(chǎn)，而成功規(guī)劃實施零信任的最關(guān)鍵步驟之一是更新資產(chǎn)清單。資產(chǎn)清單應(yīng)包括所有硬件、軟件、網(wǎng)絡(luò)連接、用戶、數(shù)據(jù)和流程。

通過關(guān)注資產(chǎn)，組織可以對需要最大保護(hù)和安全性的資產(chǎn)設(shè)置敏感度和優(yōu)先級。一旦完成，組織應(yīng)該開始映射所有資產(chǎn)以及每個資產(chǎn)之間的相互作用。在這里，安全領(lǐng)導(dǎo)者將最小權(quán)限的概念應(yīng)用于資產(chǎn)之間的每一次交互，這不是一項小任務(wù)，但卻是實現(xiàn)零信任所必需的。

綜合疫情高峰期發(fā)生的重大網(wǎng)絡(luò)安全事件，要求組織重新考慮過時的業(yè)務(wù)運營方法，尤其是在網(wǎng)絡(luò)安全方面。

傳統(tǒng)資產(chǎn)管理必須發(fā)展，以定位分布在各種技術(shù)（包括云和容器）中的數(shù)據(jù)，同時還要遵守現(xiàn)代框架和合規(guī)性要求。CSAM應(yīng)該成為組織的重中之重，因為只有徹底了解所有IT資產(chǎn)在多個生態(tài)系統(tǒng)中的位置，公司才能更好地應(yīng)對未來的威脅。