零信任SaaS，不止于远程办公

作者 | 杨丽

出品 | 雷锋网产业组

教职工查询财务账单、日常办公审批，学生登陆校图书馆、查询院系课程安排……这些再日常不过的事情，在后疫情时代因互联网技术的渗透正潜移默化发生着改变。

去年8月，渤海大学开始引入企业微信，与校园内网的财务、OA等系统接入。这种方式改变了过去只能在PC端办公或依靠自己研发校园App的方式，实现以“一码通办”的方式进行移动端访问，大大提升了校园教职工移动办公的能力。

但与此同时带来的问题是，这部分业务是部署在互联网完全开放的环境中。传统的方式是，以VPN的方式接入，但实际也为应用遭到黑客攻击提供了窗口。伴随校园内网与互联网应用的边界逐渐模糊的趋势下，安全性、访问速度均成为首要关注的问题。

……

一年前，远程办公新趋势暴露出来的是企业网络安全治理的种种漏洞。零信任安全机制再度被关注到。

这个名词在安全圈其实已经稀松平常了，但对于更多的企业IT、业务、管理层而言，却并不知道是在干什么。

正如买安全产品就像买保险一样，如果你不出点啥事儿，你就根本不知道保险的价值。你希望保险能发挥出价值，但又不希望自己出事儿。

这句调侃话，其实也透露出了如今仍只卖硬件、卖盒子的网络安全厂商的市场天花板。

不做SaaS等死。越来越多的安全厂商希望能够渗透到SaaS领域，向云计算架构靠拢，因为它看到未来更多的客户会在云上。如何快速挺进这一市场？现阶段，疫情带来远程办公新模式的演进，将零信任技术的应用带入到一个新的发展阶段，厂商更需要通过理念、案例，以及对前瞻性技术的引导。

相比于移动互联网时代出现的种种安全解决方案，如BYOD、云计算安全等都是相对离散的点，从去年开始到现在，SaaS浪潮对网络安全产生非常强的影响和机遇，SaaS化云安全产品开始得到大规模场景的持续实践。

腾讯企业安全中心安全专家蔡东赟告诉雷锋网 (公众号：雷锋网) ：

“未来一段时间里，如果企业不具备远程办公的能力，其抗风险性是非常低的。目前很多企业已经习惯了这种线上作业的方式，这使得企业在满足等保合规要求和内网安全需求的同时，实现了对业务效率、成本上的进一步优化。而在更多的场景，如学校、酒店、物流公司其实是天然存在这类诉求，目前也都有相应的落地。”

那么我们再来回顾下什么是零信任，以及零信任为什么在如今能过发挥出如此大的影响。

零信任网络访问（Zero-Trust Network Access，简称“ZTNA)”），最早由市场研究机构Forrester提出，意思是不能信任出入网络的任何内容，即“从不信任，总是验证”。

可能用户会疑惑：既然都零信任了（不信任）了怎么还能接入？

对此，腾讯安全高级战略产品总监孙方霆用了一个更透彻的解释：

“零信任能解决远场办公场景下的安全性问题。它其实是一种安全的理念，且在持续不断演进中。它既不是一种独立的技术，也不是一个独立的产品或项目，而是一整套实现信息安全的指导原则。”

他指出，如今企业数字化转型面临三大挑战：

• 一是企业数字化转型推动了对新技术如云、大数据、物联网的应用需求。这些新技术、设备的使用对传统的网络安全技术和管理方式提出了新的挑战；

• 二是移动办公和远程办公的需求激增，使得企业的业务架构和网络环境发生了巨大变化，网络安全边界模糊甚至消失，对传统网络安全架构模型带来巨大挑战；

• 三是网络安全环境发生了变化，安全方面的攻击变得越来越频繁，如虚拟货币的兴起，导致黑产变现方式变得更加便利和不可追踪。

这意味着现阶段零信任的方式，一定要“触手可及”。对企业用户而言，不便捷的安全解决方案其价值也体现不出来。为了达到这样一种均衡，其复杂性也留给了服务商自己。

例如，零信任在架构设计时需要遵循以下几点基本原则：如确保所有的数据资源都能被安全访问；采用最小权限策略，并执行严格的访问控制策略；确保访问实体及环境的可靠性和安全性；对用户访问行为及环境进行持续地监控和分析；采用自动化和开放API实现系统之间的联动和快速相应等等。

这种背景下，腾讯安全推出了“腾讯ioA”零信任安全管理系统。从面向KA的私有化版本，到轻量级零信任产品。再到此次发布SaaS版零信任解决方案，可通过企业微信快速接入，支持企业快速部署、开箱即用，适用于远程办公、多云接入等场景。

据介绍，腾讯零信任SaaS版，基于零信任架构的应用安全访问云平台，无需企业安装硬件，也不需要改变原有安全架构，一键安装连接器，即可实现对数据中心的访问权限管理。企业亦可选择将业务应用安全接入企业微信，通过企业微信快捷访问业务，快速投入远程办公场景。同时，腾讯零信任SaaS版还支持灵活扩容，通过云平台统一管理多应用，提升企业的应急能力和运维效率。

而像本文开篇提及的渤海大学的故事里，目前已经上线腾讯SaaS版零信任解决方案，教师和学生通过企业微信异地接入学校内网，可完成对学校图书馆系统、课程通知系统等资源的访问，保障业务安全的同时，极大地提升了用户体验。（雷锋网）

。