APNIC文摘 — 讓安全更簡單

本APNIC文摘原標題為Making security simpler for organizations big and small,由Kathleen Moriarty撰文。

過去幾年來,我們看到更多各種不同規模的組織單位面臨網路安全威脅,包括試圖找出侵入點以取得更大範圍權限的攻擊。雖然供應鏈攻擊並不一定比其他類型的攻擊更厲害,但此類攻擊帶來的危害不可否認日益嚴重。

越來越多包括美國行政命令、歐盟國家制令等政府命令要求內建安全和常態性管理。許多缺乏資源的組織單位往往選擇利用雲端代管環境達到安全目標,然而這些代管環境也需要安全控管資源。除此之外,不同平臺的控管機制也大不相同。

要求供應商內建安全機制的趨勢,也呈現安全管理規模化的機會。隨著安全概念向「零信任」轉型,安全管理也必須進入每個微小的環節。如何推動安全轉型並建立管理架構模式,將決定未來供應鏈管理的安全。

本文作者Kathleen Moriarty為網路安全中心(Center for Internet Security,CIS)技術長,在加入CIS之前,Kathleen是網際網路工程任務組(Internet Engineering Task Force,IETF)的安全主任。投身協定演進研究的同時,他也找到讓安全更簡單的方法,並將發現集結成書《資安轉型:最佳化五種並行趨勢以減少資源流失》(Transforming Information Security: Optimizing Five Concurrent Trends to Reduce Resource Drain)出版。書中指出當代軟體和執行系統安全架構的不足之處,包括使用外加安全產品的慣例。

有感於許多資源不足的組織單位難以建立有效的安全控管架構,Katheleen最近發布的CIS白皮書《簡化安全》提出範例,說明如何有規模地自動化供應商安全機制的基礎控管區域。白皮書內容聚焦於資產管理、軟體資產管理,以及資產購入及後續管理的系統態勢安全保證。在規模化建置的前提下,文件中列舉有民主化安全機制潛力的技術、協定和開源專案。

Kathleen在今年3月的RSA會議中,主持了一場「讓安全更簡單」的座談。與談人包括Dell、RedHat、Cisco及Microsoft代表,討論未來5年內如何促進內建安全規模化的轉型。其中特別值得紀錄的亮點包括:

  • Dell代表Rudy Bauer分享Dell安全元件驗證( Secured Component Verification,SCV) 專案,加強確保使用驗證技術的供應鏈安全。此專案顯示供應商有能力確保產品符合既定政策及量測規範,進而確保產品售出後,無需購入方多餘的持續管理監控,程式啟動過程也值得信任且安全。
  • Microsoft的Kay Williams分享Microsoft在發現新弱點時,用來更新客戶機器的平臺。過去幾年來修補程式改善很多,供應商可以全面自動化修補過程,客戶方幾乎不再需要在自身環境進行分散測試。
  • RedHat的Luke Hinds表示,RedHat持續和SigStore開源專案合作,開發用來簽署、發布軟體物料清單(Software Bill of Material,SBOM)開源程式碼。
  • Cisco的Tony Jeffs指出產品開發環境是入侵的管道之一,隨著威脅樣態演變,Cisco了解到規模和敏捷度的重要。他認為必須結合中央化安全架構及隱私保護,確保這些層面的一致性。此過程應從自動化資產清單開始,建立一系列控管原則,並在過程中自動化減緩風險。

這場座談以Kay Williams強而有力的發言作結。他表示:「安全如同淨水與清淨的空氣,一般個人應可視此為理所當然。」

Kathleen認為這也應該是未來產品安全的基本,安全對所有人來說都應該變得更簡單。

 

*台灣網路資訊中心(TWNIC)與亞太網路資訊中心(APNIC)合作,定期精選APNIC Blog文章翻譯摘要,提供中心部落格讀者了解目前亞太地區網路發展之最新趨勢。原文標題為Making security simpler for organizations big and small

圖片來源: APNIC Blog

Leave a Comment

發佈留言必須填寫的電子郵件地址不會公開。

回到頂端