<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/4-0_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">為什麼要有二階段驗證呢？二階段驗證真的比較安全嗎？「零信任」將回答這些疑問。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<p>近年來，因為 COVID-19 疫情的關係，居家辦公和遠距教學逐漸成為新型態的生活模式，雖然讓生活更加便利，卻也帶來資訊安全的隱憂。</p>
<p>&nbsp;</p>
<p>我們常可以看到這樣的場景，同一台電腦，在上班時間，家長用來開會、辦公，下班後，就給小朋友看平板、玩遊戲，或者是同住家人用來追劇。國家資通安全研究院溫翔安副主任提醒，「當員工可能需要與家人共用電腦、網路或帳號等資源，或者在工作之餘使用同一台電腦進行娛樂活動，就可能產生新的『資安攻擊面』，提升資安問題的發生機率。」</p>
<p>&nbsp;</p>
<p>資安危機非常多元，包含隱私或敏感資料外洩、網路攻擊、社交工程、資安政策（不）合規等風險。想要應對這些資安挑戰，就需要新的安全模式——透過多層次的驗證和授權機制，保障資訊的安全，也就是「零信任」的概念。</p>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>零信任到底是什麼？</b></span></h2>
<p>傳統的防火牆是以「網路邊界」為主，將防火牆作為防禦重心的安全概念，只要順利進入防火牆，就能被系統判定為「好人」，資料隨手即得。</p>
<p>&nbsp;</p>
<p>而「零信任」則是強調資源防護，假設任何請求都不可信。匯智安全科技鄭嘉信執行長表示，「這樣的控制機制，打破了過去我們習以為常把企業網路分成『信任區』與『不信任區』的資安防護觀念，將企業網路與公開網際網路一視同仁，完全不給予信任。」</p>
<p>&nbsp;</p>
<p>鄭嘉信執行長進一步說明，在零信任的架構下，資安思維變成了「要存取資源，就要驗證資格」的模式。不過，在實踐上也帶來了挑戰。想像一下，如果我們取消了機場安檢，卻要求乘客在登機前、飛行期間的每一個小動作（即使只是打開座椅上的螢幕）都進行驗證，那將是多麼不便和困擾呢？</p>
<p>&nbsp;</p>
<p>雖然零信任可能增加潛在成本和消耗，但不能否認的是，零信任確實比基於「網路邊界安全」的防護來得有效。</p>
<p>&nbsp;</p>
<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/4-1_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">「零信任」強調不是有通行證或密碼，就能進入禁區，還必須確認你是通行證或密碼的擁有者。例如在網路進行交易時，就會通過手機簡訊驗證是本人操作。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>零信任如何運作？為什麼難以由單一廠商提供服務？</b></span></h2>
<p>想想看，如果你和朋友共用一個 Google 帳戶，是不是三不五時就需要請他幫你「點進應用程式，按下確認」，甚至每一次要完成的驗證動作都不相同？</p>
<p>&nbsp;</p>
<p>沒錯，這是因為在「零信任」的架構裡，每一個網路服務請求的來源、過去用來存取行為的軌跡分析，甚至是發起的設備，都需要經過信任推斷。</p>
<p>&nbsp;</p>
<p>零信任的運作主要有三個層面，包含「對發動服務請求的設備進行信賴程度認證」、「對發起需求的使用者身分進行核實與認證」，以及「對上述來源的動態信任判斷」。而要做到以上工作，難以由單一設備或模組完成，必須仰賴所有中介這些服務請求的網路設備與服務，且在零信任的概念下協同運作，才得以達成。</p>
<p>&nbsp;</p>
<p>當然，操控服務請求的使用者，也必須被驗明真身，包括事前的身分鑑別、存取當下的身分認證，都必須嚴格執行。並且，以身分認證而言，過去常見的輸入密碼方式，被視為絕對不可靠，而需要以生物特徵、多因素認證等方式進行。</p>
<p>&nbsp;</p>
<p>在實踐零信任架構（Zero Trust Architecture, ZTA）的實務過程中，除了可能增加潛在成本與消耗外，更面臨一系列挑戰。例如，對資產清單和管理的要求、對應用程式和資源的全面了解、角色定義和訪問策略的管理等。此外，隨著跨本地和雲端環境的通訊和分散式 IT 組件的增加，複雜性也不斷提高。而開放與標準化的<span data-component="tippy" data-content="應用程式介面是一組定義和協定，讓兩個軟體元件彼此溝通的機制。例如，在氣象局開發的軟體系統中，有每日的天氣資料，而用戶手機的天氣應用程式則會通過 API 與此系統「交談」，藉此在手機即時顯示每日天氣概況。">應用程式介面（Application Programming Interface, API）</span>，也是實現零信任架構的重要技術。</p>
<p>&nbsp;</p>
<p>除了技術層面之外，企業和廠商在部署和整合方面所需付出的努力都非常龐雜，必須根據企業的需求和風險程度，制定符合資安政策的規則，也要在整合零信任架構時，考慮與其他廠商、企業內部系統、既有安全機制的相容性和整合性。</p>
<p>&nbsp;</p>
<p>正因為信任架構需要整合不同的技術和組件，單一機構往往只能專注於特定的組件或功能，難以提供完整的解決方案。</p>
<p>&nbsp;</p>
<p>不過，如果要實現零信任架構，能怎麼做呢？</p>
<p>&nbsp;</p>
<p>在美國，透過整合不同廠商的產品和技術來實現零信任架構，已經有了絕佳案例。美國國家網路安全卓越中心（National Cybersecurity Center of Excellence, NCCoE）與 Microsoft、Cisco 及 Otka 等 20 家技術公司，合作研發了開放的、可互通的、基於標準的零信任架構 ，這便是透過整合不同廠商的產品，提供符合 NIST SP 800-207 的零信任解決方案。</p>
<p>&nbsp;</p>
<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/4-2_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">目前，零信任基礎架構正陸續建設中。由於架構複雜，需要多個機構共同努力才能完成。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>零信任技術在臺灣</b></span></h2>
<p>在現今社會中，資安威脅與全球資通安全事件層出不窮，根據趨勢科技的資安報告，光在 2022 上半年，就攔截了 630 億次的威脅，威脅數量較 2021 年同期增加了 52%，可見資安威脅已不容忽視。行政院在民國 110 年的「國家資通安全會報」中，提出了「國家資通安全發展方案（110 年至 113 年）」，以「善用智慧前瞻科技，主動抵禦潛在威脅」為策略，發展基於零信任的網路安全環境，並且漸進式導入政府機關和民間企業。</p>
<p>&nbsp;</p>
<p>為了實現國家資通安全發展方案的目標，國家資通安全研究院參考美國國家標準技術研究院（National Institute of Standards and Technology, NIST）發布的標準文件 NIST SP 800-207：零信任架構，選擇了資源門戶的部署模式，核心機制包括身分鑑別、設備鑑別和信任推斷。</p>
<p>&nbsp;</p>
<p>應用方面，零信任架構的防護能力適用於政府機關的資通系統，無論是在內網還是外網，都能保持相同的安全防護機制。</p>
<p>&nbsp;</p>
<p>推動方面，國家資通安全研究院協助數位發展部，推動「資通安全責任等級 A 級」的公務機關，優先導入零信任架構，同時促進國內廠商發展零信任網路資安產業鏈，提供符合功能和驗證要求的解決方案。</p>
<p>&nbsp;</p>
<p>而究竟該如何導入零信任架構呢？臺灣科技大學管理學院羅乃維院長針對「評估需求」、「選擇方案」、「建置系統」等階段，給予相關機構實用建議。</p>
<p>&nbsp;</p>
<p>他建議，在規劃階段，企業或組織可先評估本身的組織架構與作業流程、既有環境、人力、經費等條件，再根據需求，擇定符合安全性驗證的整體解決方案，像是來毅數位、中華資安、數聯資安等機構提供的服務，導入所需的軟體、硬體、經費。</p>
<p>&nbsp;</p>
<p>在建置階段，需要將零信任身分鑑別解決方案結合原有系統，並建置系統環境、訂定系統管理辦法。最後，將自身系統對照部署驗證檢核表中的項目，再向國家資通安全研究院申請部署驗證作業。 </p>
<p>&nbsp;</p>
<p>此外，隨著科技蓬勃發展，物聯網作為 5G 的一大應用，當設備連接到雲端，便有感染惡意病毒、遠端入侵、權限濫用等問題；而零信任架構就能提供多一層保障。</p>
<p>&nbsp;</p>
<p>就未來發展面向而言，自駕車平台系統就是一個極具潛力的產業。在零信任架構下，自駕車內部系統可確保用戶隱私和資源存取的合理授權並且運用信賴評估機制持續監控行車安全，進而確保自駕車平台系統的安全性和可靠性。</p>
<p>&nbsp;</p>
<p>在次世代智慧醫療方面，以零信任架構建立的系統，可大幅避免惡意攻擊及醫療設備侵入事件，確保設備與儀器正常運行；另外，這類系統也能加強病患、醫護人員的身分驗證，以及出入診間與病房的控制，提升病患個資、用藥、病歷紀錄等資料的安全，將醫療體系的資安風險降到最低。</p>
<p>&nbsp;</p>
<p>簡而言之，零信任架構需要不斷更新與整合，也需要企業與組織持續投資、執行及維護，才能確保能夠即時阻擋不斷變化的資安威脅與挑戰。這是一個能享受科技帶來的便利，卻得與資安威脅共存的時代，身處在這個大時代中的你，準備好了嗎？</p>
<p>&nbsp;</p>
<p>（客座總編輯｜國家資通安全研究院 林盈達副院長；研究顧問團隊｜臺灣科技大學管理學院 羅乃維院長、國家資通安全研究院 溫翔安副主任、匯智安全科技 鄭嘉信執行長；責任編輯｜曹盛威、劉品萱）</p>
