如何让企业从上到下都支持零信任部署？（下）

在《如何让企业从上到下都支持零信任部署？（上）》中，列举了企业推进零信任部署可以采取的6大措施。本期将继续讨论企业在推进零信任部署过程中可能遇到的常见问题以及相应的解决方法。

1. 推行零信任部署的常见问题及解决方法

1）对零信任的误解或怀疑

用户经常将“零信任”误解为不信任用户，所以会对零信任产生抵制或不满，从而阻碍用户采用。

同样，一些企业的 IT 部门和领导层认为零信任只有全球500强公司才需要，不是中小型企业应该考虑的问题。但事实上，中小企业的安全目标和大公司几乎相同，而零信任对于保护网络和资产安全至关重要。

解决方法：有效沟通和培训

意识到这些常见问题之后，企业可以调整相关培训和沟通。具体方法可以参见上期的战略培训一节。

2）影子 IT

影子 IT 是零信任部署的另一大障碍：当用户获得的零信任资源无法满足需求时，就会转向替代解决方案，影子 IT 就是其中之一。

影子 IT 包含的恶意元素会增加、分散和规避规定的系统，会破坏 IT 环境，导致 IT 部门无法查看和管控。

除了非托管账号输入和访问企业数据这类安全风险外，影子 IT 还可能严重破坏身份和访问管理（IAM）系统以及具有多个身份的目录系统、影子 IT 中的孤立数据以及冲突的用户数据。 

解决方法一：采取一切预防措施

虽然影子 IT 并不能完全预防，但可以通过以下方式将负面影响最小化：

影子 IT 安全意识培训：很多员工不了解影子 IT 的概念，也不清楚可能造成的安全后果。为此，企业应该将影子 IT 的安全意识培训作为企业安全计划的一大关键，给予足够的重视。  

与 IT 部门进行开放式沟通：用户无法从企业 IT 部门获得帮助或提出请求时，他们更有可能求助于外部资源。为此，IT 部门应明确请求或反馈的流程，保障及时响应和定期审查反馈。  

关注员工体验：企业的 IT 资源应该能够无缝完成企业部门和用户的任务。功能不全的工具和复杂难用的工具都可能导致用户和部门寻求替代方案。企业应安排调查随时了解有效和无效的工具，保持 IT 通信渠道畅通、易于访问、响应迅速。

解决方法二：消除影子 IT 或将其合法化

预防影子 IT 很重要，但可能并不有效。影子 IT 和网络威胁一样大概率还是会发生。因此，IT 部门必须提前制定预案。

消除影子 IT：影子 IT 不符合企业 IT 合规要求时就必须停止使用，具体可以通过与用户通信或阻止访问。但是影子 IT 可能确实解决了业务问题，IT 部门应和用户、其他部门交谈，确定影子 IT 的需求，找到合规的替代方案。

影子 IT 合法化：如果影子 IT 实现了增值也符合合规性要求，IT 部门可以将影子 IT 中的身份和企业的 IAM 工具或目录集成、降低许可成本、规范使用，使其合法化。

3）技术素养对零信任部署的影响

不熟悉零信任工具和流程或抵制变革的用户也是部署的一大阻碍。但企业缺乏关于零信任的知识也同样会产生难以克服的障碍。

采用零信任遇到困难的终端用户往往会频繁出错，最终避免采用零信任，这都与零信任的实施背道而驰。

如果没有围绕零信任安全和相关技术的充分培训，IT 部门就无法正确维护管理，长期下去必定会导致故障。

解决方法一：组织培训，培养安全文化

通过有效培训可以在很大程度上解决技术问题，而培养安全文化也能帮助员工内化知识，规范操作。 

解决方法二：展现零信任的优势

除了培训和培养正确的安全文化，还要确保用户、领导层和 IT 部门了解零信任的优势： 

用户可以拥有更好的体验，个人数据也能得到充分保护。领导层也和终端用户一样提升了体验。并且，零信任在防止违规行为方面更具竞争力也更有效，有助于提高整体业务的可行性，也守住了安全底线。 

IT 部门在管理方面获得了更多优势，例如风险可视化、工具更易使用，日常工作得到简化。此外，组织零信任培训也是一个磨练技术的机会，从职业发展的角度来看有助于提升个人竞争力。

2. 简化零信任部署

计划过于复杂就不容易实施。想要简单实现零信任部署，企业必须充分调研零信任厂商，搜集相关方案，找到适合自己企业、易于实施的方案。零信任不是一整套产品，以“身份”为核心，通过渐进式的部署才能实现零信任安全的目标。

有关零信任方案详情可以访问宁盾官网博客、微信公众号，也可在线咨询。