#科技與人文-趙坤茂
草木皆兵的零信任安全模式
在護城河及多道城牆的防禦工事下，君士坦丁堡曾經是堅不可摧的神話。然而，正如一條鐵鍊的強度，取決於它最脆弱部分，當鄂圖曼帝國攻打君士坦丁堡時，其城牆仍有必須修建補強的區段及防範圍堵的城門，再加上攻城火炮助威，神話終究還是破滅了。
如今，護城河及城牆不再能保家衛國，而在條條大路通自家數位世界裡，網路駭客花招百出，任何網路流量都是潛在威脅，防火牆的防禦工事已不足以阻隔本機網路與外界網路。
這也難怪近年來國內大廠因資安漏洞資料外流事件，時有所聞，不僅要應付駭客天價的贖金勒索，還得彌補客戶機密外洩所影響的商譽及業績。尤其在新品發表會前夕前讓亮點提前曝光，其造成的衝擊傷害更不容小覷。面對無法無天的網路劫匪，科技重鎮的寶島難道就任人宰割嗎？資訊安全已然是國安範疇極為重要的一環。
四月中旬，美國總統拜登針對俄羅斯的惡意網路活動，實施經濟制裁，包括六家支援俄羅斯情報單位網攻技術的科技公司。拜登政府也推出新穎的資安課程，協助政策制定者深入理解資安事件的政策面及技術面。
有鑑於防火牆不足以抵禦外侮，近年來包括美國國防部等機構逐步採用零信任的網路安全模式，更嚴謹管控蕭牆內外的網路活動。零信任安全模式的原則是，「永不信任，一律驗證」，認定沒有網路、裝置、應用程式、使用者和管理者是絕對安全的，必須透過層層關卡驗證與加密，以保全網路內的系統和資料。
無論是從遠端，或在地請求連結的裝置，必須在雙向充分認證後才接通。考量系統癱瘓及資料外流的風險，各個系統及資料使用權限必須明確規範。在通過系統驗證後，使用者取得任務需要的最低權限，僅可在設定時段裡執行，並留下所有操作及存取紀錄。同時，還要有自動偵測異常狀況的監控機制，可適時揪出外來駭客及內部害馬，以免事態擴大，覆水難收。
試想，擁有公司機密或民眾個資的資訊系統，倘若有人濫用職權惡意竊取資料，或刻意刺探他人隱私，這類的不肖行徑難道不必管控嗎？另一方面，零信任安全模式固然強化了安全機制，但難免因層層關卡帶來不便，而且全面監控組織內外的網路交流，也要留意不能違反基本人權。
可惜的是，網路空間本該是開放、自由及可信賴的，但天下何曾太平過！當我們行走數位江湖時，還是先練就金鐘罩或鐵布衫吧。
（作者為台灣大學資訊工程系教授）
資安課程 在 AIS3 新型態資安暑期課程 - Facebook 的推薦與評價
AIS3 新型態資安暑期課程. 2263 likes · 2 talking about this. AIS3新型態資安暑期課程是由教育部資訊安全人才培育計畫推動辦公室所主辦。從2015年起我們於暑期舉行 ... ... <看更多>