IT现代化：从安全防护转向风险管理

作者：Lori MacVittie

采用基于风险的安全方法，需要显著转变我们对安全和数字资产的思考方式。鉴于数字威胁快速演变，而现有安全模型不仅无法跟上其变化，更无法有效缓解这些威胁，这种转变势在必行。

从数据包到有效载荷，再到流程

传统企业架构框架在创建之初并未考虑安全性。总体而言，安全确实是事后才纳入考虑的因素，其发展很大程度上采用被动响应模式。也就是说，恶意行为者发起攻击后，供应商和技术领导者才制定相应的缓解措施。这与数字化转型的性质有关。在数字化转型初期，重点是通过应用提高生产力和效率。这些应用大多固定不变，部署在隔离的数据中心内。在互联网时代到来之前，数据中心没有外部入口，因此遭受外部攻击的风险很低。

在早期阶段，安全防护主要集中在技术栈的最底层（即网络层），以保护暴露在互联网上的应用。每秒数据包数量过多，表明可能存在某种拒绝服务攻击。如何应对这种安全威胁？使用能够阻断攻击源的防火墙。端口和协议成为制定安全策略的基础，并根据尝试访问某个应用的数据包数量和传输速率设置阈值。这一阶段的安全防护重点是使用简单的静态规则阻断攻击，防止业务中断。

面对强大的防御，攻击手段迅速演变。随着应用日益丰富、功能不断增强，攻击者很快发现了软件栈中的漏洞。业界开始发现，用户与应用之间交换的消息载荷中嵌入了攻击代码，试图利用某个已知漏洞造成服务中断、获取未经授权的访问权限或窃取数据。安全行业再次采取应对措施，构建能够检测并消除嵌入式攻击的解决方案。这一阶段的安全重点是检测并消除嵌入事务中的攻击。

随着数字经济不断扩张，更深入、更广泛地渗透到生活的方方面面，攻击者可乘之机也随之增多。数据以及消费者和企业账户访问权限的价值正呈指数级增长。据估计，Steam、EA Sports和Epic等平台每月有数千个电子游戏账户“被盗，包含大量账户信息的数据库则在Telegram私人频道中以10,000至40,000美元的价格交易”（BitDefender）。如今，从游戏、金融到医疗保健和政府服务，各行各业都频繁发生账户接管事件。2021年，欺诈导致美国政府损失的联邦福利资金估计达870亿美元（CNBC）。这些损失主要源于疫情期间的失业救济计划，该计划大部分通过数字服务运行。

旨在帮助消费者抢购限量发售商品的专用机器人正不断涌现。这些机器人利用技术和速度优势，让消费者在网上购买商品所需的时间，甚至比人工选择合适尺码和颜色还要短。这类机器人原本被定位为帮助消费者的技术工具，但几乎立即被恶意行为者利用，用于快速扫空商品并高价转售。球鞋机器人、节日抢购机器人及其他专用机器人越来越多地将特定的高需求商品和供应商作为目标。

“得益于StockX和GOAT等转售网站，收藏级运动鞋已成为一种资产类别，其价格与商品售罄的速度大致相关。复杂的运动鞋抢购机器人可能售价数千美元，是制造人为稀缺的关键。这种稀缺性让运动鞋变得有价值，进而让品牌显得很酷。”（纽约时报）

除了应对针对网络服务和应用的现有攻击外，安全行业现在还必须应对以业务流程为目标的攻击，例如登录服务或购买产品。传统的检查和评估方法无法检测针对合法业务流程的攻击。这些攻击并非利用漏洞，也不涉及协议漏洞利用。问题在于，这些流程以数字化能力的形式对外开放，拥有相应手段获取或花钱购买正确凭据的人可能会加以利用。

保护这些流程的工具还必须能够区分软件用户和人类用户。软件（例如机器人）既被追求效率的用户使用，也被试图牟利的攻击者利用，这一现实使区分工作更加困难。安全防护必须再次演进，这一次需要转向风险管理。

采用风险管理方法并不意味着放弃以往的安全防护方式。事实上，针对技术栈各层的攻击持续不断，必须加以应对。风险管理方法并不排斥使用技术来防范大流量攻击或通过恶意内容发起的攻击。与实施细节相比，风险管理方法更关注如何识别威胁和判定风险。

如果目标是降低企业风险，就应将最多资源投入到风险降低投资回报更高的工作中。（McKinsey）

采用基于风险的安全思维，组织可以避免在遭受攻击时仓促应对，转而审慎制定符合业务成果并兼顾业务风险承受能力的安全决策。

安全现代化：转向风险管理

如今，数字化企业通过现代应用提供数字体验，与客户和合作伙伴建立联系。因此，保护应用是实现安全现代化的重中之重。这些应用，以及进一步细分后构成应用的工作负载和服务，通过创建、丰富企业数字资产和/或提供这些资产的访问权限，以不同方式创造价值。因此，它们是现代安全理念关注的核心。如今通常所说的网络安全，重点在于保护应用以及用于开放这些应用的API，从而将各类用户与支撑数字化业务的数字资产连接起来。

技术领导者非常清楚实施被动式和主动式安全防护所需的工具与技术。问题在于：“如何推动组织转向一种主要依托身份和资产进行风险评估的方法？”

这一转变以两项核心技术为基础：身份验证和访问控制。身份验证为策略提供身份要素，而访问控制则用于管理数字资产。

身份验证本质上是确定并验证应用使用者身份的过程。过去，这些使用者主要是希望访问私有数据中心内单体应用的人员。因此，所有身份验证系统和服务都可以部署在同一数据中心内。如今，现代应用采用分布式架构和开放的API，身份验证也必须随之演进。身份验证现在不仅要识别人员使用者，还要识别自动化代理等人员代理。此外，由于分布式应用由来自多个云的服务组成，身份验证必须适应联合式、跨企业身份存储环境。简而言之，身份验证仍是基础防御的核心要素，但如今数字服务的范围不断扩大，需要以新的视角看待身份及其验证方式。

访问控制一直以来都是确定谁或什么可以访问企业资源的过程，今后也将如此。但与身份验证一样，随着企业应用的发展，访问控制所需的功能也在不断演进。早期的访问控制在网络层实施，潜在的应用使用者根据由网络IP地址界定的边界，被划分为“内部”或“外部”。如今，移动使用者通过多个交付点访问分布式应用，已不存在可清晰界定内外之分的静态边界。因此，访问控制必须以经身份验证确认的用户身份为依据。现代应用使用者已无法再按网络位置区分，而是根据其身份进行分类。 

将这些技术与所有关键数字资产的完整清单相结合，可用于执行针对允许访问特定资产所带来风险而制定的决策。这些决策基于对资产如何暴露，以及资产应向哪些对象或不应向哪些对象暴露的了解。

因此，实现安全现代化的第一步是创建或完善资产清单，重点关注这些资产的访问方式和访问原因。此外，技术负责人应注意，应用是访问所有数据的主要途径，因此资产清单还应能够将资产映射到与其交互的应用。

接下来，技术负责人需要与业务负责人协作，为关键资产建立风险与回报评估模型。由此形成的风险与回报评估模型应使安全措施与业务成果保持一致。例如，AiteNovarica的研究显示，“商家因错误拒绝交易而损失的收入是欺诈所致损失的75倍”，这意味着所谓错误拒绝交易带来的风险可能高于允许交易的风险。

因此，应根据组织的风险承受能力，允许或拒绝与该交易相关的交互。可能影响决策的因素包括交易价值，以及对用户合法身份的确定程度。系统有50%的把握确认用户身份合法吗？把握更大？还是更小？每个组织都将确定自身的风险承受能力，并据此调整风险/回报配置文件，以便在相应限度内实施安全措施。风险/回报配置文件可指导人员和系统确定如何应对潜在风险。风险规避倾向较强的组织通常会赋予风险更高的权重，并采取控制措施来规避风险。相反，风险承受能力较强的组织在确定如何实施安全控制时，会将回报视为更重要的因素。

这里的粒度，即在事务层面进行评估，意味着能够持续评估数字交互，并根据依照策略评估的实时上下文调整安全决策。这种方法是零信任方法的一项关键能力，用于执行决策的关键技术也是如此，包括身份验证（谁）和访问控制（什么），详见白皮书《零信任安全：零信任为何重要（且不只关乎访问）》。

持续评估数字交互的能力取决于企业级数据和可观测性战略。也就是说，组织不仅需要制定相关战略，还应逐步实现全栈可观测性；如果不将数据集中到单一存储库中，还需具备连接并关联不同存储库中交互的方式。

因此，向风险管理转型的关键在于采用三项特定技术：身份、可观测性和访问控制，并以整体零信任方法指导实施。

IT现代化必须涵盖安全

数字化业务的一项关键能力是保障安全，包括保护其数字资产、数据以及客户的财务和个人信息。

在数字化企业中，几乎所有交互都以数字方式进行。因此，安全应成为企业的核心要素，并在IT层面成为企业架构的核心要素。对大多数企业而言，这意味着需要评估现有的安全实践、工具和策略，判断它们在以数字化为主的环境中是否仍然适用。其中许多措施是为应对日益增多的攻击和新兴威胁而临时部署的。要全面保护组织在数字经济中蓬勃发展所需的所有数字资产和交互，必须采取更审慎、更全面的方法。

组织以企业架构的形式构建技术基础时，并未充分考虑数字化业务运营的诸多方面，安全性就是其中之一。

随着我们加速迈向数字化成为默认模式的世界，组织需要实现IT现代化，以支持并推动快速变革和数据驱动型决策，从而在未来蓬勃发展。实现企业架构现代化是其中的重要一步。这必须包括一种覆盖更广、更全面且最终能够自适应的安全方法，即风险管理方法。

要深入了解如何实现架构现代化，尤其是安全架构现代化，从而满足数字化业务需求，请阅读我们与O’Reilly合作推出的新书《数字化业务的企业架构》。