Vì sao Zero Trust sẽ là Thực hành Quan trọng cho các Chuyên gia An ninh vào năm 2023

 Là một chuyên gia an ninh vào năm 2022 không phải là một chuyện dễ dàng. Trong một năm chứng kiến hàng ngàn vụ vi phạm dữ liệu, ngay cả những chuyên gia an ninh dày dặn kinh nghiệm nhất cũng phải làm việc hết công suất. Trong tập podcast mới nhất của MongoDB, Giám đốc An ninh Thông tin MongoDB, Lena Smart, đã tham gia cùng huyền thoại công nghệ và đồng sáng lập MongoDB, Dwight Merriman, để thảo luận về cảnh quan an ninh CNTT đang thay đổi và các xu hướng sẽ định hình các thực hành tốt nhất cho tương lai.

Xu hướng chống công nghệ

Là một doanh nhân công nghệ tham gia vào nửa tá startup, Merriman đã phát triển được cảm nhận về các xu hướng công nghệ giao cắt với nhu cầu người dùng. Vào năm 1995, internet là một trong những xu hướng đó. Những xu hướng khác tiếp theo bao gồm mạng LAN, điện thoại thông minh và AI. Nhưng điều khác biệt về bảo mật, Merriman nói, đó là nó hoạt động như một xu hướng chống lại, có nghĩa là nó là một vấn đề dường như chỉ trở nên khó khăn hơn để giải quyết.

"Bảo mật thông tin luôn luôn là một vấn đề. Nhưng mỗi năm nó trở nên khó khăn hơn. Trước thời internet nó dễ dàng hơn một chút, khi bạn không kết nối với toàn bộ hành tinh. Ngày nay, sự phức tạp vốn có của phần mềm hiện đại có nghĩa là có nhiều vector tấn công hơn." 

Khi xu hướng chống công nghệ phức tạp trùng với sự gia tăng về sự tinh vi của hacker, công việc của các chuyên gia an ninh chỉ trở nên khó khăn hơn. "Bạn có tất cả mọi thứ từ đứa trẻ trong tầng hầm hack xung quanh đến các cuộc tấn công tinh vi hơn như tội phạm có tổ chức và các diễn viên quốc gia. Làm thế nào để bạn bảo vệ chống lại điều đó với tư cách là một công ty khi bạn có ít tài nguyên hơn nhiều? Với tư cách là một CISO, người bảo mật hoặc nhà phát triển, nó chỉ đang trở nên khó khăn hơn mỗi ngày."

Merriman dự đoán rằng nó sẽ trở nên khó khăn hơn mỗi năm trong 10 năm tới, và cược càng lớn hơn. "Bạn không thể quá hoang tưởng được," ông nói, "Chúng ta vẫn cần hoàn thành công việc. Vì vậy, tôi rất ủng hộ việc bạn không thể tạo ra quá nhiều ma sát."

Kiểm soát những gì bạn có thể kiểm soát

Đảm bảo an ninh trong khi giảm ma sát là một trong những nguyên tắc cốt lõi của quản trị dữ liệu, bao gồm các quy trình cần thiết để thiết lập cách xử lý dữ liệu phù hợp của một tổ chức. Cho dù bạn đang sử dụng các dịch vụ bên thứ ba, tích hợp với chuỗi cung ứng phần mềm để xây dựng các ứng dụng hoặc dịch vụ mới, hay làm việc giữa các bộ phận nội bộ, cách tiếp cận tốt nhất từ góc độ bảo mật là bắt đầu với ít lòng tin nhất có thể.

"Zero Trust là một thuật ngữ lớn trong những ngày này," Merriman nói. "Một phần của chuỗi cung ứng của bạn là chuỗi cung ứng nội bộ của bạn. Trong các công ty lớn như công ty Fortune 500, nơi nó rất lớn, bạn có thể coi chúng là các công ty riêng biệt. Vì vậy, bất cứ điều gì bạn nghĩ về bảo mật và chuỗi cung ứng, hãy làm điều đó ở bên trong nữa. Hãy coi mỗi bộ phận như một chuỗi cung ứng nếu nó là nhà cung cấp cho bạn. "

Khái niệm mô hình Zero Trust dựa trên ba nguyên tắc:

Không bao giờ tin tưởng, luôn xác minh - Điều này đảm bảo rằng bất kỳ ai truy cập dữ liệu của công ty đều được xác minh ngay khi bắt đầu truy cập vào các tài nguyên mạng.

Cung cấp ít quyền truy cập nhất có thể - Việc cẩn thận với ai có thể truy cập vào dữ liệu nào là rất cần thiết để giữ an toàn cho dữ liệu. Bằng cách giới hạn quyền truy cập của nhân viên và bên ngoài chỉ vào dữ liệu cần thiết để thực hiện một nhiệm vụ cụ thể, bạn giảm khả năng xảy ra vi phạm.

Áp dụng phân đoạn mạng - Bằng cách chia dữ liệu (như với cụm MongoDB), bạn cô lập và bảo vệ nó, thay vì giữ tất cả trong một nơi mà nếu bị xâm phạm, sẽ đặt tất cả dữ liệu vào nguy cơ.

“Danh tính là chu vi bảo mật mới của bạn. Bạn không bao giờ có thể quá hoang tưởng hoặc quá cảnh giác khi xác định ai có thể truy cập dữ liệu kinh doanh của bạn," Merriman nói.

Đột phá mới trong bảo mật 

Yêu cầu bảo mật là điều thúc đẩy MongoDB hợp tác với các nhà tiên phong trong cộng đồng học thuật để phát triển một hình thức bảo mật đột phá mới, mã hóa có thể truy vấn. 

Làm việc với nhà mật mã học của Đại học Brown Seny Kamara và đồng sự lâu năm Tarik Moataz, nhóm đã phát triển cơ sở dữ liệu có thể tìm kiếm được đầu tiên trên thế giới mã hóa đầy đủ. 

Nó cho phép các tổ chức mã hóa dữ liệu nhạy cảm từ phía khách hàng, lưu trữ nó dưới dạng dữ liệu đã mã hóa hoàn toàn ngẫu nhiên ở phía máy chủ cơ sở dữ liệu, và chạy các truy vấn biểu cảm trên dữ liệu đã mã hóa. 

Mã hóa có thể truy vấn mở rộng ý tưởng về Zero Trust bằng cách thêm một lớp bảo mật bổ sung cho dữ liệu trong khi nó đang được sử dụng bởi bất kỳ ai được giao nhiệm vụ xử lý nó. Được thiết kế bởi Nhóm Nghiên cứu Mật mã Nâng cao của chúng tôi với 20 năm kinh nghiệm thiết kế các thuật toán tìm kiếm đã mã hóa tiên tiến, được đánh giá ngang hàng và đẳng cấp nhất, Mã hóa có thể Truy vấn hiện đang có sẵn trong Phiên bản Xem trước.

Hãy lắng nghe cuộc trò chuyện đầy đủ với Giám đốc An ninh Thông tin MongoDB, Lena Smart và huyền thoại và đồng sáng lập MongoDB, Dwight Merriman.

Nếu tổ chức của bạn cần một cách để xây dựng các kiến trúc cơ sở dữ liệu không chỉ có thể mở rộng mà còn an toàn, hãy xem xét sử dụng MongoDB Atlas để xây dựng điều tiếp theo lớn.