全局性安全策略有助网络安全成本实现优化

Laurent Bouchoucha

一月 09, 2023

企业必须全面评估自身需求以减少重叠，并制定综合性计划，实现对网络安全预算的最大化利用。

物联网（IoT）呈现指数级增长的同时也带来了网络安全漏洞的大幅增加。每一个设备、传感器、摄像头或其他对象都有可能为整体安全带来潜在风险。这意味着企业必须认真评估安全成本上升对其预算造成的影响。仅购买如防火墙、入侵检测系统和网络访问控制系统等安全点产品就可高枕无忧的日子已经一去不复返了。今天，企业正在增加对托管服务的投入，以改善网络安全性，如风险评估和分析，提供培训以帮助员工成为网络卫士，以及持续的网络和网站漏洞评估。可以说这就是如今的发展方向。但问题是，在这个充满挑战的新格局下，如何才能实现网络安全成本的最大优化？

了解您的需求

显然有些领域会出现网络安全花费超支的情况。比如以购买、部署和维护无数独立的安全解决方案为例。多个解决方案的同时部署可能意味着内容重叠，因此导致成本效益不佳。企业必须全面评估他们的需求，并清楚地了解每个解决方案的部署目的，以及供应商之间所需的集成水平。还需要注意的是，许多安全解决方案都过于庞大，尤其是软件许可部分。在许多情况下，这些花费支出本可以用在其他更重要的地方。

一个可以即刻见效的策略就是，确保具备一个包括安全访问权限的大小适当的简化网络。这样的技术已经存在并被称为网络访问控制（NAC）。不幸的是，技术部署方面仍然滞后，原因可能与昂贵的成本及复杂的流程有关，当然这要取决于具体供应商。然而现实情况是，当手动进行的安全配置流程导致出现潜在错误时，这可能会令人更加头疼，最终导致额外成本的产生。安全补救方面也面临类似问题，缺乏甚至是最基本的自动化机制也同样会导致不必要的客服帮助成本。今天，简化且成本优化的网络自动化已经存在，而这应当成为企业愿意进行投入的一个关键领域。

五大建议

降低或至少保持现有安全成本水平需要创新性的解决方案，并跨越整个企业实施特定的网络架构与策略。以下是我们为您提供的五大考量建议：

1. 采用零信任模式：零信任模式能够为办公室和远程用户提供更安全的网络连接，而不会使网络暴露于外部攻击和横向移动风险之下，最终降低数据泄露成本。在获准任何访问权限之前，用户必须进行安全配置验证。这种认证和授权过程必须实现自动化，以限制可能导致成本增加的潜在错误出现。用户或对象到网段和安全策略的映射是动态的、策略驱动的以及基于身份验证的。连同零信任模式，网络和通信技术与AIOps（智能运维）的全新融合可针对安全漏洞以实时方式自动提醒IT相关方，从而及时采取行动并降低损失成本。

2. 投资统一的有线与无线网络管理系统：为实现简化和降低总体拥有成本（TCO），针对有线和无线网络实施的零信任模式必须相同。将网络安全策略、应用程序和网络连接要求整合到同一个统一的独特平台上，将减少对员工进行多系统培训所需的时间和成本，并大幅缩短部署与启用之间的时长。

3. 了解自己的成本花费：清楚地知晓自己的支出项目，比如存在对昂贵软件许可进行了过度支出等问题。此外，确保TCO解决方案协议在一开始就明确无误。寻找一个确保一项成本涵盖多个许可的供应商，而不是每个功能交一笔许可证费用，这会使总体花费迅速累积。

4. 仔细考量OpEx和CapEx：如果预算有限，新的OpEx与CapEx混合模式是一个很好的选择。拥有灵活性可以令企业通过订阅式服务投资于最新的创新成果。基于云的订阅模式可以令企业以经济实惠的价格访问拥有极快速度与规模的最新安全技术。这也被称为网络即服务（NaaS）。

5. 部署最佳实践：与业务和运营利益相关者进行深入讨论对于制定安全策略极为必要。在启用新的安全策略之前必须对其进行全面测试，以确保重要活动不会发生中断。例如，当前拥有未经授权访问权限的既有设备就有可能正是关键任务型活动的一部分。如果设备的访问被修改，未经测试的网络隔离可能会造成意外影响。

综合性安全模式

企业不能再仅仅依靠软件和硬件方面的安全保证。网络的安全性必须融入到企业运营的组织架构中，而不只是被视为一项附加。采用多层面的安全模式，包括VPN、防火墙和身份访问管理（IAM），可以提供分布式的安全性。

多层次的网络安全模式能够为应对网络攻击提供额外的屏障，并且是预防性的屏障，从而确保IT资产和数据的安全性并控制未来成本水平。在用户访问方面获得更多控制权的同时，降低物联网、移动及网络设备可能造成的安全漏洞影响。最终，防止安全事件成为攻击媒介并提供可信赖的业务生态系统。

无论基础设施是完全实施本地部署、管理或是远程操作，都必须确保进行持续监控，以针对任何攻击企图或攻击进行识别、阻止和补救。网络组件必须确保为最新版本并易于管理。网络安全领域中最关键的挑战之一不再是技术，而是敏捷性，即缩短行动时间。只有实施具有全局性且集中式的管理战略，这一目标才有可能实现。

随着混合办公和远程办公模式的兴起，访问云应用成为了必需。然而，随着基于云的系统和移动设备数量的持续增长，安全的边界也变得更加不明确。

安全访问服务边缘（SASE）可与安全的LAN和WLAN园区实现互补，从而解决混合办公方面的问题。此网络架构框架将SD-WAN和VPN功能与防火墙、安全Web网关、云访问安全代理以及零信任网络访问等云原生安全功能相结合。基于云的SASE能够为用户、系统和终端提供与任何地点下应用程序及服务的安全网络连接。SASE更强调用户这一方面，确保能够与应用程序和服务建立更动态的连接，而不是关注安全周界。这意味着它可以在VPN功能的帮助下提供企业所需的覆盖更广的云安全性。

确保网络安全尤其要避免孤立的竖井模式。不断增加的安全漏洞数量意味着企业必须时刻保持其网络的敏捷性和获得支持，随时能够应对任何新的潜在威胁。安全部署还必须遵循最佳实践。全局性的安全策略，结合有效的网络安全员工培训，可带来更强大的网络攻击防御能力，确保企业在所需时间和地点拥有所需要的有用资源。