
微軟與美國國家標準暨技術研究院 (NIST) 合作,共同推動零信任實施的進展
微軟與國家網路安全卓越中心(NCCoE)合作發布了最新的零信任實踐指南。該指南詳細說明了如何實施零信任策略,以及對您和您的組織而言,使用零信任進行端到端安全防護的意義。
隨著零信任安全模型持續獲得關注,客戶經常詢問如何有效利用目前技術實現零信任模型導入。微軟正在參與由國家標準暨技術研究院 (NIST) 底下的國家網路安全卓越中心 (NCCoE) 所領導的合作項目。微軟加入此項目並付諸努力,旨在支持這一項重要任務,並幫助滿足我們客戶對零信任實施時參考依據的需求。
自 2022 年以來,NCCoE 與包括微軟在內的 24 家廠商合作,開發了一份實踐指南,為需要實施零信任的企業組織提供實際的步驟。零信任原則包括假設入侵(assume breach) 以推動全面且實用的安全方法,以最低限度的企業資源和服務存取權限為中心,來限制爆炸半徑。為了因應威脅、技術和業務的持續變化,零信任模型提供了一種端到端各工具全面協作的方法。
「 NCCoE 致力於推出能有效協助組織應對現代網路安全挑戰的計劃。與像微軟等合作夥伴緊密合作,並整合各種產品與服務所獲得的經驗與教訓,對於這項努力而言,都是無價的寶貴貢獻。 」
— NIST 的 Alper Kerman
資訊安全不是一件簡單的事 —— 它一直是一個極為複雜且充滿挑戰的領域,而零信任正在改變這個領域的運作方式。儘管仍有大量工作待完成,但看到客戶在實施零信任架構上取得迅速進展並實質受益,讓我們感到十分鼓舞。
![]() |
NIST:實施零信任架構這份來自 NIST 的指南提供了從 NCCoE 實驗室實施零信任的實踐建議。 |
微軟與美國國家標準技術研究院 (NIST) 的國家網絡安全卓越中心 (NCCoE) 攜手合作,共同優先推動零信任模型。
這兩個機構多年來一直是零信任模型的堅定支持者。這張圖表展示了微軟技術如何對應到 NIST 的零信任模型:
NIST 在網路安全領域的作用不容小覷。除了數十年來發布安全標準外,NIST 的協作中心——國家網路安全卓越中心(NCCoE),通過發布操作指南、實踐指南和使用情境,為設計和實施零信任提供了清晰的指導。
「NCCoE 致力於幫助組織加強其網路安全。我們實現這一目標的主要方式之一,是將現有的安全標準轉化為實踐指南,讓組織知道他們需要做什麼來保護他們最關鍵的資產。透過簡化流程,我們可以讓更多的組織受益於零信任原則。」
— NIST 的 Alper Kerman
微軟與美國國家標準技術研究院(NIST)的國家網路安全卓越中心(NCCoE)的合作
微軟與美國國家標準技術研究院(NIST)的國家網路安全卓越中心(NCCoE)的合作,已經持續了數十年,並特別支持 NIST NCCoE 的使命。 在這段期間,微軟積極參與了 NIST 公開透明的標準制定過程,特別是支持 NCCoE 的使命- 開發實用且可互操作的網路安全方法,展示如何通過零信任架構的各種組件安全地減輕風險並滿足各行業的合規要求。 微軟對 NIST 在網路安全領域所扮演的可信且明確的腳色,讓微軟留下了深刻的印象。當我們得知這次最新的合作機會時,我們知道我們想要也必須參與其中。
2020 年 10 月,當 NCCoE 尋求產業夥伴支持實施零信任架構項目時,我們迅速抓住了這個機會。NCCoE 的零信任架構項目是迄今為止最大的專案,有 24 個參與組織,以及一套豐富的實用文檔。這個NCCoE專案的目標是展示幾個零信任架構解決方案的範例——應用於傳統的、通用的企業 IT 基礎設施——這些解決方案是根據 NIST 特刊(SP)800-207《零信任架構》中記錄的概念和原則設計和部署的。這項工作的文件中清楚地說明了如何使用當今的技術實際實施零信任原則。
此專案涵蓋了可能面臨的幾種常見情境:
- 一名員工尋求公司資源權限以完成工作。
- 員工從企業設備尋求網路資源權限以完成任務。
- 承包商試圖尋求公司資源和網路資源。
- 企業內部的伺服器彼此互相連線。
- 一個組織與商業夥伴合作,希望安全地訪問特定資源。
- 一個組織希望結合監控和安全資訊事件管理(SIEM)系統與政策引擎整合,以獲得更精確的信任評分
作為零信任架構專案的一部分,NCCoE 剛宣布共同推出零信任架構 1800-35 實踐指南。該實踐指南詳細介紹了基於標準的零信任架構實施。這份指南提供了一條學習途徑,能夠深入理解零信任安全模型,並包括實際案例、各種示例實施及相關文檔。它的開發目的是為了提供簡易性、實用性及易於操作性。
合作帶來學習與價值
這些資源幫助微軟客戶完成端到端整合,這將隨著時間的推移,導入的價值將越明顯。我們與 NCCoE 的零信任實施幫助我們發展微軟技術和指南,以成功部署零信任產品,未來也會持續投入。
零信任未來將帶來什麼
微軟與 NIST 正在探索機會,利用這項基礎工作支持其他將受益於零信任部署模型的案例情境。微軟對於政府對零信任架構的承諾以及美國行政命令 14028 關於網路安全和 OMB 實施策略都一直密切關注。
微軟持續致力於實現一套整合性的解決方案,讓客戶能夠更輕鬆、全面地應對他們面臨的安全挑戰。微軟也不斷從過去自身和客戶所遭受的網路攻擊中吸取的經驗,整合到我們的指南和技術中。 AI 的發展及其與零信任的密切關係,使這種轉變變得更加關鍵——網路邊界無法保護您的 AI 或您的數據。
探索實施零信任的策略
我們知道,採用零信任方法是具有挑戰性的,因為它需要在心態、策略和架構上進行轉變,同時還需要大量的工程工作。透過產業分析師和其他來源的回饋,我們得知客戶在這段佈署建置的過程中取得了許多進展和正向反饋,並感到鼓舞。微軟正透過 NIST 的 NCCoE 零信任架構聯盟、我們的安全採用框架(SAF)、國際開放標準組織的零信任標準以及其他安全指南來努力解決這些挑戰。
了解更多
關於更多零信任的資訊,您可以在 LinkedIn 上關注 Mark Simos,並探索 Mark 常分享的網絡安全資源清單。
要了解更多關於微軟安全解決方案的資訊,請參考我們的網站。將 Security blog 加入書籤或我的最愛,以跟進我們專家對安全相關事務的報導。同時,也可以在 LinkedIn (Microsoft Security) 和 X (@MSFTSecurity) 上關注我們,得知最新的網路安全新聞和更新。
關於國家網路安全卓越中心
NCCoE,作為 NIST 的一部分,是一個協作中心,產業組織、政府機構和學術機構在此攜手合作,解決企業面臨的最迫切的網絡安全問題。這種公私合作夥伴關係能夠為特定產業以及廣泛的跨領域技術挑戰創建實用的網路安全解決方案。透過 CRADAs 下的聯盟,包括技術合作夥伴——從財富 50 強市場領導者到專注於資訊技術和營運技術安全的小型公司—— NCCoE 運用標準和最佳實踐,利用商業上可獲得的技術開發模塊化、易於適應的網路安全解決方案示例。NCCoE 在 NIST 特刊 1800 系列中記錄了這些示範案例解決方案,這些解決方案將功能對應到 NIST 網路安全框架,並詳細介紹了另一實體重建示例解決方案所需的步驟。NCCoE 於 2012 年由 NIST 與馬里蘭州和馬里蘭州蒙哥馬利縣合作成立。更多資訊可詳閱 https://www.nccoe.nist.gov。