每年ISC的主题也随着当年的最新技术而与时俱进，让人们第一时间感受新技术带来的新动向、新思路和新思维。2015年ISC的主题是“数据驱动安全”，背后是大数据用于安全的解决思路；2017年，漏洞问题频发，安全技术人才的重要让“人是安全的尺度”成为那一年的主题。

与历年的主题相比，今年的“从0开始”，看似简单的一句话却融合了方法论、技术趋势以及最流行的安全理念，可以在诸多方面给我们思考。

从安全的普及角度看，0代表的是小白用户，安全从0开始则寓意着，安全需要从最广泛小白用户开始，普及安全理念。

从0开始，从安全规划的角度来看，就是告诉我们安全要从用户的业务规划阶段入手，从最初的阶段进行切入建设才能达到最理想的效果。

从0开始，0信任的技术架构，更是安全行业最前沿的方法论，是安全行业已经形成广泛共识的安全理念。“零信任”的策略就是默认不相信任何人、任何设备，哪怕曾经有过授权。用最坏最糟糕的假设，作为架构系统的前提和背景，架构出最安全的系统。零信任网络是基于设备、用户、动态访问控制和行为感知策略。它需要一个强大的身份服务来确保每个用户的访问，一旦身份验证通过，并能证明自己设备的完整性，则赋予适当权限访问资源。所以这里有四个元素：验证用户、验证设备、权限控制、自学习和自适应。

验证用户最基本的是用户名和密码，但怎么确保这个密码不是从黑市上买来的?所以就出现了多因素认证来获得额外的保证，国内一般是短信验证码或软硬件token，当然现在也开始逐渐出现人脸、指纹等。用户有很多类型，普通用户、管理员、外包、合作伙伴、客户，多因素认证都可以适用。

要实现零信任安全，要把控制扩展到设备级。如果设备未经过验证，设备就不可信。如果用户数用常用、可信设备访问，则有可信度。如果他在网吧用一台电脑来登陆，那这个信任度就低。设备验证还包括了一些安全准入条件，比如是否安装杀毒软件和最新补丁。

限制用户最小权限的访问，就可以限制攻击的横向移动。其次是对业务应用的授权，业务层包含大量敏感数据，是攻击的首要目标，因此在应用侧限制权限也同样重要。数据越重要，权限越少，也可以用多因素来进一步验证。

收集用户、设备、应用和服务器数据和行为信息，形成日志数据库进行机器学习分析，达到异常识别的目的，比如从异常位置访问资源，则立即触发强认证。

零信任方案有几个好处，一是重新定义了身份，以前都是根据角色进行的，而零信任模型则更加动态，用时间、属性、状态的组合来实时评估。二是集中控制，所有的流量都通过中央网关来处理认证和授权，这种网关可以拦截所有到资源之间的通信。但中央网关不是只有一个，而是分布式的，只是逻辑上的集中。三是主动防范，能够检查日志做审计是一回事，能够实时拦截主动防范则是另一回事了。

零信任的网络架构，总而言之，就是让安全系统不再有命门不再有薄弱环节。这是我们未来网络安全的重要发展方向。

数据驱动安全，这一前ISC大会主题已经深深影响着我们如今的安全实践。越来越多的公司实践着依靠大数据的力量协同驱动安全运营。越来越多的公司在开始重视高水平人员在安全运营当中的作用。

ISC已经深深的影响了安全产业的发展方向，ISC已经肩负起了它的历史重任。

（本文作者：360企业安全技术专家 王宏坤）

声明：本文来自安全内参，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。