零信任是一种安全模式，可以概括为“永远不信任，永远验证”。换句话说，无论是从企业网络内部还是外部尝试连接到系统或数据，未经验证的访问权都不会被授予。
许多企业可能承诺采用零信任模型，但不能通过单一技术或解决方案来实现。相反，它是一种依靠技术和治理过程的结合来保护的整体安全方法IT环境。为了使其有效，需要在企业的各个层面进行技术和运营改革。
要采用零信任模型，需要牢记以下四个原则：
1.物理安全
对于所有形式的计算，数据中心仍然代表着处理和存储客户数据的中心，无论是在内部部署设施还是在云中。更重要的是，它也代表了抵御网络盗窃的第一道防线。
首先，物理安全包括数据中心的现场监控，如使用全天候安全摄像头和专业安全团队进行现场巡逻。
其次，所有设施的访问必须通过批准的访问列表进行控制。这意味着名单上的每个人都有与他们的访问控制卡相关的照片和生物识别文件；进入数据大厅，批准人员必须刷卡并验证其生物特征，然后才能获得访问权限。
还必须保证电源、冷却、灭火等关键环境要素的安全，使系统在发生电源故障或火灾时保持在线状态。
2.逻辑安全
逻辑安全是指技术配置和软件的各个层次，它们的结合创造了安全稳定的基础。网络层、存储层和管理程序层应用逻辑安全。
在网络层中，客户防火墙后面的两个网段不能以任何方式重叠或交互。企业的网络流量是特殊的，平台上的任何其他客户都看不到。
对于存储平台，继续采用分段、隔离、安全划界的概念。
最后，不要忘记虚拟机监控程序。和网络和存储一样，逻辑分段的实现是为了避免争议，通常被称为“嘈杂的邻居”。该资源被标记为在其私人环境中使用，以确保资源在逻辑上分配给每个客户。
3.流程
未经培训和经验丰富的人员使用任何物理或逻辑安全解决方案都无效。如果管理系统的人员不理解或不知道如何在为保护各种系统而建立的控制范围内工作，解决方案将失败。很简单，人们不会在家庭安全系统上花费数千美元。
安全过程甚至在员工进入企业之前就开始了，并在开始工作之前进行了背景调查。所有员工一，所有员工都应在入职过程中接受安全和合规培训，并每六个月至少接受一次安全培训。
使用零信任模型进行操作，除非另有证据，否则强制执行“拒绝访问”是关键步骤。基于角色的访问控制(RBAC)模型授予访问权，并根据其功能为特定个人提供访问权。除了基于角色的访问控制(RBAC)此外，特权账户还配置为使用双因素身份验证进行操作。这是访问关键系统所需的更高级别的授权。除目前的授权外，所有员工在更改角色、团队或部门后仍需要确保他们在更改角色、团队或部门后仍需要访问权限。
面向过程的更常见的安全活动包括所有系统的年度渗透测试和定期修复计划。
4.持续审计
最后，必须定期审查和审查现有的流程和系统，以确保合规性，并遵守企业的安全标准。这在高度监管的行业尤为重要，如金融服务和医疗保健。
上述物理、逻辑、流程和审计元素，无论企业现在还是未来追求零信任，都可以作为确保数据安全的起点。