全景軟體產品研發處資深協理柳永祥指出，零信任架構的概念自2020年美國國家標準暨技術研究院（NIST）頒布標準文件SP 800-207後快速發酵，不僅美國政府單位積極導入，台灣的資安院亦從2022年開始推動零信任架構，並優先由資通安全責任等級的A級機關開始實施，同時藉此促進國內廠商發展零信任架構資安產業鏈。
不過，柳永祥實際接觸客戶觀察，不論是政府還是企業，對於零信任的理解似乎仍相當模糊。在2023年一整年，全景軟體花了大量時間向客戶解釋零信任的重要性，發現市場上對此概念的了解仍需加強。
零信任架構的核心在於防範現代駭客利用系統漏洞進行攻擊。在傳統的資安事件中，人們常常首先檢討防火牆或防毒軟體的攔截規則，但只要有一處破綻，駭客便能成功入侵並在內部網路中擴散。因此，對於應用系統的漏洞修復成為了一項挑戰。
近幾年，隨著資安意識的提升，網路微分段機制被視為降低風險的有效手段。這種機制的挑戰不在於將應用場景限制在特定範圍內，而是如何準確辨識合法權限者。政府單位在這方面採取了零信任原則，通過嚴格的身分鑑別過濾機制來提高安全性。然而，這種身分鑑別機制與現有應用系統大相逕庭，需要進行客製化或整合才能運行。所幸政府單位由中央政策推動的應用系統許多委由大型外商開發，相對容易客製化整合零信任機制。但對於多數企業而言，情況則較為複雜。柳永祥說明，許多企業營運系統依賴的是現成套裝軟體，這些系統欲納入身分鑑別機制難度較高，可說是全景軟體在協助客戶導入部署時面臨的主要挑戰。
立法制定資安標準規範
資安市場上最早提出零信任安全概念，主要為Google內部的BeyondCorp專案，以實作打破傳統的內外網界限，不論何時何地發起存取，皆採以一致的認證過程與控管策略，並根據使用者的角色和權限來授予相應的訪問權限。
全景軟體IoT資深資安顧問邱志成說明，在零信任的框架下，不僅使用者的登入行為需要認證，連同存取資源的設備也需經過嚴格的檢驗，目的是杜絕潛藏後門程式的可能性，降低機敏資料遭竊取卻不自知的疑慮。
「聯網裝置安全性審查要求，早在2020年時任美國總統川普，就已簽署『物聯網網路安全法』，為美國聯邦政府採購聯網裝置制定了標準規範與架構。緊接著美國國家標準暨技術研究院（NIST）開始制定零信任框架，不過要達到實作，還須整合跨部門資源制定最佳實踐範例。」邱志成說。台灣數位發展部監督的行政法人資安院，也參照了NIST的最佳實踐範例，制定了適用於台灣情境的架構。
零信任原則，作為一種概念，透過NIST的規範和最佳實踐示例，已經被各國政府所採納和推廣。在物聯網安全領域，各種通訊協議和標準規範如充電樁的開放充電協議（OCPP）、工業控制領域的IEC 62443標準、智慧電網的IEC 61850等等當中，都扮演著關鍵角色。邱志成指出，類似於歐盟的GDPR和美國的個人資料保護法，越來越多國家透過立法來加強物聯網裝置的安全性。例如，歐盟委員會提出的無線電設備指令授權法案（RED-DA），預計於2025年生效，目標是提升聯網裝置的安全性，避免因5G技術的普及而引發更大規模的網路攻擊活動。
對於企業而言，特別是以出口導向的製造業，對零信任原則的控管模式亦開始關注。主因在於歐美地區的客戶已經開始要求，出廠的硬體裝置必須具備嚴格的資安保護機制，如韌體安全更新、安全啟動、金鑰管理等，以降低資安風險。
反向代理閘道器輔助決策引擎鑑別
全景軟體身分認證產品已通過FIDO及OATH認證，可因應應用需求提供多因素驗證與設備鑑別，提高應用存取的安全等級。柳永祥指出，全景軟體通過資安院提出的身分鑑別功能符合性驗證之後，迄今已有近二十個政府單位正在積極導入部署，其中少數已完成並開始運用。
全景軟體發展的零信任解決方案，組成元件包含存取閘道、決策引擎、身分與設備鑑別。柳永祥說明，存取閘道以反向代理方式輔助決策引擎提供的聲明伺服器與決策控制器，以使用FIDO等強認證方式檢查身分，並且檢查設備TPM是否有註冊裝置憑證。
他進一步說明，零信任原則的實施過程中，遇到的主要挑戰包括應用系統的整合度與效能問題。由於每個單位的應用系統架構不同，直接影響零信任原則落實程度。尤其是對於分散式部署的應用系統，需要逐一與認證機制整合，不僅耗時費力，也需要有技術團隊支援。政府機關可仰賴外包廠商進行應用系統的調整和修改，但對於企業來說，則更傾向利用標準協定，如SAML或OpenID等，來實現與零信任閘道器的整合。
整合TPM晶片保障聯網裝置安全
身分鑑別的重要性，在當前的物聯網應用環境已不容忽視。全景軟體除了在使用者的認證方面，已支援市面上所有類型的鑑別器，包括生物辨識技術。在聯網裝置的鑑別方面，亦積極在發展，可藉由裝置的安全晶片信任根（RoT），以及設備憑證PKI（Public Key Infrastructure）管理機制，來確認設備的合法性，並預防聯網設備韌體或作業系統存在尚未更新修補的危險漏洞。
全景軟體產品研發處資深協理柳永祥（左）與IoT資深資安顧問邱志成（右）指出，基於自主研發能量、深耕身分認證技術25年的經驗，為企業與政府組織打造零信任架構（ZTA）方案，以符合法規規範同時提高安全等級。
「在資安院推動的零信任架構第二階段──設備鑑別，全景軟體提倡利用TPM晶片來實施安全認證，藉此建立一個可信賴的基礎。同時可在物聯網生態中提高可靠度。」邱志成說。
聯網裝置的辨識通常依賴於金鑰或憑證，若未能被保存在一個足夠安全的環境，則有可能遭到攻擊者伺機竊取。因此，為了保障裝置的安全，必須建立一個堅固的信任根。例如全景軟體與英飛凌（Infineon）合作，整合運用英飛凌OPTIGA TPM以及OPTIGA Trust M安全晶片，擁有獨立的微處理器和儲存區域，能夠與裝置上運行的作業系統執行環境進行物理隔離，具高度安全性。其安全啟動、存取、儲存等核心功能將有效抵禦惡意滲透攻擊。