零信任公开课 | 居家办公，企业如何解决远程办公带来的安全隐患？

疫情之下，远程办公访问已成为常态，各行各业都采取了不同程度的居家办公模式。政府部门通过政务微信、移动公文、协同办公等系统进行政务操作，互联网企业通过远程接入、会议软件实现在线沟通，医疗机构医护人员通过互联网诊疗系统实现异地问诊。然而，居家远程办公的同时，看不见的安全风险也正暗流涌动。

3月21日，腾讯安全举办《远程办公安全》专题公开课，邀请到腾讯安全零信任产品总经理杨育斌、腾讯企业IT部安全专家蔡东赟两位专家，结合腾讯零信任产品及相关实践，分享了腾讯iOA零信任解决方案，以期为大规模远程办公背景下众多企业的安全防护提供实践参考。

远程办公走向常态化、安全风险不容忽视

从全球范围看，远程办公已经走向了常态化、全员化。据Gartner最新调研数据显示，75%的组织已经计划让部分员工一直远程办公。尤其是在经过了新冠疫情之后，更是大大加速了远程办公这一趋势的发展。远程办公在提高员工响应率和决策速度等方面的价值也得到了广泛认可。

杨育斌认为，远程办公也带来了一些安全风险，在数字化转型和业务云化的大背景下，组织的边界变得越来越模糊。边界模糊化使得业务过度地暴露在互联网下，导致威胁更容易渗透到组织内部，也致使业务数据更容易被泄露出去。此外，员工接入环境的复杂，接入终端多样化、使用环境多样化、使用角色多样化、使用场景多样化也会带来漏洞、病毒这类终端风险。

从企业、员工的角度总结，远程办公存在的安全风险包括终端准入风险、系统入侵风险、数据泄密风险以及违规操作风险。杨育斌建议可以从员工侧、企业侧两个维度进行风险规避。从员工侧来看，要注意密码安全、邮件安全和WiFi安全，尽量使用“字母(大小写)+数字+特殊符号”形式的高强度密码，切忌“一套密码到处用”，不点击不明链接，在公共场合避免去问一些不安全的热点。从企业侧来看，由于办公边界被打破，传统边界防护已不起作用，可通过零信任解决方案来构筑安全防护体系。

持续验证、永不信任：腾讯零信任方案为远程办公保驾护航

据杨育斌介绍，腾讯零信任解决方案从远程访问第一步开始，便做好了身份登陆的校验和统一的身份管理。在端点方面，方案提供了云查杀和病毒的检测能力，以及主动防御和拦截能力。在部署模式方面，腾讯的离线方案支持SaaS化部署，此外还提供私有化部署。在远程办公和远程运维场景中，腾讯零信任解决方案已经在内部全面使用。

腾讯iOA零信任体系基于4T可信原则来实现整个零信任方案的运转。身份可信根据配置的授权管理，通过扫码、密码等方式实现员工的身份认证；设备可信依托腾讯超过20年的基础安全技术积累，通过病毒防护、漏洞修复、安全合规等手段实现设备环境的可信；应用可信可根据业务情况，指定和控制特定版本的应用对系统的访问权限控制；链路可信通过严格的链路加密、安全校验，保证数据传输不被黑客劫持和嗅探。

基于上述四大安全原则，腾讯iOA实现了整个零信任系统的动态监测，即持续验证、永不信任，进而实现整个职场安全和运营体系的构建。据悉，腾讯零信任方案已通过3月15日启动的“远程办公护航计划”推广到各类大中小企业中，通过面向所有企业免费提供三个月的腾讯iOA零信任授权，助力企业安全、稳定、高效地度过特殊时期，给企业提供高效的远程办公服务。

随时随地安全访问，腾讯iOA让远程办公安全无忧

腾讯iOA基于终端安全、身份安全、应用安全、链路安全等核心能力，对终端访问过程进行持续的权限控制和安全保护，实现终端在任意网络环境中安全、稳定、高效地访问企业资源及数据。

蔡东赟表示，企业的两个关键资源场景体现在业务服务器之间的资源访问，以及办公场景下终端对服务器资源的访问。腾讯iOA在应对和解决办公问题时，适用于Any Where、Any Application、Any Device、Any Work。Any Where指为内网提供一个方便的接入职场网络工作的方式，并提供对应的安全能力，外网情况下iOA会提供一个安全简化的接入；Any Application指iOA确保只有安全的终端应用才可以访问进来，只有合规的应用程序才可以访问内网资源；Any Device指提供无端准入服务，满足协作公司终端不允许受控的场景；Any Work指服务器不直接暴露在有告警风险的网络，内外网都可以访问业务服务并能受控制和审计。

在实践落地方面，蔡东赟以腾讯内部实践为例，分享了腾讯iOA的实践效果。腾讯办公地点覆盖全球，跨越欧洲、美洲等，员工也经常居家办公。这种情况下，传统VPN需要不断地重新做身份验证，IP一不小心也会断掉。iOA作为腾讯职场办公建设的基础，为腾讯整体职场管理运营提供安全和技术支撑，通过联动打通内网系统，提供综合性安全体验服务。在2020年新冠疫情防控期间，腾讯iOA便支撑了全网6W+员工、10W+设备的全负荷工作，稳定性得到证明。

目前，腾讯iOA在政务、医疗、交通、金融等多个行业已成功应用，支持了百万终端设备的安全接入。未来，腾讯安全也会继续发挥自身在零信任领域的技术优势和实践经验，协同生态伙伴一同促进零信任产业的规模化发展，更好地护航产业互联网的发展。