Sectigo 高管分享2020年行业预测

本周，我主持了一场类似圆桌讨论的活动，收集了几位高管对来年的预测。以下是与以下嘉宾的讨论精华：

• 首席执行官 Bill Holtz
• 物联网/嵌入式解决方案副总裁 Alan Grau
• 高级研究员 Tim Callan

主持人：我想从Sectigo今年多次谈及的一个话题开始。Tim，我知道你和Jason [Soroko，Sectigo公钥基础设施（PKI）首席技术官]在你们的播客《Root Causes》中讨论过量子计算带来的影响。Bill，你最近也为Forbes Technology Council撰写了一篇主题为《抗量子密码》的同主题文章。

能否请各位谈谈，你们认为新一年量子计算将如何发展？

Tim Callan（高级研究员）：当然可以。这是个重要的话题，而且随着量子计算机的发展，其重要性只会不断提升。随着量子计算机性能持续改进，企业和公众会愈发意识到量子计算对支撑全球数字安全的密码体系构成的威胁。

我们会看到行业对密码敏捷性——即快速更新密码算法、密钥和证书的能力——的关注度提升，以此应对更成熟的量子计算所带来的破解技术与处理速度进展。如果想要为这些必然到来的密码升级做好准备，将有更多企业需要探索将自动化作为面向未来保障安全的核心要素。

Bill Holtz（首席执行官）：这个观点非常好，也凸显了一个事实：证书自动化正在各领域变得越来越重要。对于企业而言，在保障网站、联网设备、应用以及可防范严重高成本攻击的数字身份安全方面，自动化的重要性只会不断提升。

这类攻击的形式多种多样。随着网络犯罪分子的手段愈发复杂，勒索软件攻击、数据泄露、邮件仿冒事件都在持续增加。这也让网络安全运营中更难消除人为失误的隐患。许多需要人工介入的网络安全操作既繁琐又容易出错——因此，用可规模化自动防护安全要素的技术替代这类人工操作，能为用户带来极大价值。过去很多这类功能被视为“锦上添花的可选能力”，但如今的企业已经开始意识到，这些功能在合规工作和建立安全互联网实践中发挥着不可或缺的作用。

主持人：说到安全互联网实践，现在正好可以谈谈监管领域的动态。尤其是加利福尼亚州近期通过了强制要求更强防护措施的法案——针对IoT设备的保护要求尤为严格——此外还有更多相关法案正在立法流程中。能否谈谈这对未来意味着什么？

Alan Grau（物联网/嵌入式解决方案副总裁）：我认为，未来我们会看到更多相关立法落地。正如你所说，新通过的法规对物联网设备提出了更高的安全等级要求。如今，物联网及嵌入式设备的原始设备制造商（OEM）正投入更多精力防范设备遭受攻击，供应商也开始采用TPM芯片及其他硬件安全元件（HSE），为设备提供身份标识与基于硬件的安全密钥存储能力。

这些技术进步为证书与公钥基础设施（PKI）替代静态凭证铺平了道路。2020年，我们将看到物联网网络的安全等级得到提升，帮助其抵御利用静态凭证发起攻击的物联网僵尸网络。

主持人：能否请您进一步介绍一下设备安全性的这种提升？

Grau：当然。物联网及嵌入式设备的原始设备制造商（OEM）已经开始意识到，不能再单纯依赖隔离网络、基于密码的登录方式，或是其他已被证实存在不足的安全措施。美国国家标准与技术研究院（NIST）、美国食品药品监督管理局（FDA）、美国国家公路交通安全管理局（NHTSA）、ISA安全合规协会（ISCI）及其他行业联盟，已经针对物联网、工业物联网及嵌入式设备发布了安全建议——这些建议明确提出了安全框架的建设方向，需覆盖安全启动、固件安全更新、嵌入式防火墙、基于硬件的安全密钥存储，以及消除静态凭证等要求。

原始设备制造商（OEM）在利用公钥基础设施（PKI）实现设备身份认证方面的表现正在不断提升，同时也开始在设备中构建多层安全防护机制，以强化设备抵御网络攻击的能力。这些都是设备防护领域的积极进展，希望这一趋势未来能持续向好发展。

主持人：我们再回到数据隐私这个话题。显然，推动这类强制要求物联网安全升级的立法出台的动因之一，就是对更强数据保护能力的需求，不知道各位能否从更宏观的层面谈谈这个问题？

Callan：我先来谈一谈CCPA（即 《加利福尼亚州消费者隐私法案》），它是一个非常重要的参考依据。严格来说，CCPA仅适用于加利福尼亚州的消费者，但这部法律的实际影响范围要大得多；它赋予加州居民了解自身被采集的数据内容、查看这些数据，以及在有需要时要求删除数据的权利。我们认为，多数在美国开展业务的企业会发现，直接遵守加州的这项法规，比费力去识别哪些消费者居住在加州、哪些不在，再对二者执行不同的标准要更简单。这实际上会让CCPA提供的保护成为适用于大多数美国居民的事实标准——这还没有考虑到其他州预计会效仿加州，出台各自相关条款的情况。

主持人：非常好。感谢Tim，也感谢Bill和Alan今天抽出时间分享2020年网络安全趋势预测。通过持续关注新立法动态、倾听全球客户的企业安全需求，Sectigo正致力于解决网络管理员、运维团队及安全团队当前及未来面临的部分最严峻挑战。