Sectigo 高層分享2020年行業預測

本週，我主持了一場類似圓桌討論的活動，收集了幾位高層對來年的預測。以下是與以下嘉賓的討論精華：

• 首席執行官 Bill Holtz
• 物聯網/嵌入式解決方案副總裁 Alan Grau
• 高級研究員 Tim Callan

主持人：我想從Sectigo今年多次談及的一個話題開始。Tim，我知道你和Jason [Soroko，Sectigo公鑰基礎設施（PKI）首席技術官]在你們的播客《Root Causes》中討論過量子計算帶來的影響。Bill，你最近也為Forbes Technology Council撰寫了一篇主題為《抗量子密碼》的同主題文章。

能否請各位談談，你們認為新一年量子計算將如何發展？

Tim Callan（高級研究員）：當然可以。這是個重要的話題，而且隨着量子計算機的發展，其重要性只會不斷提升。隨着量子計算機性能持續改進，企業和公眾會愈發意識到量子計算對支撐全球數碼安全的密碼體系構成的威脅。

我們會看到行業對密碼敏捷性——即快速更新密碼算法、密鑰和數碼證書的能力——的關注度提升，以此應對更成熟的量子計算所帶來的破解技術與處理速度進展。如果想要為這些必然到來的密碼升級做好準備，將有更多企業需要探索將自動化作為面向未來保障安全的核心要素。

Bill Holtz（首席執行官）：這個觀點非常好，也凸顯了一個事實：證書自動化正在各領域變得越來越重要。對於企業而言，在保障網站、聯網設備、應用以及可防範嚴重高成本攻擊的數碼身份安全方面，自動化的重要性只會不斷提升。

這類攻擊的形式多種多樣。隨着網絡犯罪分子的手段愈發複雜，勒索軟件攻擊、數據泄露、電郵仿冒事件都在持續增加。這也讓網絡安全營運中更難消除人為失誤的隱患。許多需要人工介入的網絡安全操作既繁瑣又容易出錯——因此，用可規模化自動防護安全要素的技術替代這類人工操作，能為用戶帶來極大價值。過去很多這類功能被視為「錦上添花的可選能力」，但如今的企業已經開始意識到，這些功能在合規工作和建立安全互聯網實踐中發揮着不可或缺的作用。

主持人：說到安全互聯網實踐，現在正好可以談談監管領域的動態。尤其是加利福尼亞州近期通過了強制要求更強防護措施的法案——針對IoT設備的保護要求尤為嚴格——此外還有更多相關法案正在立法流程中。能否談談這對未來意味着什麼？

Alan Grau（物聯網/嵌入式解決方案副總裁）：我認為，未來我們會見到更多相關法規落地。正如你所講，新通過的法規對物聯網裝置訂下了更高的安全等級要求。現時，物聯網及嵌入式裝置的原設備製造商（OEM）正投放更多資源防範裝置遭受攻擊，供應商亦開始採用TPM晶片及其他硬件安全元件（HSE），為裝置提供身份識別，以及基於硬件的安全密鑰儲存功能。

這些技術進步為數碼證書與公鑰基礎設施（PKI）取代靜態憑證鋪平了道路。2020年，我們將見到物聯網網絡的安全等級得到提升，協助抵禦利用靜態憑證發動攻擊的物聯網殭屍網絡。

主持：可否請您進一步講解一下裝置安全性方面的這種提升？

Grau：當然。物聯網及嵌入式裝置的原設備製造商（OEM）已經開始意識到，不能再單純依賴隔離網絡、基於密碼的登入方式，或是其他已被證實存在不足的安全措施。美國國家標準與技術研究院（NIST）、美國食品藥品監督管理局（FDA）、美國國家公路交通安全管理局（NHTSA）、ISA安全合規協會（ISCI）及其他業界聯盟，已經針對物聯網、工業物聯網及嵌入式裝置發布安全建議——這些建議明確提出安全框架的建設方向，需要涵蓋安全啟動、固件安全更新、嵌入式防火牆、基於硬件的安全密鑰儲存，以及淘汰靜態憑證等要求。

原設備製造商（OEM）運用公鑰基礎設施（PKI）實現裝置身份認證的表現正不斷進步，同時亦開始在裝置中構建多層安全防護機制，加強裝置抵禦網絡攻擊的能力。這些都是裝置防護領域的正面進展，希望這個趨勢未來可以持續向好。

主持：我們再回到數據私隱這個議題。顯而易見，推動這類強制要求物聯網安全升級的法規出台的其中一個誘因，就是對更強數據保護能力的需求，不知道各位可否從更宏觀的層面談談這個問題？

Callan：我先談談CCPA（即 《加利福尼亞州消費者私隱法案》），它是非常重要的參考依據。嚴格來說，CCPA只適用於加利福尼亞州的消費者，但這條法例的實際影響範圍遠不止於此；它賦予加州居民知悉自身被收集的數據內容、查閱有關數據，以及在有需要時要求刪除數據的權利。我們認為，大部分在美國營運的企業都會發覺，直接遵守加州這項法規，比起花費氣力識別哪些消費者居住在加州、哪些不在，再對兩者執行不同標準要更簡單。這實際上會令CCPA提供的保障成為適用於大多數美國居民的事實標準——這還未計及其他州份預計會仿效加州，出台各自相關條文的情況。

主持：非常好。多謝Tim，亦多謝Bill和Alan今日撥冗分享2020年網絡安全趨勢預測。透過持續留意新法規動態、聆聽全球客戶的企業安全需求，Sectigo正致力解決網絡管理員、營運團隊及安全團隊當前與未來面對的部分最嚴峻挑戰。