本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# 評估組織對於採用零信任架構的準備程度
採用新的架構策略是極其重要的任務，因此必須進行仔細的規劃，並將組織因素皆納入考量。本節著重說明為整個企業採用零信任架構時的關鍵組織準備考量要素。處理這些考量要素後，您的組織便能做好準備，迎接更強大、更成功的安全狀態。
## 領導階層的共識和溝通
若要成功實作零信任架構，領導階層的共識和溝通不可或缺。領導階層必須了解零信任架構的優勢以及所需資源。領導者也必須願意改變組織的文化和程序。若要建立員工的信任並取得他們的贊同，請務必與員工溝通。員工需要了解組織實作零信任的理由、這項措施對他們的意義，以及他們能如何提供協助。溝通應該要保持開放、資訊透明且持續進行。
**領導階層的支持和贊同**
若要成功實作零信任架構 (ZTA)，請務必確保關鍵的利害關係人和高階主管在該架構的目標、優勢和成效衡量等方面達成共識。分享零信任原則對於強化安全性的重要性，以及若要捨棄傳統的邊界式安全措施，轉為使用更精細、以使用者為中心的方法來實現業務敏捷性，這些原則更是扮演要角。若改用這種方法，您的組織便能更迅速地適應變化和威脅。高階主管的共識會為組織建立基調，有助於克服阻擋變化的潛在阻力。
**資訊透明的溝通**
在實作零信任架構的過程中，請與員工維持開放且資訊透明的溝通。解釋採用該架構的理由、優勢和預期結果，並迅速解決疑慮。提供有關實作進度的定期更新資訊，這麼做能增加贊同的程度、減少阻力以及建立信任。
## 技能發展和培訓
在領導階層達成共識並且進行開放的溝通後，請務必協助即將實作零信任架構的員工發展相關技能和知識。其中包括了解零信任原則、如何在工作中實作這些原則，以及如何回應安全事件。請提供培訓和發展機會，協助員工掌握這些技能。
**雲端知識和技能**
評估組織在雲端技術和零信任原則方面的技能和知識缺口。提供培訓和發展計劃，以提高員工的技能並提供必要的專業知識，讓他們能在以雲端為中心的零信任環境中有效地工作。為了跟上不斷推陳出新的技術和安全實務，請培養持續學習的文化。
**安全文化和意識**
評估組織的安全文化。評估員工之間的安全意識程度、他們對安全最佳實務的理解，以及他們遵循政策和程序的程度。識別安全知識的任何缺口。不妨考慮進行安全意識培訓計劃，向員工說明零信任架構的重要性，以及他們在維護安全環境方面扮演的角色。
## 組織結構和角色
請建立有效的組織結構和角色，以便成功實作零信任架構。這包括建立[雲端卓越中心 (CCoE)](https://docs.aws.amazon.com/prescriptive-guidance/latest/cloud-center-of-excellence/introduction.html)、檢閱和修改安全營運程序，以及針對漏洞管理、事件回應和安全監控等方面指派角色和相應的責任。
**雲端卓越中心**
建立 CCoE，為雲端營運提供指引、最佳實務和監督。CCoE 是由一個團隊或一組人員組成，負責建立和實作雲端相關的最佳實務、準則和治理政策。CCoE 應包括來自不同業務部門和 IT 團隊的代表，協助確保協作和共識。CCoE 在推動雲端託管工作負載採用零信任原則方面扮演要角。CCoE 也有利於整個組織的知識共享。
**安全營運**
若要符合零信任環境的需求，請檢閱並修改目前的安全營運組織。若要改善監控、事件回應和威脅情報功能，請考慮實作安全營運中心 (SOC) 或受管安全服務供應商 (MSSP)。針對漏洞管理、事件回應和安全監控建立角色和責任。若要確保能快速偵測輕微安全事件並加以修復，以便中斷一連串的事件，運作良好的事件回應程序至關重要。此程序有助於防止輕微事件發展成更具影響力的事件。
## IT 基礎設施和架構
檢查公司的 IT 架構和基礎設施，找出可能會對採用零信任方法造成影響的任何限制或相依性。判斷目前的應用程式和系統是否與必要的零信任架構元件相容。分析是否需要針對基礎設施進行任何改善或調整，以協助成功部署零信任原則。請針對每個應用程式或系統考慮是否最適合實作零信任架構，還是應透過規模更大的現代化工作來進行實作。
## 風險管理、治理和變更控制
請建立有效的風險管理、治理和變更控制程序，以便成功實作零信任架構。這包括使風險管理與零信任原則保持一致、制定事件回應計劃、與法律和合規部門合作，以及建立變更控制程序。
**風險管理**
檢查在您公司實施的風險管理策略，並判斷該策略遵守零信任原則的程度。分析現行事件回應系統的效率、安全措施和風險評估程序。判斷哪些區域需要改進，以符合零信任策略。開始開發自動化事件回應系統或持續監控和分析架構，以提高解決速度。
**變更控制程序**
為了確保所有與雲端相關的修改都遵守安全和合規要求，請建立有效的變更控制方法。建立系統化的變更管理程序，其中包括安全組態分析、風險評估、核准和記錄。經常檢閱和稽核更新內容，以保持零信任架構的完整性。
## 監控和評估
若要成功實作零信任架構，您的組織必須持續監控並評估其安全狀態。這包括建立關鍵績效指標（KPI）、監控和評估 KPI，以及培養持續改善的文化。組織可以透過遵循這些步驟確保成功實作零信任架構，也確保他們持續致力於提高安全性。
**關鍵績效指標**
建立相關的關鍵績效指標 (KPI)，以評估零信任部署的成效和效能。這類 KPI 可能會衡量使用者滿意度、裝備和推出進度、降低的成本、合規可觀測性，以及安全事件的數量。為了追蹤整體發展並找出改善的機會，請定期監控和評估這些 KPI。
**持續改善**
建立系統以吸引利害關係人提出意見和洞察，藉此培養持續改善的文化。鼓勵員工提供想法和建議，以改善雲端環境的安全性、有效性和使用者體驗。使用這些資訊來簡化程序、改善安全措施以及加速創新。
## 章節摘要
您的組織可透過解決這些組織和文化考量要素，為採用零信任安全模型的雲端建立能提供支援的環境。下節會探討分階段採用的方法，提供指引來說明如何以實用且可管理的方式逐步實作零信任原則。