供应链攻击成为突出威胁，政府强制要求内置安全，但资源不足组织难以管理跨平台差异的安全控制。CIS 通过白皮书《Simplifying Security》提出从供应商端自动化基础控制区，推动零信任下的安全管理规模化。
内置安全与零信任的规模化挑战
美国行政命令、欧洲国家指令等政府强制要求安全内置并持续管理。云与托管环境虽能帮助资源不足组织达成目标，但仍需投入资源运维安全控制，且不同平台的控制实现存在差异。零信任架构下安全控制变得更普适、更细粒度，如何实施变更并建立安全管理架构模式，将决定未来供应链安全能否真正落地且可持续。原文未给出具体数据。
CIS 白皮书聚焦三大基础控制自动化
CIS 发布白皮书《Simplifying Security》，针对资源不足组织（含美国州、地方、部落、领土机构）在实施安全控制框架基础时的障碍。白皮书给出示例，说明如何从供应商端大规模自动化三大基础控制区：资产管理、软件资产管理、系统姿态保障（涵盖采购时与持续运行期）。同时梳理若规模化实施可普惠安全的技术、协议与开源项目。原文未给出具体数据。
从 IETF 到 RSA 推动供应商转型
作者曾任 IETF 安全区域总监，2020 年 7 月出版《Transforming Information Security: Optimizing Five Concurrent Trends to Reduce Resource Drain》，挑战软件与操作系统的附加型安全架构模式。2021 年加入 CIS 担任 CTO，2022 年 3 月主持 RSA 会议网络研讨会，推动供应商支持安全转型。原文未给出具体数据。
对运维与网络工程师而言，关键在于要求供应商在交付时内置标准化控制接口，减少跨平台适配成本，利用开源协议实现资产与姿态的持续自动化核验，才能在资源受限下落地零信任。
原文: APNIC Blog（2022-07-18）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog