近年来，云计算、大数据等新一代信息技术与实体经济加速融合，产业数字化转型迎来发展新浪潮。企业 IT 架构从建设到运营发生极大变革，防护机制从以网络边界为核心向以身份为核心的零信任转变，零信任产业已形成蓬勃发展的良好态势，愈发得到行业关注。
2023 年发布《零信任发展研究报告》，报告聚焦过去两年多零信任产业的新发展新变化。报告首先介绍了数字化转型深化后企业 IT 架构所面临的安全挑战，零信任如何解决安全挑战以及如何应对新的安全威胁。其次从零信任供应侧和零信任应用侧两大视角对我国零信任产业的发展情况与应用痛点进行观察和分析。
一、零信任六大领域能力
对于网络攻击者，只需要找到整个网络防护的一个脆弱点即可攻破网络，而作为网络安全防护者，需要进行整体的防御。因此，基于零信任理念展开的安全防护不单独强调技术，而是强调解决了哪个领域的安全问题。
本报告中，零信任能力涵盖六大领域，如表 2 所示：数字身份是基础组件、是核心，联合网络环境安全、终端安全、数据安全、应用工作负载安全和安全管理五个关键能力，共同赋能企业整体安全防御。
数字身份主要解决用户身份不统一，以及 IT 架构中所有对象数字身份缺失、不合法等问题。一是，对接入用户、组织架构、设备、应用赋予唯一身份标识，并对其数字身份进行全生命周期管理，完成身份的自动化管控；二是，通过持续的身份认证，确保访问主体在整个资源访问过程中身份的合法性。
网络环境安全主要解决威胁的横向移动，以及传输数据被窃取等问题。一是，将资源划分到一个个微小的网络分段中，分段间通过策略隔离，阻止威胁的扩散；二是，对网络传输链路进行加密，以保证数据传输过程中的安全性。
终端安全主要解决使用移动终端办公难以对设备进行管控，以及不同终端的安全基础不同易引入威胁等问题。一是，加强终端威胁检测，实现终端安全状况可感；二是，对所有连入企业网络的移动终端进行纳管，实现 BYOD 可控；三是，建立终端基线，对于不符合基线要求的终端可修复。
数据安全主要解决数据资产安全防护无法差异化，以及数据在使用、传输和存储过程中意外泄露等问题。一是，通过数据分类规范化关联关系，再通过数据分级实现数据防护策略的差异化；二是，通过数据脱敏、加密、审计等技术手段降低数据泄露的可能性。
应用工作负载安全主要解决两类被访问资源的安全问题，包括容器、虚拟机等基础设施资源，以及应用系统、API 等应用资源。一是，通过安全基线扫描、漏洞管理、入侵检测等技术手段，辅以计算资源纳管清单、供应商名录等管理手段对基础设施资源进行防护；二是，在应用研发阶段引入安全检测流程、为已发布应用提供各类恶意攻击防护手段，以及持续验证应用执行的动作是否符合其权限。
安全管理主要解决各安全组件无法联动处置威胁、流量不透明等问题。一是，通过编排将各安全工具的能力以某种逻辑组合在一起，联动进行威胁的检测与响应；二是，联动各安全组件并以可视化形式展示监测指标，以便快速定位威胁。
表 2 零信任安全能力与子能力
| 能力 | 子能力 | 能力描述 |
| 身份安全 | 数字身份管理 | 对人、设备、应用、资源等所有对象赋予数字身份标识，并对数字身份信息和用户凭据进行集中管理 |
| 访问管理 | 提供统一集中认证、单点登录、会话管理和访问控制等能力 | |
| 网络安全 | 安全网关 | 对 C/S 架构、B/S 架构等多种场景下的访问接入进行认证，并基于信任评估和权限判定结果，对认证成功的访问主体建立相应安全访问通道 |
| 网络传输安全 | 通过 SSL（安全套接字层）、TLS（安全传输层协议）等方式实现网络传输保密性 | |
| 应用工作负载安全 | 云工作负载安全 | 保障数据中心、公有云、私有云等跨云环境中的工作负载安全，覆盖物理机、虚拟机、容器、Serverless（无服务器）等不同粒度资源 |
| 微隔离 | 提供工作负载及应用间的流量隔离与可视化能力，实现细粒度安全策略管理 | |
| 应用安全 | 提供应用系统、API（应用程序接口）、SaaS（软件即服务）等应用资源的安全防护能力，包括发现、修复应用安全漏洞等 |
| 数据安全 | 数据分类分级 | 基于合规要求与用户业务场景，对数据进行分类分级管理 |
| 数据防泄漏 | 检测和防止潜在的数据泄露能力 | |
| 数据完整性 | 指数据在其生命周期内的准确性和一致性 | |
| 数据加密 | 提供数据在存储、传输、使用时的加解密能力 | |
| 数据隔离 | 提供安全使用数据的空间的能力 | |
| 终端安全 | 终端安全管理 | 提供终端威胁检测能力，包括漏洞扫描、病毒查杀、基线检查等 |
| 终端应用安全 | 通过沙箱等技术实现终端 APP 安全防护 | |
| 移动化管理 | 提供移动内容、移动设备、移动身份和移动应用安全防护能力 | |
| 安全管理 | 运行上下文管理 | 获取网络、身份、设备、应用等的运行上下文，并建立用于策略评估的基线。 |
| 策略分析与建模 | 通过规则、机器学习建模等方式，输出智能化的控制策略。 | |
| 安全事件分析 | 收集和分析网络、环境、设备和应用等的安全事件，以支持威胁检测、合规性和事件管理 | |
| 自动化编排与事件响应 | 通过自动化编排等功能，对安全事件进行自动处置和响应 |
二、产业应用洞察 1：落地部署面临多重阻碍
零信任应用侧方面，通过对重点行业的客户调研与访谈，本报告总结了在安全防护架构建设的各个时期，企业管理人员的建设痛点以及考虑，帮助零信任供应侧厂商了解用户侧的实际诉求。
零信任的概念产品居多，投入产出比是企业核心考量点。金融、制造等行业属于严谨型行业，对新概念产品的引入非常谨慎，为提升企业效益，企业在落地零信任时通常会有多重考量。一方面，利旧以节约建设成本。零信任概念兴起之前，企业在当前安全防护架构中已经购买并部署了身份、终端和网络等安全领域的相关产品，因此零信任的建设需要考虑如何与企业已有系统或产品兼容，实现安全联动的同时降低开销。
另一方面，实际成效是否可量化。一个新的安全领域概念诞生后，通常会伴随着三个经典问题，零信任也不例外：一是， 零信任的产出到底是什么。二是，零信任做与不做的区别是什么。三是，零信任简单做和复杂做的区别又是什么。可量化的零信任防护效果更具有事实意义，胜于万千落于纸面的优势与意义。
零信任部署跨企业多部门，明确责任边界是建设第一步。零信任作为安全理念，其落地将涉及身份、终端、网络等多安全领域，在传统安全防护建设模式下，企业在上述领域内各有独立部门负责安全建设并承担安全事件责任。然而，基于零信任理念的安全防护建设模式需要多领域联结共同完成威胁防御和响应，出现安全事件无法落实责任至单领域部门。即便企业在部署零信任之初成立一个总体部门负责推进零信任建设事项，但由于零信任涵盖领域之广会使得该部门责任无限大，因此其不敢包揽全部建设后的安全责任，故此企业在部署零信任之前需明确责任划分，否则难以协同多部门推进落地。
基于零信任的统一身份管理体系在接管组织内老旧系统时面临双重阻碍。组织内的老旧系统自身通常具备身份认证体系，然而此类系统安全合规性差，如接口和用户身份信息均未经加密，极易引发安全问题。组织若想落地零信任，需要梳理清楚组织内的身份体系，过程中面临两方面困难。
- 一是技术层面。组织内使用的老旧系统复杂多样，PMS、OA、CRM 和 HR 等系统来自不同供应商，使用的 SaaS 服务受 license 限制无法改造，即便是自研系统也会受到没有统一标准的影响，身份权限规则不一致，不同系统中人员权限不一致，统一身份体系难以接管。
- 二是规划设计层面。身份作为敏感信息，受体制规则和组织职能等因素限制，在垂直领域难以打通，因此需要从顶层设计角度出发，解决身份在行政级别线条与业务级别线条的连贯性。
企业内驱力不足，落地方案难推动。业内一句较为经典的话“没 有生产标准化零信任产品的厂商，只有完成零信任建设的企业”值得深思，其含义是指没有一家应用侧企业所建设的零信任是相同的，企业需要结合自身需求部署零信任，其所需要的是一系列理论、规划、架构以及产品交付，单靠供应侧厂商无法实现，需要依靠企业强大内驱推动。
- 一是需要数字化转型中的企业在网络安全建设主动求变。据公开数据整理统计，92%的管理者认为由企业内部需求驱动向零信任落地效果往往高于政策性驱动的落地效果，因此主动求变才能以更积 极的心态面临变化。
- 二是零信任的建设不会一蹴而就，需要接受挑战与成效并存。零信任的落地是一个漫长过程，企业需要全方面梳理自身脉络，梳理的越清晰，效果会越好。
- 三是需要企业长时间的支持。企业人员的安全认知和配合是关键因素，尤其是领导层面是否意识到，当前企业面临的安全威胁已经发生变化，以及领导推动零信任的决心 是否坚定。
三、产业应用洞察 2：用户看重网络分段能力
企业购入微隔离本质是对核心功能的考虑，更理性看待零信任。企业上云前，通过物理防火墙划分物理分区，实现物理分区间的访问控制。企业上云后，由于云资源的分布式特性，其无法按物理资源进行分区，若仍使用物理防火墙进行访问控制，流量需要绕行物理防火墙，因此物理防火墙在云环境中并不适用。此外，安全组策略可以解决如物理机和虚拟机这类工作负载的访问控制问题，但无法解决容器的访问控制，因此需要一种技术将访问控制规则下发至工作负载上，实现工作负载粒度的访问控制，这正是微隔离的核心功能。通过位置、环境和应用三维标签，配合云管平台，在业务人员申请虚拟机或容器时，为工作负载打上唯一身份标识，并由应用系统管理员配置访问策略，实现服务间的权限最小化。企业初始采购微隔离看重其宏观网络微观化能力，零信任概念的火热并未成为当时企业购买微隔离的买点。
微隔离人力成本耗费随使用时间增长持续下降。微隔离应用初期，初始理解与策略配置难度较大，由于传统边界防火墙仅管理分区间流量，区域间流量简单清晰，管理较为简易。而部署微隔离后，微隔离对业务涉及所有工作负载进行隔离与控制，需要在工作负载中安装代理，因此要求建设团队对云平台上所有业务都非常清晰，代理识别到的分区内流量多且复杂，梳理难度较大，因此初期人力管理成本较高。微隔离应用后期，随着使用时长的增长，应用系统内工作负载使用的标签以及安全隔离策略相对固定，标签配合工作负载的变化而变化，微隔离的自适应特性也能更好地将安全策略与标签匹配，实现安全策略与业务系统本身的变化联动，完成无人值守处置，人力成本大幅下降。
三、产业应用洞察 3：需避免重建设轻运营
零信任价值得到企业肯定。经过对部分政府机构走访调研，结果显示地方政府在开展信息化建设后，需要对企业自身员工身份、供应链上下游合作伙伴身份和地方政府员工身份的总集以及代码开放权限进行管理，零信任的应用可简化管理难度。
- 一是降低代码流失率，由于参与代码开发人员构成复杂，员工安全意识参差不齐，曾出现误将内部代码作为开源代码贡献至开源网站，通过对敏感人员行为的实时监测，降低内部代码流出的可能性；
- 二是资产管理精确到人，为设备分配唯一标识，并与身份信息绑定，实时监测设备安全状态，落实安全责任至个人；
- 三是个人效能监测，通过零信任对终端的实时监测能力，收集员工开机、关机和提交代码等关键节点时间信息，对员工工作效率进行监测。
零信任高质量运营能力有待提升，需聚焦精细化安全策略的实施。大部分落地零信任的企业都需要长期使用基于零信任和基于边界的 混合安全防护架构，高质量的运营主要体现在策略的打通与高效使用。一方面，高质量运营需解决网络层和应用层管控策略的冲突。零信任聚焦对访问的过程进行动态访问控制，零信任安全架构运营者应统一调整应用层访问规则策略与网络层的准入策略，令用户无需经历双重 验证。
另一方面，高质量运营需具备灵活的策略设置能力。零信任的使用效果和便利性主要取决于策略的灵活性，针对不同使用场景，设置不同策略规则具有意义：一是支持个性化隔离，如重保期间针对打印机和终端设置不同网络策略，保障打印机可通过网络正常访问；二是具备策略模板，如上万人企业中，具有针对普通项目研发人员和数据管理员等不同人员身份的策略规则模板，将方便批量设置，提升运营效率。
本文摘编自中国信息通信研究院发布的《零信任发展研究报告（2023年）》，全文下载：
零信任发展研究报告（2023年）
更多标准、白皮书、报告等高质量纯净资料下载，在文末扫码关注官方微信公众号“idtzed”，进入公众号菜单“治库”，或按自动回复发送引号内关键词。
即日起，前沿资料更新将只对数治网DTZed 正式会员开放免费下载，每月前100位申请开通、加入 AIGC + X 赋能成长营，即可获取 AI 人才匹配、自主学习课件和数据素养基础测评三大星舰会员权益：
- 填写开通申请；
- 扫码获邀入群；
更多内推、热招职位征集中，还可领取入门公益宣讲和升值加薪计划福利，一起用 AI 工具打败工具人。
