張云暢/ZHANG Yunchang，柴瑤琳/CHAI Yaolin，穆琙博/MU Yubo

（中國信息通信研究院，中國 北京 100083）

網(wǎng)絡安全是產(chǎn)業(yè)數(shù)字化升級中的關鍵保障。近10年來層出不窮的網(wǎng)絡安全問題不僅阻礙了各行業(yè)發(fā)展，更是減緩了產(chǎn)業(yè)革新的速度，迫使全球經(jīng)濟發(fā)展受到制約。零信任作為破解當前困境的強有力手段，在其理念形成的初期便受到了業(yè)界的廣泛關注。各國高度重視零信任領域的戰(zhàn)略布局和創(chuàng)新研究，搶抓國際新技術主導權。中國也在不斷推進零信任領域的技術創(chuàng)新應用。如何借助零信任重塑網(wǎng)絡安全架構，已成為中國網(wǎng)絡安全領域的研究熱點。

本文將圍繞總體研究、核心技術、產(chǎn)業(yè)發(fā)展3個方面，梳理零信任的發(fā)展態(tài)勢，深入解析當前中國零信任產(chǎn)業(yè)發(fā)展存在的問題及其演進趨勢，并提出發(fā)展建議。

1 零信任整體發(fā)展態(tài)勢

1.1 國際零信任戰(zhàn)略部署加快

零信任成為美國重塑政府整體網(wǎng)絡安全架構的重要手段。2021年5月12日，美國發(fā)布總統(tǒng)行政命令[1]“（強制）要求聯(lián)邦機構制定零信任安全架構的實施計劃”。2021年9月7日，美國公布《推動美國政府朝向零信任網(wǎng)絡安全演進的基本準則》[2]，明確指出各級政府部署零信任安全架構的時間表和發(fā)展目標。2021年11月，美國正式推出以零信任實施方案為核心的Thunderdome[3]（雷霆穹頂）項目，這標志著全球首個零信任國家級戰(zhàn)略部署計劃正式啟動。2022年，美國白宮管理與預算辦公室（OMB）發(fā)布備忘錄（編號為M-22-09）[4]，要求所有行政部門于2024年實現(xiàn)零信任全面部署。此外，美國2023財年年度預算[5]顯示，總額8 133億美元的年度預算中將有112億美元用于網(wǎng)絡戰(zhàn)建設，其中包括“實施”部門的零信任架構。2024財年網(wǎng)絡安全預算備忘錄[6]再次將零信任在聯(lián)邦民事行政部門機構的實施升為第一優(yōu)先級。

新加坡[7]、加拿大[8]等在美國一系列零信任戰(zhàn)略規(guī)劃文件出臺后快速做出響應。2021年4月12日，加拿大公布的《網(wǎng)絡與安全戰(zhàn)略》[8]詳細介紹了零信任的概念及架構，并指出其對未來網(wǎng)絡服務和安全的支撐性作用。新加坡于2021年10月5日宣布發(fā)布《網(wǎng)絡安全戰(zhàn)略2021》[7]以強調(diào)零信任應用的必要性，同時明確將積極在全國范圍推行零信任落地實踐。此外，歐盟于2022年3月22日公布《為聯(lián)盟的機構、機關、辦公室和機構制定高水平的網(wǎng)絡安全措施》[9]，指出要明確朝向零信任架構邁進的具體步驟。根據(jù)多家第三方機構發(fā)布的數(shù)據(jù)，日本、澳大利亞、印度及一些中東國家均已在本土企業(yè)開展零信任模型的部署應用，并持續(xù)關注該領域的發(fā)展。

1.2 全球SASE技術標準體系不斷完善

零信任技術發(fā)展趨近成熟，國際化組織標準建設進程不斷加快。2020年8月，美國國家標準與技術研究院（NIST）加緊推動零信任架構研究，經(jīng)過多輪修訂發(fā)布了SP 800-207《零信任架構》[10]。2021年9月，網(wǎng)絡安全基礎設施安全局（CISA）發(fā)布《零信任成熟度模型》征求意見稿[11]，這標志著一種針對軍政商三方零信任架構成熟度的評測方案正式形成。

全球各國/地區(qū)針對零信任領域的標準制定速度不斷加快。作為一個權威的國際產(chǎn)業(yè)組織，云安全聯(lián)盟（CSA）率先針對零信任三大技術之一的軟件定義邊界，進行了標準化研究，并在2014年發(fā)布《SDP標準規(guī)范V1.0》[12]，接著在2022年發(fā)布《軟件定義邊界（SDP）標準規(guī)范V2.0》[13]。與此同時，中國也在產(chǎn)業(yè)各方的推動下于2022年形成《零信任能力成熟度模型》，以指導中國零信任網(wǎng)絡安全架構的落地。

1.3 零信任產(chǎn)業(yè)全面高速發(fā)展

全球零信任產(chǎn)業(yè)生態(tài)已初步形成，供需雙方均在積極推進規(guī)模化部署進程。以谷歌、微軟、思科為代表的美國網(wǎng)絡安全領軍企業(yè)對零信任市場進行了全面布局，與美國政府聯(lián)動引領產(chǎn)業(yè)活力化發(fā)展。以電信、金融、能源為首的各垂直行業(yè)也在積極采用零信任網(wǎng)絡安全架構，從試點試驗到大面積落地部署應用，逐步從需方立場支撐零信任產(chǎn)業(yè)的發(fā)展。

Gartner[14]在2020年曾預測，2022年在面向生態(tài)合作伙伴開放的新型數(shù)字業(yè)務應用程序中，80%的業(yè)務將通過零信任網(wǎng)絡訪問（ZTNA）進行訪問。據(jù)IDC預測，到2024年，安全遠程訪問解決方案將以260億美元價值占據(jù)全球網(wǎng)絡安全市場12.5%的份額[15]，其中零信任相關產(chǎn)品和解決方案將占據(jù)重要地位。2022年6月，Markets and Markets[16]在到2027年的全球預測報告中表示：全球零信任證券市場規(guī)模預計從2022年的274億美元增長到2027年的607億美元。

2 零信任網(wǎng)絡安全架構及關鍵技術

2.1 零信任網(wǎng)絡安全架構

零信任是一種新型網(wǎng)絡安全理念，秉承著“持續(xù)驗證，永不信任”的原則，拒絕隱式授予信任，持續(xù)進行安全評估，其體系架構是一種端到端的企業(yè)資源和數(shù)據(jù)安全方法，包括身份（人類和非人類的實體）、憑證、訪問管理、操作、端點、宿主環(huán)境和基礎設施，旨在通過利用網(wǎng)絡分段、防止橫向移動、提供第7層威脅預防和簡化精細用戶訪問控制來保護現(xiàn)代數(shù)字環(huán)境。因此，零信任總體功能架構圍繞技術和管理兩個維度，涵蓋八大關鍵能力，即身份安全、基礎設施、網(wǎng)絡安全、數(shù)據(jù)安全、應用/負載安全、網(wǎng)絡可持續(xù)安全檢測、評估和網(wǎng)絡安全可視化以及綜合安全管理，如圖1所示。

圖1 零信任總體功能架構圖

身份安全：身份（人員、設備、應用、進程）是資源訪問的入口，是零信任的基礎。

網(wǎng)絡安全：建立可信、可靠的網(wǎng)絡鏈路是數(shù)據(jù)訪問的重要環(huán)節(jié)。

數(shù)據(jù)安全：數(shù)據(jù)是安全的核心，應被分類、標記和加密，并基于這些屬性有條件地訪問。

應用/負載安全：應用程序和應用程序編程接口（API）提供了數(shù)據(jù)訪問接口，同時負載安全保障了資源交互的穩(wěn)定性。

基礎設施：建立安全的基礎設施（本地服務器、云端虛擬機、容器、微服務）是減少風險的有效措施。

網(wǎng)絡可持續(xù)安全檢測與評估：網(wǎng)絡可持續(xù)安全檢測與評估是零信任架構實施的保障，其著眼于應急事件處理和風險管理兩個維度，形成流程化處理模式。

網(wǎng)絡安全可視化：網(wǎng)絡安全可視化是零信任架構的堅實基礎，其借助終端、應用、行為和事件這四大主體實現(xiàn)。

安全管理：安全管理是網(wǎng)絡安全架構部署實踐的保障。

2.2 零信任關鍵技術

零信任的關鍵技術包括軟件定義邊界、身份識別與訪問管理、微隔離。

1）軟件定義邊界

作為零信任理念的實踐方案，軟件定義邊界實現(xiàn)了對基于網(wǎng)絡的攻擊行為的阻斷，分離了控制平臺與數(shù)據(jù)平臺，最小化攻擊面；通過預驗證、預授權，拒絕未經(jīng)驗證授權業(yè)務的端口訪問；隱藏關鍵資產(chǎn)的同時對應用訪問實現(xiàn)可視化，實現(xiàn)實時監(jiān)督；可集成安全架構，大幅提升產(chǎn)品的兼容性；可代替部分傳統(tǒng)網(wǎng)絡安全的人力資源，節(jié)約成本。

2）身份識別與訪問管理

作為零信任模型的應用基礎，身份識別與訪問管理是企業(yè)應用零信任的第一步，同時也是零信任項目取得信任的關鍵一步。身份識別與訪問管理涵蓋了用戶身份、規(guī)則、身份驗證管理軟件以及訪問管理策略和協(xié)議，實現(xiàn)了持續(xù)的動態(tài)認證與動態(tài)授權，融合了多因子身份認證、單點登錄和用戶行為分析，提供了靜態(tài)密碼以外的針對用戶憑據(jù)的安全保護，對相關但獨立的多個系統(tǒng)實施一種訪問機制，可檢查用戶行為并自動應用算法和分析，以監(jiān)測潛在的安全威脅。

3）微隔離

作為零信任概念的技術實踐，微隔離實現(xiàn)了數(shù)據(jù)中心內(nèi)工作負載間流量可視化與訪問控制，在保留傳統(tǒng)防火墻的安全邊界防御的同時，限制工作負載流量間通信。攻擊面的可視化加強了應用程序活動的管理細粒度。無須基于硬件的防火墻，微隔離可將安全性集成到虛擬化工作負載中，其安全策略與虛擬網(wǎng)絡（虛擬機、操作系統(tǒng)或者其他安全目標）同步，實現(xiàn)純軟件方式的安全模型部署，改善監(jiān)管合規(guī)態(tài)勢，同時隔離信息技術（IT）基礎設施，在混合云模式下支持跨平臺的數(shù)據(jù)流量識別及統(tǒng)一管理。

4）零信任能力成熟度評估模型

本文中，我們參考《零信任能力成熟度模型》標準，遵循零信任的定義和原則，依據(jù)零信任總體功能架構，提出零信任能力成熟度評估模型，將零信任總體架構細分為8個技術模塊與26個能力域，形成零信任關鍵能力圖譜，如圖2所示。

圖2 零信任關鍵能力圖譜

為使零信任能力成熟度判定標準詳細且規(guī)范化，本文將零信任能力成熟度劃分為無零信任階段、傳統(tǒng)階段、初級階段、優(yōu)化階段和持續(xù)安全階段五大成熟度等級，旨在以全局或專業(yè)領域視角從零信任核心功能子組件、技術交互方式等方面展示零信任安全能力成熟度，助力零信任技術優(yōu)化升級，如表1所示。

▼表1 零信任能力成熟度五大階段

以身份安全技術模塊為例，我們對該模塊下四大能力域涵蓋的能力要點進行量化打分。用戶身份可信域的計算公式為：用戶身份可信子領域4級能力符合度=（達到4級的安全能力數(shù)量+達到更高等級的安全能力數(shù)量）/用戶身份可信子領域內(nèi)安全措施總數(shù) ×100%。能力符合度達到80%即可判定用戶身份可信域達到“優(yōu)化階段”。

零信任能力成熟度評估模型是《零信任能力成熟度模型》標準落地的重要抓手，更是零信任技術規(guī)范化發(fā)展的基石。對各廠商零信任產(chǎn)品進行成熟度測試，有助于各企業(yè)查漏補缺，不斷完善零信任產(chǎn)品的功能，提升零信任安全服務的質(zhì)量，推動零信任產(chǎn)業(yè)規(guī)范化、規(guī)?；l(fā)展。

3 中國零信任發(fā)展面臨三大挑戰(zhàn)

1）戰(zhàn)略統(tǒng)籌布局未開展，規(guī)劃前瞻性不足

中國已將網(wǎng)絡安全建設視為國家長遠發(fā)展的核心，明確“網(wǎng)絡安全牽一發(fā)而動全身，深刻影響政治、經(jīng)濟、文化、社會、軍事等領域安全”[17]?！笆奈濉逼陂g出臺《網(wǎng)絡安全產(chǎn)業(yè)高質(zhì)量發(fā)展三年行動計劃（2021-2023年）》[8]等文件，逐步推進零信任相關研究與試點實驗項目落地。但是，與美政府持續(xù)加大零信任技術投資力度相比，中國仍缺乏整體發(fā)展路線圖與具體配套支持資金，政府機構、行業(yè)企業(yè)、社會組織等未形成落地應用的引導措施，缺乏自主技術引領的解決方案和應用實例支撐，零信任戰(zhàn)略布局相對滯后。

2）技術體系建設待完善，自主創(chuàng)新力不足

當前，中國零信任技術研究緊緊跟隨國際發(fā)展趨勢。2020年8月全國信息技術標準化技術委員會決定對《信息安全技術零信任參考體系架構》標準進行立項。2021年6月中國通信學會組織開展《零信任能力成熟度》標準的研制工作，并于2022年7月完成文稿的發(fā)布。雖然已有部分標準成功落地，但是中國零信任網(wǎng)絡安全架構尚未形成自主技術體系，創(chuàng)新力仍然較低，僅僅對美國已發(fā)布的部分標準進行對標立項，標準化建設還不足，整體架構仍停留在概念、原型階段，形成的產(chǎn)品細節(jié)、規(guī)格等方面也存在著諸多差異，難以適配垂直行業(yè)多樣化應用部署，整體技術發(fā)展緩慢且成熟度低，并且尚未開展垂直行業(yè)的零信任架構升級和應用部署。

3）產(chǎn)業(yè)生態(tài)閉環(huán)未形成，供需協(xié)同性不足

近兩年，中國網(wǎng)絡安全龍頭企業(yè)已推出部分零信任產(chǎn)品及方案，在醫(yī)療、電信等行業(yè)快速實踐落地。但中國零信任產(chǎn)業(yè)發(fā)展尚處于初期階段，缺乏全面實施零信任架構的標桿企業(yè)。2021年，第三方咨詢機構Forrester[19]從推出時間、成熟度和客戶情況3個方面篩選出34家國際零信任方案供應商代表，中國僅有3家廠商入選。2022年，第三方咨詢機構Gartner發(fā)布的《零信任網(wǎng)絡訪問市場指南》[20]共調(diào)研了42家全球零信任代表性供應商，中國仍是僅3家上榜。此外，中國缺少產(chǎn)業(yè)服務平臺支撐，零信任需求側與供給側的發(fā)展步調(diào)不一，市場流通產(chǎn)品方案存在覆蓋面不廣、適配性不高、服務性不足等基礎問題。

4 零信任產(chǎn)業(yè)發(fā)展建議

1）全面統(tǒng)籌規(guī)劃，強化零信任整體戰(zhàn)略布局

強化政策引導，完善中國零信任體系構建。依托財政資金、國家專項等，全面跟進和研判美國在參考架構、關鍵技術、融合應用等方面的最新進展，加大零信任架構關鍵技術的科研投入。抓住行業(yè)數(shù)字化升級轉型機遇，推動網(wǎng)絡安全架構向零信任架構遷移，鼓勵組織研究并出臺零信任創(chuàng)新應用試點示范、專項項目等支持政策，并在財政投資的網(wǎng)絡安全項目中同步配套零信任架構和關鍵網(wǎng)絡安全基礎設施建設措施，明確零信任高質(zhì)量發(fā)展路線圖。廣泛征集零信任應用實踐案例，并對獨具行業(yè)代表性和可推廣性的優(yōu)秀案例進行宣傳，鼓勵零信任產(chǎn)品供應商借鑒學習，不斷優(yōu)化產(chǎn)品升級，促進各行業(yè)需求方與供應商的長期穩(wěn)定合作。鼓勵傳統(tǒng)信息安全提供商、新型云安全提供商與行業(yè)用戶深度融合，打造一批有影響力的零信任行業(yè)應用標桿。在黨政、金融、能源、交通等領域開展零信任安全試點示范，提升零信任網(wǎng)絡安全架構在實際應用中的市場影響力。

2）重視培育創(chuàng)新，發(fā)展零信任自主創(chuàng)新技術

深化核心自主研究，打造中國零信任創(chuàng)新引擎。加快構建基于軟件定義邊界、身份安全、微隔離三大技術路線的零信任標準體系，推進跨云跨網(wǎng)智能安全管控、基于數(shù)字身份的細顆粒度訪問控制、可持續(xù)數(shù)據(jù)安全監(jiān)測和評估等產(chǎn)品升級。同步構建零信任安全測評體系，深入剖析零信任技術能力與功能需求，助力零信任應用部署，依托“零信任能力成熟度”的評估模型，分級分類分步驟差異化部署零信任。推進電信運營商、互聯(lián)網(wǎng)企業(yè)、行業(yè)用戶、安全企業(yè)、科研機構、高等院校等建立零信任聯(lián)合創(chuàng)新中心、聯(lián)合實驗室等，打造創(chuàng)新試驗床，促進研究成果應用轉化，保障零信任產(chǎn)品創(chuàng)新能力持續(xù)供給，同時定期開展零信任技術專題研討，助力零信任技術創(chuàng)新以及產(chǎn)品研發(fā)。

3）增強產(chǎn)業(yè)協(xié)同，構建零信任健康產(chǎn)業(yè)生態(tài)

積極推動供需聯(lián)動，釋放中國零信任集群效應。針對中國大型網(wǎng)絡安全供應商提供政策優(yōu)化保障，打造可以帶動跨領域、跨行業(yè)能力整合的龍頭企業(yè)，帶動中小型企業(yè)蓬勃發(fā)展。依托算網(wǎng)融合產(chǎn)業(yè)及標準推進委員會等第三方產(chǎn)業(yè)平臺，提供交流論壇、項目推介、實踐比賽、案例評優(yōu)等多舉措多層次供需對接服務，切實強化零信任產(chǎn)業(yè)合作。聚焦零信任產(chǎn)業(yè)鏈上下游，繪制零信任產(chǎn)業(yè)圖譜，適配黨政、金融、能源、交通等領域建立多維度零信任能力評估體系，從核心技術功能、應用解決方案、關鍵能力成熟度等多維度，引導以優(yōu)秀產(chǎn)品服務能力為導向的零信任市場良性發(fā)展。