零信任应用价值及发展现状如何？

零信任保障资源可信访问，应用价值日益凸显。

1. 零信任弥补传统安全防护机制缺陷

 IT 架构从封闭走向开放，传统安全防护架构面临 挑战。近年来，国家高度重视和支持数字经济发展，大力支持产业数字 化，同时，用户需求不断升级，驱动企业加速数字化转型进程。传统 企业安全架构基于网络边界构建信任域，随着数字化不断深入，边界 逐渐消失，企业 IT 架构面临更多安全挑战：一是数据中心内部东西 向流量安全防护薄弱。随着应用云化，构建方式微服务化，服务间需 进行频繁的通信和交互，数据中心内部互访力量增多。传统安全防护 侧重南北向，若有东西向流动的恶意流量，无法提供防护。二是安全 策略仍待细化。随着虚拟化、容器等云计算技术的广泛使用，企业纳 管资源粒度不断细化，安全防护策略也需随资源粒度的细化而细化， 以承载不同类型、不同级别的业务。三是跨云的连接、数据传输使得 资源暴露面增大。随着 5G 与分布式云的融合，用户得以在任意时间 使用任意设备从任意位置快速获取资源，然而云间的连接点尤为脆弱， 攻击者可以通过攻击进入云中，并在云间实现威胁渗透。四是防火墙 与 VPN 无法保证用户操作合法性。无界办公需求增多，用户接入方 式复杂多样，传统的网关安全防护设备无法判断拥有账号、密码的用 户身份是否合法、操作行为是否符合其身份。

随着远程办公常态化，数字化工作空间规模化使用，终端和身份 面临更多不可信问题：一是网络接入位置和时间多变，用户不可控性 增加。外网连接占比增多，时间从集中变得分散，大量外网访问行为 中可能混杂着黑客行为，仅依靠传统 VPN（Virtual Private Network， 虚拟专用网络）技术难以对用户身份是否合法进行有效判断。二是使 用未受管控设备办公，致使风险要素增多。过去员工主要使用企业派发的固定设备办公，由于默认内网安全，终端管控手段较为简单。随 着使用 BYOD（Bring Your Own Device，自带设备）与移动设备办公 的员工逐渐增多，企业数据将与未知下载路径的私人应用共享同一空 间，关键数据所有权模糊，且与企业派发设备相比，BYOD 软硬件环 境的安全状态更加难以预测，传统终端管控手段难以应对。三是供应 链协作触发业务流转，数据保护难度增大。随着数字化业务的开展， 数据由静止转向流动，保护对象时刻更迭，其所应授予权限也处于变 化状态，传统数据安全防护手段无法依据数据重要等级进行差异化防 护，且各企业安全管理机制有差异，防御能力参差不齐，难以有效保 护。

随着数字经济走深向实，企业不断开展产品服务创新实现业务转 型，企业将面临新的特性威胁：一是业务面临更多欺诈威胁。数字化 转型赋能业务模式创新，新零售等新业务形式涌现，优化整合线上线 下资源，数字化零售业务从线下转向线上，新零售面临大量欺诈、羊 毛、作弊、盗用、虚假信息、刷单等业务安全威胁，传统安全防护手 段无法有效解决。二是物联网终端安全防护能力差异大，终端设备易 被入侵。物联网具备独特的组网模式，通信传输体系复杂，通信协议 安全性差，且智能产品多处于网络边缘，终端安全防护能力差异较大， 大量传统安全防护手段主要解决以太网安全问题，物联网终端设备易 受入侵和劫持，边界安全防护无法覆盖到位。

零信任规避传统安全机制中过度信任问题。 传统安全机制失效背后的根本原因是过度信任，零信任不为任何参与因素预置信任条件，其根本也是为了解决信任问题，通过动态的、 持续的验证，判断访问主客体之间是否存在信任关系，以对主体到客 体间的资源访问进行实时防护，具体表现在：一是面向资源管理而非 网络。零信任将一切视为资源，任意粒度、任意位置的访问主体对资 源的访问都需要进行认证和授权，企业内部资源间的互相访问也需要 进行身份验证和权限判定，能够有效抵御威胁横向移动带来的安全风 险。二是屏蔽安全策略预分配带来的威胁。零信任能够对物理设备、 云服务、接口等所有层级的资源进行防护，在访问主体身份验证和权 限判定成功后，仅为其提供满足需要的最小粒度的资源，细化安全策 略至资源层面。三是资源对外隐身。利用端口隐藏等技术手段，在访 问主体通过验证之前，受访资源对其隐身，大大降低了资源的可见性 和攻击暴露面，减少不可控、不可见的安全威胁所带来的攻击。四是 以身份为核心执行动态安全防护。零信任强调通过身份信息与多源数 据对每一个访问行为进行信任评估，动态授予相应权限，能够对内部 访问、远程访问和数据交互的人员、设备、环境等进行有效的安全把 控，缓解凭据盗用、高风险误操作等带来的安全威胁。

2.零信任为新的安全场景提供有力保障 

零信任保障软件供应链安全 。近年来，软件供应链攻击规模持续增长，调查显示 3 ，过去三年 全球软件供应链攻击的平均年增长率高达 742%。零信任的应用能够 抵御上游供应商、软件开发流程和工具的安全风险，是企业软件供应链安全建设的有效举措。一是限制上游供应商权限，零信任基于最小 化权限原则对供应商的访问过程进行动态授权，防止攻击者以供应商 为跳板侵入企业网络环境后进行横向移动，收敛软件供应链攻击的风 险范围；二是助力研发运营关键环节的风险监测与安全准入，零信任 与安全左移相融合，默认第三方组件、容器镜像、代码仓库等实体不 可信任，在研发运营流程中通过多层次的自动化安全检查，发现各实 体的漏洞、运行时攻击等风险，保障软件供应链交界面的安全研发与 交付。

零信任抵御勒索软件攻击 。当前，勒索软件攻击形势严峻，对关键信息基础设施等领域造成 严重影响，据预测 4 ，勒索软件损失到 2031 年将达到 2650 亿美元。 基于零信任理念的安全防护架构可帮助企业降低勒索软件攻击风险， 提升威胁进入壁垒，主要表现在以下几个方面：一是身份验证贯穿访 问始终，零信任默认安全风险无处不在，不为访问主体预置信任，在 访问过程中持续验证身份，加大攻击者渗透整个网络的难度；二是访 问行为的持续监测，勒索软件在攻入企业内网后，会对关键数据的位 置进行扫描，零信任通过对访问主体各行为进行监测，识别高危动作， 及时执行访问降级或阻断；三是网络微分段精细化流量管理，攻击者 可能控制某些脆弱的单点，当其通过已攻击的终端向网络内部更重要 系统横向渗透，通过网络微分段将网络划分成细小的分段，阻止勒索 软件在网络中进行横向移动，从而将勒索软件的影响从企业内网多台业务服务器和数据存储服务器降低至单一用户的电脑，将风险控制在 最小限度。如 Akamai 通过收购 Guardicore 及其一流的网络微分段解 决方案，以应对 Conti 的勒索威胁；四是多因子认证强度可动态变化， 当访问认证通过率较高时，可以降低多因子认证强度以提升用户体验， 当访问主体信誉度较低时，可提升多因子认证强度，降低组织中最主 要攻击类型的脆弱性并增加潜在威胁者接管账户难度。

零信任促进公共数据与服务安全开放。 抗击新冠疫情的过程充分彰显了公共数据和服务的价值意义。为 了有效应对突发事件、提升经济和社会公平性，全球多国积极推进数 字公共基础设施的建设，促进公共数据和服务的开放。零信任理念能 够提升数字公共基础设施的安全访问，保障公共数据和服务的价值释 放。一是建立统一数字身份避免数字鸿沟，零信任为人、企业组织等 实体建立唯一数字身份标识，避免实体通过多个身份账号获取额外的 公共福利，如印度多个福利项目基于数字身份系统 Aadhaar 清理受益 名单；同时，数字身份的发放能够打破地区局限，任何地方的任何人 都可以方便获得唯一的数字身份，有效促进发展援助、国际合作等方 面的发展。二是最小化动态授权避免数据和服务的滥用，零信任能够 对数字公共基础设施的每一个访问进行风险评估并授予最小权限，验 证访问主体是数字身份的真实持有人，同时确保数字身份的真实持有 人仅能获取权益内的公共数据和服务。

3.零信任相关政策与标准涌现，驱动产业规范发展

零信任已经从一个新兴安全理念发展成为全球网络安全的关键 技术，商业模式走向成熟，市场逐步规模化，已成为了政企数字化转 型的首选安全战略。

以美国为首的发达国家高度重视零信任能力建设。如表 1 所示， 自 2019 年起，美国陆续发布零信任指导建议、计划等推动零信任在 美落地，其他发达国家也纷纷在零信任领域展开布局，以强化网络空 间话语权。2022 年 11 月 22 日，美国国防部发布了 《国防部零信任 战略》和《国防部零信任能力执行路线图》，计划在 2027 年之前实施 战略和相关路线图中概述的独特的零信任能力和活动。2023 年 4 月 11 日，CISA（美国网络安全和基础设施安全局）发布第二版零信任 成熟度模型，旨在降低美国机构实施零信任的壁垒。种种举措显示美 国正加速在零信任领域的研究与应用。

我国加大政策保障，推动零信任落地。目前我国正在从政策、行 业实践、产业发展等多个层面对零信任进行积极探索，工业和信息化 部通过多种举措引导零信任发展，前期以推动零信任理论研究和技术 创新为主，后期加强零信任技术应用，推动项目落地，具体表现为： 一是，发布《网络安全产业高质量发展三年行动计划（2021-2023 年）》， 重点围绕“加快开展基于开发安全运营、主动免疫、零信任等框架，推 动创新技术发展与网络安全体系研发。加快发展动态边界防护技术， 鼓励企业深化微隔离、软件定义边界、安全访问服务边缘框架等技术 产品应用”等内容展开。二是，多个零信任项目入选重点领域试点示 范项目名单，包括“2022 年网络安全技术应用试点示范项目名单”、 “2021 年大数据产业发展试点示范项目名单”等。

我国已从多层级启动零信任标准研究，协助建立产业规范。为落 实国家网络信息安全相关要求，我国已从多层级开展零信任标准研究。 国际标准方面，由中国企业主导的 ITU-T（国际电信联盟电信标准分局）零信任国际标准《服务访问过程持续保护指南》正式发布；国家 标准方面，全国信息安全标准化技术委员会正在开展《信息安全技术 零信任参考体系架构》的编制；行业标准方面，中国通信标准化协会 正在开展《面向云计算的零信任体系 第 2 部分：关键能力要求》、《面 向云计算的零信任体系 第 6 部分：数字身份安全能力要求》、《面向 云计算的零信任成熟度评价模型》、《零信任安全技术参考框架》与《网 络安全产品能力评价体系 第 11 部分：基于零信任架构的业务安全平 台评价方法》等标准的研究工作。