飛象網(wǎng)訊（易歡）網(wǎng)絡(luò)安全是產(chǎn)業(yè)數(shù)字化升級中的關(guān)鍵保障。近十年來層數(shù)不窮的網(wǎng)絡(luò)安全問題不僅阻礙了各行業(yè)發(fā)展，更是減緩了產(chǎn)業(yè)革新的速率。零信任以“持續(xù)驗證，永不信任”作為破解當前困境的強有力手段，重塑現(xiàn)有網(wǎng)絡(luò)安全架構(gòu)和網(wǎng)絡(luò)安全設(shè)施。
當前，零信任架構(gòu)已經(jīng)成為網(wǎng)絡(luò)空間安全的新賽道，美國、加拿大等將零信任作為網(wǎng)絡(luò)安全戰(zhàn)略布局的重點方向。如何加速我國零信任安全新架構(gòu)的總體布局、加快關(guān)鍵信息基礎(chǔ)設(shè)施行業(yè)和領(lǐng)域試點示范已成為零信任產(chǎn)業(yè)發(fā)展關(guān)鍵。
零信任規(guī)模和部署實踐不斷加快
當前，從全球發(fā)展趨勢來看，歐美發(fā)達國家已經(jīng)對零信任開展了重點布局，比如美國行政管理和預算辦公室在今年發(fā)布零信任安全原則遷移的聯(lián)邦戰(zhàn)略，要求相關(guān)機構(gòu)在2024財年之前滿足特定的網(wǎng)絡(luò)安全標準和目標，以增強政府應對日益復雜和持續(xù)的網(wǎng)絡(luò)威脅的能力；新加坡的網(wǎng)絡(luò)安全戰(zhàn)略里也明確提出以積極態(tài)度在全國范圍內(nèi)推行零信任，加拿大政府也提出采用零信任技術(shù)構(gòu)建身份和訪問控制支柱能力。
有82%歐洲企業(yè)增加其零信任的安全預算，我國也在逐步推進零信任相關(guān)研究與試點項目。在2021年7月工信部出臺了《網(wǎng)絡(luò)安全產(chǎn)業(yè)高質(zhì)量發(fā)展三年行動計劃(2021-2023年)(征求意見稿)》，里面明確做出加快開展零信任網(wǎng)絡(luò)安全體系研發(fā)和推動零信任技術(shù)應用部署安排。相關(guān)政府部門以及企業(yè)也都在盡力加快我們國家在零信任的建設(shè)，希望可以在這個領(lǐng)域至少在標準方面能夠發(fā)出我們中國的聲音。
“從戰(zhàn)略層面來看，零信任發(fā)展政策布局已經(jīng)逐步形成，零信任規(guī)模和部署實踐不斷加快。從產(chǎn)業(yè)層面來看，在電信、金融、能源等行業(yè)中形成了零信任應用示范，不斷優(yōu)化網(wǎng)絡(luò)安全產(chǎn)品升級。從技術(shù)層面將重塑現(xiàn)有網(wǎng)絡(luò)安全架構(gòu)和網(wǎng)絡(luò)安全設(shè)施，深刻改變關(guān)鍵基礎(chǔ)設(shè)施的部署應用模式，零信任是機遇�！北本┼]電大學網(wǎng)絡(luò)空間安全學院執(zhí)行院長李小勇講到。
據(jù)李小勇介紹，零信任跟原來信任相比最大的不同是得到了學術(shù)界、產(chǎn)業(yè)界、政府高度重視，可操作性更強，在標準化方向推進，這樣會對產(chǎn)業(yè)界形成巨大的推動作用。主導思想引導網(wǎng)安體系架構(gòu)從網(wǎng)絡(luò)中心化走向數(shù)字化身份，主要還是基于身份認證這個核心點，其本質(zhì)訴求是以升維中心進行訪問控制，默認情況下不應該基于網(wǎng)絡(luò)內(nèi)部和外部任何人、設(shè)備、系統(tǒng)，需要基于認證和授權(quán)重構(gòu)訪問控制的信任基礎(chǔ)。
零信任需要分步驟、分場景建設(shè)
李小勇表示，新發(fā)布的零信任能力成熟度模型，主要涵蓋實施網(wǎng)絡(luò)、安全、管理、應用等多個方式，涉及包括能源、醫(yī)療、金融等多個重點行業(yè)關(guān)鍵信息基礎(chǔ)的建設(shè)與運營，確實滿足了數(shù)字化轉(zhuǎn)型下網(wǎng)絡(luò)防御需求�！爱斍�，零信任在起始階段，并不是一蹴而就，需要分步驟、分場景進行建設(shè)，能力成熟度模型里面，對零信任發(fā)展分為五個階段。”
第一個階段無零信任階段，這階段特點是不具備零信任安全基礎(chǔ)能力的原始階段；第二個階段傳統(tǒng)階段，具備基本網(wǎng)絡(luò)安全技術(shù)能力以及概念級零信任系統(tǒng)能力；第三個階段初級階段，具備基礎(chǔ)零信任安全技術(shù)能力和部分零信任功能模塊的安全技術(shù)能力；第四個階段優(yōu)化階段，具備系統(tǒng)級別的零信任安全技術(shù)能力，支持主動防御能力；第五個階段持續(xù)安全階段，具備標準級別、可持續(xù)提升零信任安全技術(shù)能力。
從實踐者方法論角度來看，圍繞零信任架構(gòu)安全、產(chǎn)品安全、用戶安全等多視角綜合考慮，零信任能力成熟度被分為五個階段。賦能者的量度來看，把握各企業(yè)產(chǎn)品的零信任成熟度情況，同時精準定級，詳細診斷當前零信任關(guān)鍵能力中的短板，并指明企業(yè)后續(xù)改進方向，在后面可以根據(jù)零信任五個階段可以給一個分類評價。
零信任能力成熟度模型參考架構(gòu)遵循的是零信任的定義和原則，針對特定的業(yè)務(wù)場景和工作流，對構(gòu)成的8個核心模塊的各功能子組件，技術(shù)交互方式上提供指導和約束，這八個關(guān)鍵能力特征主要包括身份安全、基礎(chǔ)設(shè)施、網(wǎng)絡(luò)安全、數(shù)據(jù)安全、應用負載安全、網(wǎng)絡(luò)可持續(xù)安全檢測與評估、網(wǎng)絡(luò)安全可視化、綜合安全管理。
“我們的愿景是統(tǒng)籌布局零信任體系建設(shè)，多方共推產(chǎn)業(yè)高質(zhì)量發(fā)展，主要從加快自主體系建設(shè)，鼓勵試點示范應用，構(gòu)建良性產(chǎn)業(yè)生態(tài)三個方向，有一系列的舉措，關(guān)鍵我們要全面推動零信任能力成熟度模型的評估實施，打造一批有影響力可推廣的零信任行業(yè)應用標桿，依托CCSATC621產(chǎn)業(yè)平臺實現(xiàn)供需雙方的協(xié)作聯(lián)動。” 李小勇坦言。
