安世加&Akamai&IBM：零信任建設調研報告（2023）（100頁）.pdf

《安世加&Akamai&IBM：零信任建設調研報告（2023）（100頁）.pdf》由會員分享，可在線閱讀，更多相關《安世加&Akamai&IBM：零信任建設調研報告（2023）（100頁）.pdf（100頁珍藏版）》請在三個皮匠報告上搜索。

1、零信任建設調研報告零信任建設調研報告目錄版權聲明.I主要撰稿人.II特別鳴謝.III作者寫在前面.IV第一章 零信任模型的概念和優勢.81.1 網絡安全的挑戰和需求.81.2 零信任模型的基本理念和框架.91.嚴格、多維度的權限管理和訪問控制.92.持續、動態的全鏈路風險驗證體系.103.全域統一的安全視圖.101.3 零信任發展史.121.4 零信任模型在辦公場景中的應用和優勢.15第二章 零信任模型實現和部署.172.1 零信任需求.171.數據保護.172.移動辦公.173.云應用.184.供應鏈安全.195.遠程辦公.202.2 零信任痛點.221.暴露面風險：內外網區分越來越模糊.2

2、22.跨平臺的兼容性.223.員工認證比較難.234.應用訪問不統一.235.行為管理.232.3 零信任模型的技術和工具支持.241.軟件定義邊界.242.身份權限管理.25安世加零信任建設調研報告3.微隔離.264.多因素身份認證.265.會話管理.286.訪問控制.307.數據加密.318.安全網關(Secure Web Gateway).339.UEBA-SIEM.3410.ZTNA.35第三章 零信任市場調研結果展示.393.1 參與零信任調研問卷樣本統計結果概述.393.2 已建設零信任甲方企業數據分析.453.3 未建設零信任甲方企業數據分析.523.4零信任問卷調研七大總結.6

3、0第四章 零信任模型的風險和挑戰.644.1 零信任模型風險和威脅.644.2 零信任模型挑戰和難點.661.建設思路帶來的問題.662.建設復雜性問題.663.建設成本問題.674.資源投入問題.685.擴展性問題.696.用戶體驗問題.697.文化變革問題.70第五章 零信任模型應用案例.725.1 零信任模型案例.721.金融業.722.制造業.733.互聯網.755.2 零信任模型未來的發展和趨勢展望.76參考文獻.77Akamai.i安世加零信任建設調研報告持安科技.viIBM.xi曠視科技.xv安世加零信任建設調研報告I版權聲明本報告版權屬于安世加所有，并受法律保護。轉載、摘編或利

4、用其它方式使用本調查報告文字或者觀點的，應注明“來源：零信任建設調研報告”。違反上述聲明者，我們將追究其相關法律責任。安世加零信任建設調研報告II主要撰稿人按姓氏拼音順序排序丁安安廖位明王建強安世加零信任建設調研報告III特別鳴謝按姓氏拼音順序排序Allen WangAronChennyDanielJason LiuJason PanJimmy FeiKarenMichealYuanyi艾亮亮安梅花白菜曹昉赫常鵬天陳昺潤陳綱陳俊旭陳勇程宇朋楚春鵬鄧百均鄧勰杜永春范金成方朝旭馮啟東甘銅高鶴顧佳敏郭泰予何峰賀勝勇胡永鑫華樹嘉黃德俊黃丁智黃琦黃帥霍炬蔣文俊焦儒佳金昊金毅李漢彪李劍鋒李帥李松李衛忠李彥

5、斌李揚廖超豪林鵬劉鳳寶劉橫劉沛劉巍劉歆軼劉永杰劉玉軒劉元劉正明盧明樊馬霄馬延孟翔巍潘武邵桂昌沈瓏沈越飛宋良杰宋士明孫大川孫凡琦孫鵬飛湯磊湯霖田國華王川王夢遠王一波王治綱王忠惠蔚晨聞強翁波夏子欽肖森林謝文博辛琰邢博武邢驍熊耀富徐經緯徐猛薛朝薛晨薛勇顏依冉楊誠楊玉誠葉炯于閩東張宏張健張杰張魯張天意張勇趙波趙傳慶趙會強趙景濤趙鐵錚鄭歡朱春龍朱國兵安世加零信任建設調研報告IV作者寫在前面當下網絡安全形勢趨嚴，越來越多的企業開始認識到零信任的優勢，并嘗試將其應用到企業的安全戰略中。但零信任模型涉及面廣且復雜，從業者的理解也各有不同，這不可避免的導致市場上產品與需求的偏差。本報告首先系統梳理了零信任模型的

6、理念優勢、技術體系、風險挑戰等，以幫忙企業快速建立對零信任的理解和認識。在此基礎上，本報告編寫組與 133家企業的 CSO、技術總監或安全專家做了一對一的深入交流，總結了不同企業對零信任的規劃和實踐落地情況，行業涉及金融、互聯網、制造業等，訪談內容既包括已做零信任企業的驅動力和推進難點，也包括未做零信任企業的計劃和顧慮，力圖展現企業在建設和規劃零信任中的挑戰、考量和關鍵要素。期待本調研報告能為企業落地零信任模型提供幫助和參考，為企業安全建設提供更多的思路。丁安安安世加零信任建設調研報告V這份零信任建設調研報告中，我們期望為您帶來對零信任安全模型的深入了解。隨著信息技術的快速發展，傳統的信任模式

7、已經面臨著越來越多的挑戰和安全威脅。在這個數字化時代，我們需要采取更加可靠和細致的方法來保護我們的數據和系統。零信任市場技術是一種新興的安全模型，它摒棄了傳統的信任假設，將安全性置于核心位置。它基于最小化信任和最大化驗證的原則，要求我們對每一個用戶、設備和應用程序都保持高度警惕，并且對其進行連續的驗證和授權。通過采用零信任模型，我們能夠實現更加細粒度的訪問控制、實時的威脅檢測和響應，并且在面對不斷變化的安全環境時保持靈活性和敏捷性。本調研報告中將深入探討零信任相關技術原理、關鍵組成部分、建設實踐難點以及實際應用場景。我們希望通過這份調研報告，幫助您更好地理解零信任模型，為您落地零信任模型提供參

8、考，并且為您在構建和維護安全的數字化安全生態系統中提供有價值的指導。廖位明安世加零信任建設調研報告VI在當今數字化浪潮下，網絡安全威脅不斷演變和增長，傳統的邊界防御模式已經無法滿足我們面臨的挑戰。零信任模型應運而生，提供了一種全新的安全理念和方法，不再依賴傳統的“信任但驗證”模式，而是堅持“不信任，始終驗證”的原則。零信任本質上是要實現合適的人、設備在正確的時間里面正常的訪問對應的資源。通過采用零信任模型，公司或者組織可以更好地保護其敏感數據和資源，減少潛在的安全漏洞，并降低遭受損失的風險。在過去幾年里，零信任模型在全球范圍內得到了廣泛的關注和應用。許多領先的組織已經采納了零信任策略，并取得了

9、顯著的成果。然而，零信任模型仍然處于不斷發展和演進的階段。隨著技術的進步和新的安全挑戰的出現，我們必須不斷改進和完善零信任的實施方法。這就需要各界專家、學者和從業者共同努力，推動零信任模型的進一步發展，以應對未來的安全挑戰。希望這份調研報告能夠為您提供有價值的信息，并激發您對零信任模型的興趣。相信通過共同努力，零信任模型將為我們建立更安全的未來奠定堅實的基礎。王建強安世加零信任建設調研報告7零信任建設調研報告8第一章 零信任模型的概念和優勢1.1 網絡安全的挑戰和需求隨著云計算、人工智能、大數據、5G 等新興技術的應用，各行各業均處于不斷加速的數字化轉型浪潮中，辦公方式也呈現碎片化、移動化，導

10、致企業的網絡安全邊界越來越模糊；另一方面，網絡安全形勢日益嚴峻，網絡攻擊持續上升，數據泄露、勒索病毒等事件頻發，網絡釣魚、隱蔽隧道攻擊等新型攻擊手法層出不窮，進一步讓傳統的基于“縱深防御+邊界防護”的安全防護體系，因為邊界的模糊而漸漸失效，難以適應企業的快速增長及業務的快速變化。隨著網絡安全法、數據安全法、個人信息保護法等法律和行業法規的相繼出臺，監管機構對信息系統的安全性要求越來越高，企業更需要及時采用有效的途徑不斷加強安全防護能力，提高信息安全管理。近年來，“去邊界化”、“持續驗證、永不信任”的零信任理念得到了越來越多政府和企業的認可。安世加零信任建設調研報告91.2 零信任模型的基本理念

11、和框架不斷升級的攻擊手法對傳統的網絡安全邊界劃分提出了挑戰，基于“去邊界化”、“永不信任、持續驗證”的零信任理念獲得越來越多的認可。根據 Forrester、Gartner 等機構的總結和國內外政府企業的實踐落地，零信任的框架可歸納為以下幾點：1.嚴格、多維度的權限管理和訪問控制在傳統的安全理念中，權限管理和訪問控制更多是基于用戶身份這一單維主體，即用戶的賬號及衍生出來的組織、崗位、角色等信息，系統根據賬戶進行訪問的授權和控制。但在賬號失陷后，盜用者可訪問用戶所有的資源，這種單一的信任理念對風險的抵抗較為脆弱。在零信任模型中，則需要對用戶的更多維度進行詳細的管理和控制，包括用戶的身份、設備、環

12、境等，以防止單一主體被突破后的未授權訪問和攻擊。具體包括：身份管理：根據用戶的賬號、角色、崗位等信息進行權限的劃分和驗證，但驗證不再局限于用戶密碼，在零信任環境下，多因素驗證成為了強制標準，用戶需要提供短信、令牌、生物信息等多種身份證明，且在不同的風險環境中，出具不同級別的驗證。設備管控：設備作為終端的辦公工具，一旦被入侵或者遠控，會帶來極大的風險，在零信任的理念下，設備需要做好分級管控。例如區分臨時設備和辦公設備，并賦予不同級別的訪問權限，以及檢測設備的安全配置，是否安裝防護軟件和最新補丁、是否有入侵記錄等。環境監測：對辦公的位置、IP、WIFI 等環境信息進行監測，對可疑來源的請求要強化驗

13、證，同時也需要考慮設定不同的權限級別，如境外的辦公環境中，可以考慮暫時關閉相關敏感數據的訪問。安世加零信任建設調研報告10最小權限原則：零信任需要遵循“最小權限原則”，所有的權限分配應該以“用戶和設備辦公時所需要的最小權限”為準，無需訪問的資源將被默認限制，以減少網絡攻擊的范圍。在此前提下，即使某個賬戶受到攻擊，該賬戶的訪問權限也非常有限。2.持續、動態的全鏈路風險驗證體系零信任認為一切請求都是不可信且需要驗證的，這意味著即使用戶完成了身份等因素的登錄驗證，其后的一切內網訪問和辦公行為也都不可完全信任，需要進行不同程度的驗證。對行為的驗證主要基于異常檢測算法結合規則來發現異常行為，如非正常的高

14、頻訪問、來自風險終端的訪問（存在惡意進程等）、大量的數據傳輸等，零信任需要及時探測到這些異常行為，并根據風險程度進行不同層次的驗證。零信任“全鏈路”驗證體系的一個前提是擁有從終端到流量足夠多的數據，終端上需要檢測到設備的進程、系統的安全配置、外部病毒入侵等，流量上能夠通過網關收集到訪問的目的、時間和訪問環境等信息。因此，想要做到真正持續、動態的全鏈路風險驗證，前期的基礎設施建設要盡可能覆蓋完備，它在功能上需要有桌管、殺軟、VPN、DLP 等功能，也是當下零信任 All in One 的趨勢。零信任的驗證體系還需要與安全運營中心進行結合，對發現的疑似惡意請求要及時進行分析處置。3.全域統一的安全

15、視圖要實現零信任的多維權限管控和全鏈路的風險驗證體系，一個前提是有全域的安全視圖，包括全域的資產身份化和安全數字化。資產身份化是對企業的信息系統資產盡可能納入管控范圍內，做到“應管盡安世加零信任建設調研報告11管”，對未知游離資產進行定期掃描和發現，及時納管或下線。并基于此，標識出信息系統每一個資源的類型、歸屬應用、歸屬人/團隊等，實現資產的身份化。安全數字化則是在此基礎上，將身份化、數字化的資產與安全建設和運營聯動。在零信任的安全數字化模型中，安全不再是單一的防御視角，而是采用一個統一的安全視圖，將數字資產的所有者、使用者、訪問者等多個角色的身份和行為進行統一管理和控制，以實現整體的安全防護

16、。在發生信息安全事件時，能夠快速定位溯源，從全域統一視角進行安全運營工作。安世加零信任建設調研報告121.3 零信任發展史2010 年，Forrester 分析師 John Kindervag 正式提出了“零信任模型”（ZeroTrust Model）的概念1。主要涵蓋三大核心思想：驗證并保衛各種來源；限制并嚴格執行訪問管理；檢查并紀錄所有網絡流量日志。與傳統安全觀念相比，它要求對流量進行持續驗證。2014 年，谷歌對外公開了其內部零信任項目 BeyondCorp 研究模型，使其員工無需 VPN 便可通過不受信任的網絡順利開展工作。這意味著有必要摒棄對企業內網的依賴，并創立一種創新的安全訪問方

17、式。在這種全新的無特權內網訪問形式下，訪問僅取決于設備和用戶身份證明，而與用戶所處的網絡位置無關，以實現員工隨時隨地可訪問公司內部應用和數據的零信任模式。2017 年，Gartner 發布持續自適應風險與信任評估（ContinuousAdaptive Riskand Trust Assessment,CARTA）模型，并指出零信任是實現 CARTA 總體規劃的起始階段2，接下來的兩年中發表了零信任網絡連接（Zero-Trust Network Access,ZTNA）市場行動指南。在隨后的幾年里，“去邊界化”和“零信任訪問”迅速發展。2020 年 8 月 12 日，美國國家標準與技術研究院（N

18、IST）正式發布零信任架構標準3，成為迄今最具權威性的零信任架構標準。2021 年 9 月 7 日，美國政府管理和預算辦公室（OMB）公布了聯邦零信任策略，該策略遵循并支持美國政府第 14028 號增強國家網絡安全行政令，目的是逐步以零信任原則改造民用機構的企業安全框架。安世加零信任建設調研報告13NIST 的零信任架構標準將零信任架構分成了三個方向，分別是軟件定義邊界（SDP）、身份權限管理（IAM）、微隔離（MSG）。軟件定義邊界（SDP）：旨在使應用程序所有者能在需要時部署安全邊界，以便將服務與不安全的網絡隔離開。SDP 將物理設備替換為在應用程序所有者控制下運行的邏輯組件，僅在設備驗證

19、和身份驗證后才允許訪問企業應用基礎架構。SDP 的一個落地方案就是將 VPN 網關端口隱藏，客戶端通過 SPA 單包授權機制，攜帶專門的安全票據進行敲門認證之后，方可與網關進行連接，進而訪問內網。這可以把攻擊面降低到最小，甚至完全不暴露端口，實現“零”攻擊面。身份權限管理（IAM）：零信任強調基于身份的信任鏈條，即該身份在可信終端，該身份擁有權限才可對資源進行請求。傳統的 IAM 系統可以協助解決身份唯一標識、身份屬性、身份全生命周期管理的功能問題。通過 IAM 將身份信息（身份吊銷離職、身份過期、身份異常等）傳遞給零信任系統后，零信任系統可以通過 IAM 系統的身份信息來分配相應權限，而通過

20、 IAM 系統對身份的唯一標識，可有利于零信任系統確認用戶可信，通過唯一標識對用戶身份建立起終端、資源的信任關系，并在發現風險時實施針對關鍵用戶相關的訪問連接進行阻斷等控制。微隔離（MSG）：微隔離本質上是一種網絡安全隔離技術，能夠在邏輯上將數據中心劃分為不同的安全段，一直到各個工作負載級別，然后為每個獨立的安全段定義訪問控制策略。零信任安全架構也得到了我國相關部門和業界的高度重視。由中國科學院大學、中國信息通信研究院和奇安信網神信息技術（北京）股份有限公司等機構聯安世加零信任建設調研報告14合申請的信息安全技術零信任參考體系架構已于 2020 年通過全國信息安全標準化技術委員會網絡安全國家標

21、準項目立項。同時，中國信通院發布的中國網絡安全產業白皮書（2020 年）也將零信任納入監測對象4。近年來，零信任也受到了我國各行各業的關注，并得到了落地實踐。本書編寫組對 133 個企業的安全或技術負責人進行了零信任落地的采訪，相關內容見第三章。本書第五章也總結了零信任在制造業、金融業、互聯網的實施現狀。安世加零信任建設調研報告151.4 零信任模型在辦公場景中的應用和優勢信息技術的迅速發展加速了各行各業的數字化轉型，辦公方式也逐漸呈現線上化、移動化、碎片化的趨勢。另一方面，近年來網絡安全形勢日益嚴峻，新型攻擊手法層出不窮，欺詐釣魚的套路也不斷升級，中毒勒索、數據泄露時有發生，企業的安全邊界越

22、來越模糊。網絡安全威脅日益增長和企業對靈活辦公需求的矛盾，使得零信任安全架構得到廣泛關注，零信任在全域統一的安全視圖基礎上，摒棄了傳統安全邊界的概念，通過嚴格的權限管理和訪問控制、全鏈路的風險驗證，對一切請求進行驗證，使得企業在防止網絡攻擊和降低安全威脅方面具有更高的優勢，同時對員工、設備和應用程序的身份驗證也有助于減少內部惡意行為的可能性。此外，零信任架構允許員工在任何地點安全地通過任何設備訪問公司資源，因其驗證機制可以及時發現攜帶的風險，無懼更靈活的辦公方式。因此無論遠程、移動等場景均有對應的安全控制措施，能夠滿足新形勢下安全辦公的需求，提高員工生產力和滿意度，具有廣泛的應用價值。安世加零

23、信任建設調研報告16零信任建設調研報告17第二章 零信任模型實現和部署2.1 零信任需求1.數據保護數據是這個時代的石油，也是企業的核心競爭力，數據的保護再怎么強調也不為過。近些年，疫情導致的遠程居家辦公，移動辦公，以及勒索事件頻發，嚴重威脅企業的數據安全。傳統的邊界防御的模型，對應這些新興的威脅，無法有效的降低風險。需要零信任帶來新的范式來體系的解決一攬子問題。2.移動辦公移動辦公是新的常態，也帶了諸多挑戰。2016 年 7 月，WeWork 獲 A 輪融資，估值高達 160 億美元，同年 WeWork 也正式進入中國市場。WeWork 的火熱背后，反映的是移動辦公這個 IT 行業多年的夙愿

24、成了常態，Anytime、Anywhere 都可以工作。越來越多的現代企業變成了移動辦公，然而移動設備的開放性和多樣性給企業數據安全帶來了挑戰。那么零信任的一個需求就是:要求對訪問企業資源的用戶進行嚴格的身份驗證和授權。包括不限于 多重身份驗證：要求用戶在使用移動設備訪問企業數據之前進行多重身份驗證，如密碼、指紋識別、面部識別等。訪問控制：采用訪問控制策略，限制移動設備和用戶對企業數據的訪問權限，包括可訪問的數據類型和可訪問的應用程序。加密通信：使用加密技術確保移動設備和企業數據之間的通信安全，安世加零信任建設調研報告18包括數據傳輸和數據存儲。安全審計：實時監控和審計移動設備和用戶對企業數據

25、的訪問，以便快速檢測和響應安全事件。3.云應用上云是數字化的趨勢，那么越來越多的企業上云，同時由于 SaaS（軟件即服務）生態的繁榮，企業大量的在使用第三方 SaaS 服務，企業對云服務和 SaaS的依賴程度越來越高，第三方 SaaS 服務提供商成為企業日常運營的重要組成部分。云上的應用（自研服務+SaaS 等）應該如何安全的被訪問到？零信任需要解決好云應用的的訪問，授權，審計等的需求，需要從以下幾個維度。企業不信任任何用戶或設備，包括第三方 SaaS 服務提供商，因此需要對訪問企業數據的第三方 SaaS 服務進行嚴格的身份驗證和授權。以下是企業采用零信任模型保護第三方 SaaS 服務的一些措

26、施：嚴格的身份驗證和訪問控制：企業需要對第三方 SaaS 服務提供商進行嚴格的身份驗證和訪問控制，只允許授權的用戶和設備訪問企業數據。這可以通過單點登錄（SSO）和多重身份驗證等技術實現。數據加密和隔離：企業需要確保企業數據在傳輸和存儲過程中進行加密，以防止第三方 SaaS 服務提供商的惡意攻擊或意外泄露。另外，企業可以使用容器化技術將企業數據與第三方 SaaS 服務提供商的數據隔離開來，以保證數據的隔離和安全。持續監控和審計：企業需要對第三方 SaaS 服務提供商的訪問行為進行持續監控和審計，以確保他們沒有越權訪問企業數據。同時，企業還需要安世加零信任建設調研報告19建立實時響應機制，以快速

27、檢測和響應安全事件。風險評估和管理：企業需要對第三方 SaaS 服務提供商進行風險評估和管理，評估他們的安全措施是否符合企業的安全要求，以及他們的安全記錄和聲譽如何。在選擇第三方 SaaS 服務提供商時，企業應該優先選擇那些具備可靠的安全措施和認證的提供商。4.供應鏈安全隨著開源生態的成熟發展，大多數軟件不再是完全從頭開始編寫，會使用大量的開源庫等來完成功能的實現。時間越長，開發人員會愈發難以控制或者修改來自第三方的源代碼，比如有些開源庫長期不維護更新，導致未安裝補丁等的情況頻發。比如 2020 年，軟件公司 SolarWinds 遭到入侵，攻擊者通過 SolarWinds 使用的 Orion

28、 IT 監控和管理軟件發布惡意代碼，而 Orion IT 軟件又是很多大型企業和政府機構都在使用的平臺。通過攻擊供應鏈，黑客不僅入侵了 SolarWinds，也入侵了他們的客戶。再比如 Log4j 是一款常用的開源軟件，2021 年被發現存在 RCE，同時這個軟件被大量的軟件使用，導致無數用戶和企業容易遭受數據泄露和攻擊，也在同年，美國總統針對供應鏈和網絡安全通過了 2 項行政令，此舉也強調了軟件供應鏈和安全防護的重要性。那么供應鏈安全如此重要，除了常規的 SDL(Security Development Lifecycle）的手段之外，還有哪些手段可以降低風險？答案是顯然的，通過零信任的機制

29、，可以確保供應鏈中所有參與者都是可信的，以避免數據泄露和網絡攻擊等安全問題。安世加零信任建設調研報告20以下是企業采用零信任模型保護供應鏈安全的一些措施：供應鏈風險評估和管理：企業需要對其供應鏈中的各個參與者進行風險評估和管理，以識別潛在的風險和漏洞，并采取措施加以緩解。企業可以使用供應鏈風險管理工具和服務來實現這一目標。供應鏈安全協議和合同：企業應該與其供應鏈中的每個參與者簽訂供應鏈安全協議和合同，明確各方責任和義務，包括數據保護和網絡安全等方面的要求。供應鏈中的身份驗證和訪問控制：企業需要對其供應鏈中的所有參與者進行身份驗證和訪問控制，以確保只有授權的用戶和設備可以訪問企業數據。這可以通過

30、使用多重身份驗證、單點登錄（SSO）和其他技術來實現。數據加密和隔離：企業需要確保在其供應鏈中傳輸和存儲的數據都進行加密，以保護其機密性和完整性。同時，企業可以使用容器化技術來隔離供應鏈中的數據和應用程序，以防止惡意攻擊和漏洞的傳播。持續監控和審計：企業需要對其供應鏈中的各個參與者進行持續監控和審計，以確保他們遵守供應鏈安全協議和合同，并及時檢測和響應安全事件。零信任需要可以幫助企業保護其供應鏈安全，并采取措施緩解潛在的風險和漏洞。5.遠程辦公自從 2019 年年底的大流行開始，遠程辦公是一個新的常態。隨著遠程辦公的的規模擴大，企業需要面對越來越多的遠程辦公風險，例如數據泄露、網絡攻擊、身份欺

31、詐和社交工程攻擊等。安世加零信任建設調研報告21零信任需要解決方便辦公的同時，需要最大程度降低風險。例如需要實現：多重身份驗證：企業應該實施多重身份驗證，以確保只有授權的用戶可以訪問其網絡和數據。這可以包括使用密碼、指紋識別、短信驗證碼等多種身份驗證方式。訪問控制和權限管理：企業需要實施訪問控制和權限管理策略，以確保只有授權的用戶可以訪問敏感數據和系統。同時，企業應該限制員工對系統和數據的權限，以避免數據泄露和誤操作等問題。網絡隔離和加密：企業可以使用虛擬專用網絡（VPN）或其他技術來隔離遠程用戶的網絡流量，并加密傳輸的數據，以防止中間人攻擊和數據泄露等問題。統一終端管理：企業需要對其所有遠程

32、終端進行統一的管理和監控，以及時檢測和響應安全事件。企業可以使用終端安全軟件和設備管理工具來實現這一目標。員工培訓和意識提高：企業需要對員工進行安全培訓和意識提高培訓，以幫助他們識別和避免社交工程攻擊和釣魚郵件等安全威脅。安世加零信任建設調研報告222.2 零信任痛點1.暴露面風險：內外網區分越來越模糊隨著企業網絡的日益復雜和外部威脅的不斷增加，內外網區分越來越模糊，從而導致了暴露面風險的加劇。傳統的內網和外網架構已經無法滿足現代企業網絡的安全需求，因為內外網的邊界已經變得越來越模糊，許多企業應用程序和數據都不再受限于內網。為了解決這個問題，不少公司在 VPN 上投入比較多的資源。VPN 由于

33、架構特殊性，伸縮性等存在比較明顯的瓶頸。遇到突發事件，比如 2019 的疫情等情況，供應鏈等存在波動的情況下，無法快速的提升處理能力，支持全員遠程辦公，變得比較被動；于是出現犧牲了部分安全的特性，直接開放內部系統到公網上。另外隨著移動辦公的興起，員工的個人設備也會訪問公司的內部系統，而員工的內部系統，情況各不相同，無法采取使用公司資產的方式強制安裝安全軟件，打上補丁等。安全能力沒有覆蓋，也就是木桶中最短的短板。從網絡結構上看，內外網絡區分越來越模糊，傳統的 VPN 方案，由于自身限制，客觀上擴大了公網的暴露面；從接觸的設備上來看，無法強管控的自帶設備入場，實際上增加了公司內部系統的風險面。2.

34、跨平臺的兼容性隨著移動互聯網的發展，雇員等會有擁有多個終端。零信任需要適配多類型的終端，如 Windows，macOS，Linux，iOS，Android5 大主流操作系統。同時保持核心功能統一、體驗一致是零信任的基本訴求，在各個系統之間求個最大公約數。安世加零信任建設調研報告233.員工認證比較難企業在進行身份認證和授權時，由于歷史或者技術選型的原因，有使用LDAP(Lightweight Directory Access Protocol)，使用 AD(Active Directory)等不同的方案；隨著 SaaS，以及 IDaaS（Identity as a Service）的興起，不少

35、公司的身份源頭使用了 okta、北森等系統。近些年的辦公 IM SaaS 化也導致了一些公司直接以辦公 IM 軟件賬號信息直接作為認證源頭。這種百家爭鳴的情況，客觀上也增加的零信任統一認證員工的難度，需要適配不少認證源，比如 LDAP，AD，IDaaS,企業微信，釘釘，飛書等辦公軟件。4.應用訪問不統一隨著 SaaS 生態的繁榮，公司不僅有內部自研系統，也使用了大量的第三方SaaS 應用。然而每個系統的認證方式未必統一，安全設計上也參差不齊，加上傳統的 VPN 模式的授權方式存在多維度授權，這客觀上增加了風險。在這種情況下，零信任需要對應用訪問的方式進行統一，并通過精細化管理和最小必要原則控制

36、權限，徹底解決授權方式不統一的問題。5.行為管理行為管理是運營的基礎，在日益復雜的挑戰下，關聯起網絡層，設備維度的行為才能精準的分析出上下文。也是 UEBA 的基礎功能，那么零信任就需要統一網絡層行為，設備，人的關聯，為統一動態決策提供基礎。行為管理也是零信任的決策大腦的核心組成部分，可以說沒有行為管理，就沒有零信任的動態授權。安世加零信任建設調研報告242.3 零信任模型的技術和工具支持圖 1：零信任全景圖1.軟件定義邊界軟件定義邊界（SDP）則是一種安全架構和技術，它通過創建一種虛擬的、基于軟件的安全邊界來保護企業資源和數據。SDP 通過將應用程序和數據從公共網絡隔離出來，只允許經過身份驗

37、證和授權的用戶訪問，從而提供了更加細粒度的訪問控制和更高的安全性。SDP 可以實現在網絡層面和應用程序層面的安全隔離，并提供了一種動態和靈活的方式來管理和控制訪問權限。也是零信任的網絡訪問的部分的基礎，將零信任和軟件定義邊界結合起來，可以建立一種強大的安全架構。SDP 技術可以用于實現零信任模型中的訪問控制和權限管理，通過建立虛擬的、基于軟件的安全邊界來限制和保護用戶對企業資源和數據的訪問。SDP可以與多重身份驗證、實時監控和響應等零信任原則結合使用，提供更高級別的安全性和保護。安世加零信任建設調研報告252.身份權限管理零信任模型與身份權限管理密切相關，強調了對用戶的嚴格身份驗證和基于最小特

38、權原則的訪問控制。身份權限管理是實現零信任模型的關鍵組成部分之一，它涉及到對用戶身份進行管理、驗證和授權，以確保只有合法的用戶可以訪問所需的資源和數據。在零信任模型中，身份權限管理包括以下關鍵方面：身份驗證：對用戶進行身份驗證是確保只有合法用戶訪問企業資源的第一步。多重身份驗證是常用的方式，其中可以使用密碼、令牌、生物特征識別等多種驗證因素來驗證用戶的身份。訪問控制：一旦用戶的身份驗證通過，就需要對其訪問權限進行控制。零信任模型采用最小特權原則，即用戶只能獲得訪問所需資源的最低權限，而不是廣泛的權限。訪問控制可以基于用戶的身份、角色、上下文和其他策略進行動態授權。身份生命周期管理：身份權限管理

39、還包括對用戶身份的全生命周期管理，從注冊、分配權限、更改權限到撤銷權限等。對用戶的身份進行有效的生命周期管理可以確保用戶權限的準確性和實時性。身份審計和監控：零信任模型強調實時監控和響應，因此身份權限管理應包括對用戶訪問行為的審計和監控。這可以幫助檢測和預防未經授權的訪問嘗試，以及時發現安全事件和異常行為。身份權限管理在零信任模型中扮演著重要角色，它涵蓋了用戶身份驗證、訪問控制、身份生命周期管理和身份審計與監控等方面。通過嚴格的身份驗證和最小特權的訪問控制，企業可以實現更精細化和可信任的訪問管理，提高網絡和數安世加零信任建設調研報告26據的安全性，并減少潛在的風險。3.微隔離微隔離是一種網絡安

40、全措施，它將網絡劃分為小的、相互隔離的部分，以限制網絡中的通信流量和訪問。通過微隔離，企業可以將網絡分段為多個安全區域，每個區域都有自己的訪問規則和控制策略。這樣可以防止網絡上的橫向滲透和側向移動，即使一部分網絡受到攻擊，攻擊者也無法輕易進入其他區域。將零信任和微隔離結合起來，可以建立更強大和細粒度的安全架構。微隔離可以用于實施零信任模型中的訪問控制和分割網絡，確保只有授權的用戶和設備可以訪問特定的網絡區域和資源。通過將網絡劃分為微隔離區域，即使攻擊者成功滲透了某個區域，他們仍然受到其他區域的隔離和限制，從而降低了潛在的風險和影響。4.多因素身份認證多因素身份認證（Multi-factor A

41、uthentication）以下簡稱 MFA,MFA 代表多重身份驗證，也被稱為兩步驗證或雙因素驗證。它是一種安全措施，用于驗證用戶身份的有效性，要求用戶在登錄或訪問敏感信息時提供多個獨立的身份驗證因素，以增加安全性。傳統的身份驗證通常只依賴于用戶名和密碼，但這種方式存在一些安全風險，如密碼泄露、社會工程等。為了加強身份驗證的安全性，MFA 引入了額外的身份驗證因素，通常涉及以下幾種形式：密碼：用戶必須提供已知的密碼或密碼短語，這是最常見的身份驗證因素。硬件令牌：用戶持有一個物理設備，例如安全令牌或智能卡，其中包含生成的一次性密碼（OTP）或數字證書。安世加零信任建設調研報告27 軟件令牌：用

42、戶使用一個應用程序或手機上的軟件來生成一次性密碼（OTP）。生物特征識別：用戶的生物特征，如指紋、面部識別、虹膜掃描或聲紋識別等。短信驗證：用戶在登錄過程中收到一條包含驗證碼的短信，并輸入該驗證碼進行驗證。在 MFA 中，用戶需要同時提供兩個或多個不同類型的身份驗證因素，以增加登錄或訪問的安全性。即使攻擊者獲得了用戶的密碼，他們仍然無法成功登錄或訪問系統，除非他們也能夠提供其他身份驗證因素。這種額外的身份驗證層次提供了更高的安全性，降低了身份盜竊和未經授權訪問的風險。MFA 在許多應用程序和服務中得到廣泛采用，包括在線銀行、電子郵件服務、社交媒體平臺等。它已被證明是一種有效的安全措施，可以幫助

43、保護用戶賬戶和敏感信息免受未經授權的訪問和身份盜竊的威脅。MFA 是實現零信任模型的一種關鍵工具。通過使用 MFA，用戶需要提供多個獨立的身份驗證因素才能獲得訪問權限。這些因素可以包括密碼、硬件或軟件令牌、生物特征識別等。MFA 提供了一種額外的安全層，即使攻擊者獲得了用戶的密碼，他們仍然需要其他身份驗證因素才能成功登錄或訪問系統。這大大增加了攻擊者獲取未經授權訪問的難度。結合 MFA 和零信任模型可以提供更高級別的安全性。MFA 確保了用戶的身份驗證，并降低了身份盜竊和密碼泄露的風險。零信任模型通過實時監控和動態授權確保了細粒度的訪問控制和最小特權原則。通過將這兩個概念結合起來，可以建立一個

44、強大的安全架構，保護企業的網絡和數據資源免受未經授權的訪問和安世加零信任建設調研報告28攻擊。5.會話管理零信任模型中的會話管理是確保安全的非常關鍵的組成部分之一。會話管理涉及到對用戶會話的監控、驗證和控制，以確保只有授權的用戶可以訪問企業資源，并及時識別和應對任何異?；顒?。在零信任模型中，會話管理通常包括以下方面：身份驗證和訪問控制：在每個會話開始時，用戶必須通過身份驗證來驗證其身份。這可以包括多重身份驗證方法，如密碼、令牌、生物特征識別等。一旦用戶通過身份驗證，他們將被授權訪問特定的資源，根據最小特權原則，他們只能獲得訪問所需資源的最低權限。會話監控：會話管理需要對用戶會話進行實時監控，以

45、檢測任何異?；顒踊蜻`規行為。這可以包括監視用戶的登錄位置、設備信息、訪問模式等。如果發現異常行為，例如異地登錄、多個設備同時登錄或異常的訪問模式，會話管理系統可以發出警報并采取相應的措施，如要求重新身份驗證或終止會話。會話終結：在零信任模型中，會話終結是很重要的。一旦用戶完成了任務或離開了系統，會話應該被及時終結，以確保沒有持續的訪問權限。會話終結可以通過主動注銷、超時自動注銷或管理員終止等方式進行。會話審計：會話管理應該記錄和審計用戶的會話活動，以便后續的審計和調查。這可以幫助發現潛在的安全威脅，了解用戶的訪問行為，并進行合規性和安全性審核。通過有效的會話管理，零信任模型可以確保用戶在訪問企

46、業資源時始終受到安世加零信任建設調研報告29嚴格的驗證和控制。會話管理幫助防止未經授權的訪問、減少潛在的風險和威脅，并提供對用戶活動的實時監控和審計能力。這有助于建立一個更安全、可信的環境，保護企業的敏感數據和資源。零信任模型中的會話管理時需要實現以下四個點：上下文感知：會話管理需要對用戶的上下文進行感知，包括設備、位置、網絡環境等。通過分析這些上下文信息，可以更好地評估會話的安全性，并采取相應的控制措施。例如，如果用戶從未使用過的設備或非常規的網絡環境登錄，會話管理系統可以要求額外的身份驗證或應用更嚴格的訪問策略。異常檢測：會話管理應該能夠檢測異?；顒雍彤惓Ｊ录?。這可以通過建立基線行為模型、

47、使用機器學習算法或實時分析來實現。異常檢測可以幫助識別可能的攻擊、欺詐或數據泄露，并及時采取適當的反應。動態訪問控制：會話管理應該基于實時風險評估和策略決策來進行動態訪問控制。這意味著會話管理系統可以根據當前的安全狀況和用戶行為實時地調整訪問權限。例如，在檢測到可疑活動或高風險事件時，會話管理系統可以立即收緊用戶的訪問權限或要求額外的身份驗證。整合日志和事件管理：會話管理的日志和事件信息應該與其他安全系統進行集成，如安全信息和事件管理（SIEM）系統。這樣可以實現全面的日志記錄和事件響應，以便進行綜合的安全監控、威脅檢測和調查。會話管理在零信任模型中起著關鍵作用。通過上下文感知、異常檢測、動態

48、訪問控制和整合日志管理，會話管理可以提供實時的、精細的會話控制和監控，以保護企業的資源和數據不受未經授權的訪問和安全威脅的影響。安世加零信任建設調研報告306.訪問控制零信任訪問控制是零信任模型的核心概念之一，強調基于身份驗證和授權的細粒度訪問控制，無論用戶的位置或網絡環境如何，都不信任用戶或設備。在零信任訪問控制中，以下幾個關鍵要素是重要的：用戶身份驗證：在訪問資源之前，用戶必須通過身份驗證來證明其身份的有效性。這可以包括使用用戶名和密碼、多重身份驗證（MFA）方法，或其他身份驗證因素（如生物特征識別）來驗證用戶的身份。動態授權：零信任訪問控制要求在每個訪問請求中動態地對用戶進行授權，而不僅

49、僅是在登錄時進行一次性的授權。授權決策基于用戶的身份、角色、權限和訪問上下文（如設備、網絡環境、時間等），確保用戶只能訪問其所需的資源，并且權限是實時和精確的。細粒度訪問控制：零信任模型強調實施細粒度的訪問控制，即根據資源的敏感性和用戶的權限，對每個資源進行逐個授權。這可以通過基于策略的訪問控制（Policy-Based Access Control）來實現，其中策略定義了誰可以訪問什么資源以及以何種方式訪問。條件訪問：零信任訪問控制還考慮了條件訪問，即根據用戶的上下文和風險評估來調整訪問權限。例如，如果用戶從未見過的設備或不可信的網絡連接嘗試訪問敏感資源，訪問控制可以要求額外的身份驗證或拒絕

50、訪問。實時監控和審計：零信任訪問控制要求對訪問請求進行實時監控和審計，以檢測異?；顒?、違規行為或潛在的威脅。這可以幫助發現未經授權的訪問、數據泄露或潛在的攻擊，并采取相應的措施。資源認證：除了對用戶進行身份驗證外，零信任訪問控制還要求對安世加零信任建設調研報告31資源進行認證。資源認證確保用戶訪問的是合法、經過驗證的資源，以防止惡意資源的訪問和信息篡改。強化邊界保護：零信任訪問控制不僅僅局限于內部網絡，還要求在邊界上實施強大的保護措施。這可以包括使用網絡防火墻、入侵檢測系統（IDS）和入侵防御系統（IPS）等技術來監測和過濾進入和離開網絡的流量。策略管理：零信任訪問控制需要定義和管理訪問策略，

51、這些策略確定誰可以訪問哪些資源以及在什么條件下可以訪問。策略管理涉及到規則的創建、更新和審查，以確保符合安全要求和合規性。統一訪問管理：零信任訪問控制可以受益于統一訪問管理（UAM）的實施。UAM 是一種集中管理和控制用戶訪問的方法，它整合了身份驗證、授權和審計等功能。通過使用 UAM，組織可以更方便地管理用戶的訪問權限，提供統一的登錄和身份驗證體驗，并實時監控和審計用戶的訪問活動。持續評估和改進：零信任訪問控制是一個動態的過程，需要進行持續的評估和改進。組織應該定期審查訪問控制策略、監控訪問活動，并根據新的威脅和技術發展進行調整和改進。零信任訪問控制是一種基于細粒度的、動態的身份驗證和授權模

52、型，強調對用戶和資源的嚴格控制和保護。通過實施資源認證、強化邊界保護、策略管理、統一訪問管理和持續評估，持續調整。7.數據加密零信任模型中的數據加密是確保數據在傳輸和存儲過程中得到保護的重要組成部分。數據加密通過將數據轉換為密文，以確保即使在數據泄露或未經授權的訪問情況下，數據也無法被解讀或使用。在零信任模型中，數據加密涉及以下安世加零信任建設調研報告32方面：數據傳輸加密：數據在通過網絡傳輸時，應使用安全的通信協議（如HTTPS、TLS）對數據進行加密。這樣可以保護數據在傳輸過程中不被攔截、竊聽或篡改。數據傳輸加密可以通過使用公鑰加密和私鑰解密的非對稱加密算法，或者使用共享密鑰的對稱加密算法

53、來實現。數據存儲加密：在數據存儲過程中，敏感數據應該以加密形式存儲在數據庫、文件系統或其他存儲介質中。數據存儲加密可以使用不同的加密算法和密鑰管理方法，如對稱加密、非對稱加密、哈希函數和安全哈希算法等。這樣即使在數據存儲設備被盜或遭到非法訪問的情況下，數據也能保持機密性。端到端加密：對于敏感數據，特別是在與外部實體進行通信時，端到端加密是一種重要的加密機制。端到端加密確保只有通信的兩個終端能夠解密和訪問數據，中間的任何節點或服務都無法讀取或篡改數據。這種加密方式通常需要在數據的源和目標之間進行密鑰交換和身份驗證。密鑰管理：數據加密需要有效的密鑰管理。密鑰應該被安全地生成、存儲、傳輸和銷毀。密鑰

54、管理應包括密鑰的定期更換、密鑰訪問控制和密鑰備份等策略，以確保密鑰的保密性和完整性。通過數據加密，零信任模型可以確保敏感數據在傳輸和存儲過程中得到保護，即使在數據泄露或未經授權的訪問情況下，數據也能保持機密性。數據加密是零信任模型中的關鍵安全措施之一，有助于降低數據泄露和未經授權訪問的風險，保護組織的重要信息和資產。安世加零信任建設調研報告338.安全網關(Secure Web Gateway)在零信任模型中，安全網關(Secure Web Gateway)是一個關鍵的組件，用于實現對網絡流量的監控、策略強制執行和安全控制。安全網關作為一個中間層，位于用戶和資源之間，負責管理和保護訪問請求。以

55、下是安全網關在零信任模型中的功能和作用：訪問控制：安全網關通過細粒度的訪問控制策略，控制用戶對資源的訪問。它驗證用戶身份、評估用戶的權限和上下文信息，并根據策略要求進行訪問控制決策。安全網關可以阻止未經授權的訪問，限制用戶的權限和行為，確保用戶只能訪問其授權的資源。流量監控和分析：安全網關監控網絡流量，并分析流量中的安全事件和威脅。它可以檢測異?；顒?、惡意行為、潛在的攻擊，并生成實時的安全事件日志。通過對流量進行實時監控和分析，安全網關可以及時發現和應對安全威脅。加密和解密：安全網關可以處理加密和解密操作，以實現安全的數據傳輸。它可以解密經過加密的流量，檢查其內容并執行必要的安全檢查，然后再次

56、對流量進行加密，以確保數據在傳輸過程中的保密性和完整性。安全策略強制執行：安全網關負責執行零信任模型中定義的安全策略。這包括強制要求用戶進行身份驗證、進行多重身份驗證、檢查設備的安全狀態、驗證用戶訪問權限等。安全網關根據策略要求，對訪問請求進行動態授權和拒絕，以確保符合零信任模型的安全要求。應用層安全檢查：安全網關可以對應用層的流量進行安全檢查和篩選。它可以檢測惡意軟件、惡意鏈接、潛在的數據泄露和其他應用層威脅。安世加零信任建設調研報告34安全網關還可以實施策略，阻止或限制對受限制應用或網站的訪問。結合情報信息，可以使得安全網關在事前發揮提前過濾的作用，降低釣魚郵件，木馬等病毒關聯的 C&C

57、地址等，最大程度保護降低被感染的風險,同時用戶和資源之間的安全隔離，提供了一個可信的訪問環境，以增強數據安全和網絡安全。9.UEBA-SIEM在零信任模型中，UEBA（User and Entity Behavior Analytics）和 SIEM（Security Information and Event Management）是兩個關鍵的安全解決方案，用于監控、檢測和響應安全事件。UEBA（用戶和實體行為分析）：UEBA 通過監控和分析用戶和實體（如設備、應用程序等）的行為，檢測異?；顒雍蜐撛诘陌踩{。UEBA 使用機器學習和行為模型來建立用戶和實體的基準行為，識別與正常行為模式不符

58、的異常行為。UEBA 可以檢測到賬號被盜用、內部威脅、異常訪問模式等，從而幫助組織及時發現和響應潛在的安全事件。SIEM（安全信息和事件管理）：SIEM 是一種集中式的安全日志管理和事件管理解決方案。SIEM 收集來自各種安全設備和系統的日志和事件數據，并對其進行集中存儲、分析和報告。SIEM 可以對事件進行實時監控和檢測，并自動觸發警報和響應措施。SIEM 還可以進行日志聚合、事件關聯和威脅情報分析，幫助組織發現潛在的安全威脅和漏洞。在零信任模型中，UEBA 和 SIEM 可以協同工作，以提供更全面和高效的安全監測和響應能力：UEBA 提供了對用戶和實體行為的深入洞察，可以檢測到潛在的內部威

59、脅和安世加零信任建設調研報告35異常行為，如不尋常的數據訪問、特權濫用、異常登錄模式等。SIEM 收集和分析來自多個安全設備和系統的日志和事件數據，可以進行實時事件監測、威脅檢測和報告生成，幫助組織發現和響應安全事件。UEBA 和 SIEM 可以共享數據和情報，使得安全團隊能夠更準確地評估事件的重要性和優先級，并采取適當的響應措施。結合 UEBA 和 SIEM 的功能，組織可以更全面地監控用戶和實體行為、檢測潛在的威脅，并及時采取必要的安全措施，以保護敏感數據和網絡資源。UEBA 和 SIEM 的組合，它們通過監控、分析和響應安全事件，提供了對用戶和實體行為的深入洞察和全面的安全監測能力，同時

60、也是零信任的決策大腦，時刻監控感知風險行為，結合 SOAR（Security orchestration,automation andresponse）可以實現預警、告警、處置等一系列行為。10.ZTNA圖 2：ZTNA零信任網絡訪問（Zero Trust Network Access，簡稱 ZTNA）是一種網絡安全架構和訪問控制模型，強調在網絡訪問過程中對用戶、設備和應用程序進行持續的驗證和授權。ZTNA 通過將訪問權限精確控制到最小特權原則，以減少網絡攻安世加零信任建設調研報告36擊面和數據暴露的風險。以下是零信任網絡訪問（ZTNA）的一些關鍵特點和原則：零信任原則：ZTNA 采用永不信任

61、，持續驗證的原則，即不信任任何用戶、設備或網絡，而是在每次訪問時進行驗證和授權。這與傳統的基于邊界的安全模型不同，它假設內部網絡是可信的，而 ZTNA 不假設任何環境的信任。微分化訪問：ZTNA 基于最小特權原則，根據用戶身份、設備狀態和上下文信息來精確控制訪問權限。只有經過身份驗證、設備安全性檢查和授權的用戶才能訪問特定的應用程序和資源，而且權限是基于需要而且臨時授予的。細粒度的應用訪問：ZTNA 提供對應用程序級別的訪問控制，而不是基于網絡邊界的訪問控制。它通過使用應用程序代理或軟件定義的訪問控制策略，使用戶可以直接訪問特定的應用程序，而無需通過傳統的 VPN 連接。動態訪問策略：ZTNA

62、 允許根據實時的上下文信息和安全情況，動態調整訪問策略。這包括基于用戶行為、設備狀態、位置等因素來評估風險并實施相應的訪問控制策略。加密隧道和數據隔離：ZTNA 通過加密隧道和數據隔離技術，確保在用戶和應用程序之間傳輸的數據得到保護。數據在傳輸過程中得到加密，僅允許授權用戶訪問，同時防止未經授權的用戶進行攔截和竊聽。通過采用 ZTNA，可以實現更加精確、靈活和安全的網絡訪問控制。ZTNA能減少網絡攻擊面、防止未經授權的訪問、提高數據保護和隱私性，提供更好的安世加零信任建設調研報告37安全可見性和響應能力。安世加零信任建設調研報告38零信任建設調研報告39第三章 零信任市場調研結果展示3.1 參

63、與零信任調研問卷樣本統計結果概述按行業分布情況來看，本調研面向各行業甲方企業廣泛發布問卷，最終共收集到 133 份企業信息安全部門的問卷數據，基本覆蓋市面上普遍常見的行業范圍，包含金融業、互聯網業、制造業以及其他行業，其中金融業企業 40 家，占比 30%；互聯網業類企業 33 家，占比 24.8%；制造業企業 30 家，占比 22.5%，其他行業占比 22.7%。圖 3：參與零信任調研的 133 家甲方企業行業分布情況安世加零信任建設調研報告40按企業規模劃分，大多為千人以下企業。根據統計的樣本數據分析，參與調研的甲方企業規模大小分布區間大致分成三類：1000 以下，大于 1000 小于 5

64、000，以及 5000 以上，其中參與調研的近 200 家企業問卷樣本顯示，規模在 1000 人以下的企業占比最高，高達 41.3%，1000-5000 人之間的規模在 33%，大于 5000人以上的占比 25.7%。圖 4：參與零信任調研的 133 家甲方企業企業規模情況安世加零信任建設調研報告41已建設零信任與未建設零信任比例有差距，但差距不大，本次調研問卷結果比較可喜的是，零信任模式經過多年市場教育與發展，落地實踐已逐步走向成熟，零信任市場也在逐步規?；?，調研的 133 份企業問卷中，部署零信任的甲方企業與未部署零信任的甲方企業數量差距在逐步縮小，說明零信任理念已得到更多企業的安全、信息

65、等相關部門的重視，其中表示已部署零信任的企業 58 家，占比43.6%；未部署零信任的企業 75 家，占比 56.4%。兩者僅差 12.8 個百分點。圖 5：參與零信任調研的 133 家甲方企業零信任建設情況安世加零信任建設調研報告42企業類型形成“三足鼎立”的局面，參與調研的企業中，民營企業占據比例最高，達到 67 家，超過問卷調研企業的的一半以上，占比 56.3%。大于其他 4 種類型的企業之和。外企或中外合資企業 16 家，占比 13.4%。國企緊隨其后，18家，達到調研數據的 15.1%。整體反饋零信任市場經濟的分布格局。圖 6：參與零信任調研的 133 家甲方企業企業類型分布情況安世

66、加零信任建設調研報告43133 家被調研甲方企業反饋中，可以清晰了解到他們最關注的問題是身份識別，有 50%都選擇了身份識別這一關注點，可見在零信任體系里，對于用戶身份的管控是甲方最多關注的因素。其次邊界問題也占據了 22.2%，最后數據安全、安全價值、沙箱等也成了部分甲方企業關注的因素。分別占比 11.1%，11.1%，5.5%。圖 7：參與零信任調研的 133 家甲方企業對零信任的關注要素安世加零信任建設調研報告44“一千位信息安全人員就有一千個對零信任的理解”。零信任技術自從 2010年被 Forrester Research 的分析師提起開始就備受關注，被認為是網絡安全技術發展的顛覆性

67、創新理念。一個有意思的現象是，在參與調研的 133 家甲方企業看來，零信任模型解決方案的定義各有不同，超過一半 52%的甲方企業認為零信任是一種整合方案；17.6%和 14.7%的甲方認為零信任是 SDP 或 IAM；只有 8.8%與 5.9%的甲方企業認為零信任是 beyondcorp 與終端沙箱。圖 8：參與零信任調研的 133 家甲方企業對零信任的理解值得一提的是，133 份調研數據下，不管是否部署零信任，93%以上的甲方企業都不認為零信任=SDP=VPN 替代。安世加零信任建設調研報告453.2 已建設零信任甲方企業數據分析已布局零信任的甲方企業行業與規模成正比態勢。根據調研反饋結果，

68、最終共收集到 58 份已布局零信任企業的問卷數據，包含金融業、互聯網業、制造業等行業，其中金融業企業 23 家，占比 39.6%；互聯網業類企業 14 家，占比 24.1%；制造業企業 10 家，占比 17.2%，其他占比 19.1%。圖 9：已建設零信任的 58 家甲方企業行業性質分布情況對于已建設零信任的甲方企業，人員規模在 1000-5000 之間的企業為主要分布區間，占比 36%；其次是人員規模在 1 萬以上的企業占比 33%；人員規模 1000以內的企業占比 31%；圖 10：已建設零信任的 58 家甲方企業人員規模情況安世加零信任建設調研報告46促使甲方企業建設零信任的驅動力有多方

69、面因素。從已落地零信任建設的58 份甲方企業問卷調研得知，驅動甲方企業落地零信任的初衷有多個方面，包括安全需求、事件驅動、監管要求、自主評估、趨勢要求等原因，其中安全需求為大部分甲方企業最在意的因素，占據了 63.5%，其次是事件驅動，類如黑客攻擊、數據防泄漏、疫情辦公等不可控事件驅動，占比 22.7%，最后是來自監管的要求，伴隨各項關于數據安全、個人信息保護法等法律法規的頒布，監管層面的驅動也達到前三，達到 9.8%，其他自主評估、趨勢要求等原因占據 4%。圖 11：已建設零信任的 58 家甲方企業驅動因素安世加零信任建設調研報告47大多數甲方企業建設零信任希望解決的問題有共通之處。在了解參

70、與落地零信任調研的甲方企業時，我們也看到來自不同行業甲方企業的痛點，既有相似處也有不同點，我們看到，內部管控與身份驗證的需求已成為調研中落地零信任的甲方企業最關心的因素，占據了需求因素的一半，各占 26%；其次數據安全與邊界安全也逐漸成為甲方企業關心的重要因素，僅次于前兩項，各占到 24%，另外，應用防護也是諸多甲方企業關注的一個因素。圖 12：已建設零信任的 58 家甲方企業希望落地零信任解決的問題安世加零信任建設調研報告48將零信任應用于遠程訪問仍是甲方企業的主要場景，但內網零信任也逐漸普及。在落地零信任的甲方企業數據調研中，遠程訪問當前是企業主要使用的場景，總占比達到 35%，主要由于當

71、前的零信任建設還處于升級和替代 VPN 階段，也因此，遠程訪問與其他應用場景占比拉開了較大距離，其次常見的零信任落地場景有：內網訪問、移動端訪問、服務器之間訪問以及開發環境的安全。分別占比為 20%、17.5%、15%、12.5%。其中值得注意的一點是，內網訪問場景已經占到被訪談企業的 20%，這表示企業正開始逐步構建不區分內外網的零信任建設。圖 13：已建設零信任的 58 家甲方企業落地的主要應用場景安世加零信任建設調研報告49SDP 成為了大多數甲方企業落地零信任采用的技術架構。在 50 多家落地零信任的被調研甲方企業中，企業根據自身需求選擇了不同的技術架構，其中 36%的甲方企業選擇采用

72、 SDP 架構來落地零信任，同時，IAM 與終端管理也各占據了 16%，其次，身份管理成已經成為部分甲方企業的選擇，占比為 14%，最后微隔離、準入以及 SASE 等架構也在逐步進入甲方企業視野并逐漸接受，分別占比 8%、8%、2%。圖 14：已建設零信任的 58 家甲方企業落地采用的技術架構安世加零信任建設調研報告50產品兼容性幾乎成為甲方企業最“頭疼”的問題所在。部署零信任的過程并非是一帆風順的，本次調研發現，已落地零信任的甲方企業中也遇到較多問題，其中最突出的在于產品兼容性問題，有幾乎一半的甲方企業遇到此類問題，占比42.1%。此外，改變用戶習慣及說服領導等也成為了甲方信息安全部門的重要

73、難題，占比 21.2%。其次以資產梳理、管理策略；產品穩定性；部署能力不全面；BYOD 設備的客戶端部署；全球策略的本地化；資源帶來的問題等也成為了甲方企業面臨的挑戰，分別占比 10.5%、10.5%、7.9%、2.6%、2.6%、2.6%。圖 15：已建設零信任的 58 家甲方企業落地所遇到的問題同理，在企業內部推廣落地零信任過程中，不少甲方也表示有相同的挑戰，以“與企業現狀融合”跟“員工接受”這兩種因素的挑戰最多，高層認可也是甲方企業內部推廣遇到的主要挑戰之一。安世加零信任建設調研報告51零信任未來規劃百花齊放局面?；趯α阈湃挝磥戆l展展望的期許與建設規劃，不同行業的甲方企業也表達不同見解

74、，安全運營、數據安全、權限管理、生產環境、終端、沙箱、身份管理、API 安全等領域成為了多數甲方企業下一步建設規劃的目標。其中安全運營占比 28.2%，數據安全占比 25.5%，權限管理占比16.2%，生產環境占比 9.3%，終端占比 9.3%，沙箱占比 4.6%，身份管理占比 4.6%，API 安全占比 2.3%。圖 16：已建設零信任的 58 家甲方企業未來規劃建設方向安世加零信任建設調研報告523.3 未建設零信任甲方企業數據分析本調研面向各大甲方企業廣泛發布問卷，最終共收集到 75 份未布局零信任甲方企業的問卷數據，以制造業、互聯網業、金融業為主，其中具體調研制造業類甲方企業 21 家

75、，占比 28%；互聯網業類甲方企業 18 家，占比 24%；金融業類甲方企業 16 家，占比 21.3%；除此之外，也包括醫療業、酒店業、能源業等部分其他行業，占比 26.7%。圖 17：未建設零信任的 75 家甲方企業性質分布情況對于未建設零信任的甲方企業，人員規模在 1000-5000 之間的甲方企業為主要分布區間，達到 29 家，占比 38.7%；其次是人員規模在 1000 以下的甲方企業達到 21 家，占比 28%；人員規模在一萬以上和 5000 到 1 萬之間的都是 11 家，占比 14.7%。安世加零信任建設調研報告53圖 18：未建設零信任的 75 家甲方企業規模情況在基礎安全建

76、設這塊，雖然未部署零信任，但大多數甲方企業仍采用了安全設備與設施。從未布局零信任的 75 份甲方企業問卷調查可知，未部署零信任的甲方企業現階段所使用的安全設備和設施主要有防火墻、WAF、IPS、IDS、防病毒等，其中有 64%的甲方企業設有防火墻，45.3%的甲方企業部署了 WAF，而SOC、DDoS 等則只有少量公司應用。圖 19：未建設零信任的 75 家甲方企業基礎安全設備與設施安世加零信任建設調研報告54就辦公設備部署的安全客戶端而言，殺毒軟件是甲方企業首選。調研分析可知共有 47 家甲方企業應用，占比 62.7%，另外有 24 家甲方企業應用了 DLP，占比 32%，而桌管、軟件正版化

77、檢查工具的應用也相對較多，分別占比 24%、13.3%。圖 20：未建設零信任的 75 家甲方企業安全客戶端類型對于已經部署 DLP 的甲方企業，大部分甲方企業已經處于成熟運營階段，占比66.7%，另外有 21.4%的甲方企業已在初步運營階段。圖 21：未建設零信任的 75 家甲方企業部署 DLP 運營階段安世加零信任建設調研報告55安全評審與測試方面已基本全面實施。70 多家未布局零信任甲方企業的信息系統基本上都已嵌入了安全評審和測試，主要涉及滲透測，試甲方企業占比25.3%；賬號安全/訪問控制甲方企業占比 16%；敏感數據脫敏加密的甲方企業占比 13.3%，另外少部分甲方企業在數據的分類分

78、級、等保和代碼評審等方面也有應用。圖 22：未建設零信任的 75 家甲方企業在安全評審與測試方面覆蓋情況當然，數據安全管理對于企業來說不可或缺。75 家甲方企業中有 64 家甲方企業已采取手段來實現敏感數據的識別、分類分級和保護，占比高達 85.3%，只有少數幾家甲方企業未采取相應措施，可見敏感數據的識別和分級分類在甲方企業中的重要性。圖 23：未建設零信任的 75 家甲方企業對于敏感數據處理問答安世加零信任建設調研報告56技術人員與技術支持是企業實現安全管理的基礎，根據問卷數據，僅有 33家甲方企業表示有足夠的人員和技術來實現安全管理，占比 44%，還未到達半數；而另外 49.3%的甲方企業

79、則表示在安全管理上仍存在著人員的不足與技術困難。圖 24：未建設零信任的 75 家甲方企業對于安全人員配置問答促使未部署零信任的甲方企業產生零信任建設需求的驅動力是多方面的。其中包括安全需求、邊界防護、精細化管理、身份等眾多原因，其中來自安全需求為大部分甲方企業最在意的因素，占比 23%，是第一驅動力；其次是邊界防護與精細化管理的需求，分別占比 15.4%，并列為第二驅動力。圖 25：未建設零信任的 75 家甲方企業對于零信任建設驅動力安世加零信任建設調研報告57零信任方興未艾。對于未來是否將會部署零信任的問題，26 家甲方企業表示有計劃在 1-3 年內引入零信任，占據 34.7%；17 家甲

80、方企業則表示暫無相關計劃，占據 22.7%；而 8%的甲方企業對于零信任還是在考慮中，處于觀望階段，部分甲方企業對此則未做出回應。圖 26：未建設零信任的 75 家甲方企業對于零信任建設計劃安世加零信任建設調研報告58零信任落地非一日之勞。在談到零信任在企業中推廣普及的難點時，12 家甲方企業提到了資金成本的問題，占比 16%；是甲方企業目前落地零信任的首要阻礙因素，另外企業高層的認可也是重要的考慮指標，占比 5.3%；此外，與企業現狀融合、價值、員工的使用習慣也皆有提及，分別占比 4%。因此，企業內部落地零信任最大的挑戰還是在證明零信任的價值才能獲得高層的認可來投入足夠的資源落地。圖 27：

81、未建設零信任的 75 家甲方企業對于零信任推廣難點企業對零信任的認知不一致，對于未建設零信任的企業來說，27.3%的甲方企業認為零信任是 SDP、IAM、微隔離、終端沙箱、beyondcorp 等的整合方案；同樣 27.3%的企業認為是 SDP；18.1%的甲方企業認為是 IAM。圖 28：未建設零信任的 75 家甲方企業對于零信任理解安世加零信任建設調研報告59身份認證和識別是零信任建設最重要的考量。從問卷數據可知，甲方企業對于零信任最關注的問題是身份認證與識別的問題，共有 20 家企業提及，占比26.7%；其次，有 13 家甲方企業提到了邊界問題，占比 17.3%，10 家甲方企業提及了數

82、據風險問題，占比 13.3%。圖 29：未建設零信任的 75 家甲方企業最關心零信任的問題54.5%的未建設零信任甲方企業不認為零信任=SDP=VPN 替代，零信任包含了 SDP，可以替代 VPN 的功能，但不等同于 SDP、也不僅僅只是 VPN 的替代是他們的普遍看法；12%的甲方企業對此表達了贊同，剩余的甲方企業則并未做出回答，可見許多甲方企業對于零信任的認知仍處于較為模糊的階段。圖 30：未建設零信任的 75 家甲方企業對于零信任的認知安世加零信任建設調研報告603.4零信任問卷調研七大總結1）零信任建設對企業有一定門檻，部署零信任都以采購專業廠商為主。在零信任如火如荼從萌芽到落地的時間

83、里，不少甲方企業曾嘗試進行自研，然而通過本次對已部署零信任甲方企業調研之后，發現基本接近 100%的概率都是選擇采購專業零信任廠商產品進行使用。主要還是在于從 VPN 到零信任，已經不是純粹的網絡連接，涉及到整合動態的訪問控制結合終端的合規檢測，要實現真正自適應的零信任訪問控制，需要把多個技術棧整合在一起。同時能整合多個數據源來進行實時分析。此外，還需要持續的根據攻防的行為調整運營規則，當技術無法滿足時，還需要升級產品來實現。因此，多數企業還是采用采購廠商的技術來建設零信任。2）諸多甲方企業對于零信任存在認知不統一。在調研的已落地零信任的甲方企業中，大部分沒有實現內網區域的零信任，78.5%的

84、甲方企業表達因為沒有安全需求，只有 21.5%實現了全網零信任。也就是說，大部分甲方企業還是沒有落地內網的零信任。導致這樣情況的原因經過深層次分析后，可能是由于：1、部署零信任的企業大部分內網有完整的安全體系建設，比如防火墻實現網絡隔離與訪問控制，DLP 實現數據以及終端安全等，從傳統認知上看，內網被默認是安全的。2、因為內網普遍是面向所有內部員工的，建設零信任可能會導致原有的安全建設被推翻，進一步帶來更大的成本消耗，因此這在一定程度上會導致甲方企業缺少建設全網零信任的驅動力。安世加零信任建設調研報告613）除此之外，通過調研也清楚得知未部署零信任的 75 家甲方企業對于零信任的想法與計劃：2

85、4.7%的甲方企業表示有計劃在 1-3 年內引入零信任，22.7%的甲方企業表示暫無相關計劃，而更大部分的甲方對于零信任則還是在考慮中，處于一個觀望階段。對于有計劃引入零信任的甲方企業，他們的驅動力主要來自于安全需求，占比 50%，此外邊界防護與精細化管理的需求也是甲方企業的重要考慮因素，是其第二驅動力。在談到零信任的建設挑戰時，成本問題是目前甲方企業的首要阻礙因素，落地零信任，必然缺不了資金的支持，部分甲方企業由于預算問題，對零信任處于心有余而力不足的狀態，另外企業高層的認可與支持對于公司決策是至關重要的決定性因素，取得高層的認可與支持是甲方企業實際落地零信任的必然前提條件。4）百萬級別零信

86、任的項目投入可能已成為常態。在本次調研的甲方企業對零信任的投入數據中，除去未公開的數據，百萬級投入已占據 90%及以上，不難看出，越來越多的企業在投入安全建設時，對零信任的是有認可與規劃的。5）大部分甲方企業在落地零信任的過程中面臨產品兼容性問題，調研中接近一半的甲方企業表示遇到此類問題，占比高達 42.1%。企業往往面臨安全產品部署的單點問題，以及安全產品間的能力不打通的煙囪化現象。而兼容性差直接導致企業信息安全建設無法實現統一管理，大大加重了安全運維的難度。6）與企業當前部署的安全架構現狀難以融合也成了甲方企業推廣普及零信任的最大難點。結合本次調研發現，已經落地零信任的甲方企業中，在推進過

87、程安世加零信任建設調研報告62中最大的難點是與企業現狀融合，很多企業之前已經采用了桌面云等方式，但考慮成本較高等原因無法大規模推廣，有的已經部署了 DLP、殺毒或者 VPN 等一些單獨的產品，而零信任又需要再單獨加一個端，而且未必可以拆出來可以與現狀很好互補的產品。7）預測零信任未來重點方向，安全運營與數據安全成為諸多甲方企業重點考慮的要素。在未來零信任規劃中，安全運營占比 28.2%，數據安全占比 25.5%，權限管理占比 16.2%，生產環境占比 9.3%，終端占比 9.3%，沙箱占比 4.6%，身份管理占比 4.6%，API 安全占比 2.3%。得到這個結果的原因在于當前零信任只是作為一

88、個數據安全的增強手段，而越來越多的企業和廠商都看到兩者整合的巨大潛力，因此越來越多的廠商提供零信任和數據安全產品的整合方案。同時，面向不斷變化的攻擊方式和攻擊來源，從企業的視角，零信任的未來勢必需要和SOC 結合，形成安全運營的兩個駕駛艙，完成事前、事中和事后的運營閉環。因此結合安全運營和數據安全的零信任方案會是未來企業建設零信任的優先考量。安世加零信任建設調研報告63零信任建設調研報告64第四章 零信任模型的風險和挑戰4.1 零信任模型風險和威脅零信任模型基于不信任任何用戶、設備或網絡，即使它們位于組織的內部網絡之內。這種模型要求對所有用戶和設備進行驗證和授權，無論其當前的位置和訪問環境如何

89、。盡管零信任模型可以提供更高的安全性，但仍然存在一些潛在的風險和威脅，如下列舉部分風險和威脅：認證和訪問控制漏洞：零信任模型依賴于有效的認證和訪問控制機制，以確保只有經過驗證和授權的用戶和設備能夠訪問資源。然而，如果存在認證和訪問控制漏洞，攻擊者會利用這些漏洞繞過安全措施并獲取未經授權的訪問權限。強化身份驗證和訪問控制機制，包括使用多因素身份驗證、令牌和訪問策略可以有效的降低此風險；惡意內部人員風險：盡管零信任模型對內部和外部用戶一視同仁，但內部惡意人員會更容易獲取某些特權和敏感信息。他們可以利用自己的訪問權限執行未經授權的活動、竊取數據或破壞系統。利用 UEBA（用戶行為分析）等技術對請求進

90、行實時檢查和分析，來識別惡意的或偏離基線的行為；社會工程和釣魚攻擊：零信任模型不僅關注技術方面的安全控制，還強調用戶教育和安全意識的重要性。然而，社會工程和釣魚攻擊仍然是一種威脅，攻擊者可以通過欺騙用戶獲取其憑據或其他敏感信息?？梢猿掷m開展內部安全培訓和教育，提高員工的安全意識和技能，減少內部威脅的風險；第三方供應商風險：組織通常與第三方供應商合作，并且這些供應商需要訪問內部資源。第三方供應商可能成為攻擊的目標或威脅源，他們的系統可能安世加零信任建設調研報告65存在漏洞，這會對整個零信任模型造成風險。企業可以限制第三方對敏感資源的訪問，僅授權必要的訪問權限，并對訪問進行嚴格監控和審計；高復雜性

91、和管理挑戰：零信任模型通常需要復雜的技術架構和管理流程來實現和維護。這導致部署和管理的挑戰，尤其是對于規模較大的組織來說。如果不正確地實施部署或管理，可能會出現配置錯誤、安全漏洞和其他未知風險。安世加零信任建設調研報告664.2 零信任模型挑戰和難點零信任模型強調“永不相信，始終驗證”，這條原則也適用于對零信任模型本身的認知與實踐，如果在零信任建設中所面臨的挑戰和風險不明確，那么零信任模型解決方案的實施必然會遭遇挫折甚至失敗。企業的網絡安全負責人還必須清醒地認識到這種轉變的潛在風險，以及如何控制風險。以下是企業實施零信任模型解決方案時面臨的風險和挑戰：1.建設思路帶來的問題零信任建設需要安全負

92、責人具備較高的系統規劃和部署能力，但大多數的企業在零信任建設時是分階段進行投入，那么就會在建設過程中和預期規劃藍圖中存在較大的差距，甚至在對某些遺留的硬件和軟件進行變更時，出現意想不到的安全漏洞和風險。企業在點狀煙囪式的安全建設中，部署了如數據防泄漏（DLP）、殺毒軟件、桌管、VPN、身份認證、威脅情報等等一系列產品，在部署到企業網絡環境中的安全產品，包括各個廠商、各個型號，各種標準，怎么解耦互相聯動是甲方企業面臨的最大問題。在此也呼吁行業安全產品多一些開放，少一些商業壁壘，多一些 API，少一些限制。2.建設復雜性問題零信任模型解決方案之所以被認為復雜，是因為它需要企業從傳統的“圍墻防御”思

93、路中轉變出來，并采用一種更為細致和嚴格的安全控制策略。傳統的安全模型通常會將企業網絡和數據中心視為一個封閉的空間，并在邊界上設置傳統防火墻、流量分析和其他安全措施，以保護內部資源不被外部攻擊者侵犯。這種模式相對簡單，但也存在缺點，例如，攻擊者可以通過突破安世加零信任建設調研報告67邊界防御，獲得對整個內部網絡的訪問權限。相比之下，零信任模型要求企業將安全策略應用于每個用戶、設備和應用程序，并在訪問每個資源時進行身份驗證和授權，以確保只有授權用戶可以訪問所需資源。這需要企業在整個網絡中部署復雜的安全機制，對每個訪問請求進行詳細的檢查和驗證，并及時響應和阻止潛在的威脅。零信任模型還涉及到跨多個安全

94、域的信息共享和管理，這也增加了實施和管理的復雜性。零信任模型復雜的另一個原因，是因為它需要企業在網絡和安全管理方面進行全面的轉變和升級，采用更加細致和嚴格的安全控制策略，從而帶來更高的安全保障和更好的業務效果。3.建設成本問題對于成本方面，零信任模型需要企業在人力和金錢上投入更多資源，從而導致更高的成本。人力成本：實施零信任模式需要企業擁有更多的安全專業人員來支持安全管理，包括網絡安全專家、基礎安全工程師、安全運營工程師等。企業在人力方面增加投入，導致更高的人力成本?；A設施成本：零信任建設需要企業在整個網絡中部署復雜的安全機制，包括身份驗證、訪問控制、安全日志等，需要更多的服務器、存儲設備和

95、網絡設備等基礎設施來支持。這會導致更高的設備和軟件采購成本、部署和維護成本。培訓成本：零信任模型解決方案需要企業培訓員工和用戶，使他們能夠熟練掌握和使用新的安全機制和工具。企業投入更多的培訓成本，包括課程設計、培訓資源、培訓場地等。安世加零信任建設調研報告68維護和升級成本：實施零信任模型解決方案需要企業進行不斷的維護和升級，包括安全補丁的安裝、漏洞修復、安全配置的調整等。需要企業投入更多的成本，以確保系統的穩定性和安全性。4.資源投入問題合理的資源投入和分階段投入是企業實施零信任模型時非常重要的考慮因素，可以幫助企業控制成本、減輕壓力、提高實施效率和成功率。制定詳細的規劃：制定詳細的規劃可以

96、幫助企業規劃目標、建設過程，包括實施階段、資源投入、時間安排等。幫助企業更好地控制成本和進度，并避免浪費?？紤]關鍵資源的投入：在實施零信任模型解決方案時，企業應優先考慮投入關鍵資源，包括安全專業人員、安全設備和安全軟件等。這樣可以確保實施過程中安全性和可靠性，并減輕后續維護和管理的壓力。分階段實施的方式：企業可以采用分階段實施的方式來控制資源投入，逐步實施零信任模型。例如，企業可以先實施身份驗證、訪問控制等基礎安全機制，然后再逐步增加其他安全機制，但是需要避免建設思路帶來的問題。利用現有資源：企業可以利用現有資源來降低資源投入，例如使用已有的安全設備、現有的員工等等。這樣可以減輕企業的負擔，降

97、低成本?？紤]外包：企業可以考慮外包來實施和管理工作，例如安全服務提供商或托管服務提供商。這樣可以減輕企業的工作壓力，降低成本，并獲得更專業的服務。合理的資源投入和分階段實施可以幫助企業控制成本、減輕壓力、提高實施效率。企業在實施零信任時，應結合自身實際情況，制定詳細的規劃，重點安世加零信任建設調研報告69考慮關鍵資源的投入，并采用分階段實施的方式，整體思考，局部建設，化零為整的建設模式。5.擴展性問題在零信任模型解決方案的實施過程中，可擴展性是一個非常重要的考慮因素。隨著企業規模的增大和業務的擴展，安全需求也會不斷增加，因此需要一個可擴展的零信任模型解決方案，以便滿足企業不斷增長的需求?？紤]未

98、來的需求：企業應該預測未來的業務需求和安全需求，并相應地規劃零信任模型。例如，企業可以考慮使用公有云技術或容器技術，以便隨時增加或減少資源，實現服務器、資源彈性擴展。采用標準化的技術：企業應該采用標準化的技術，以便更好地實現可擴展性。例如，企業可以使用基于 REST 的 API 來實現應用程序之間的通信，從而使應用程序更容易擴展，避免買一些存在商業壁壘和封閉的安全設備，導致建設成安全孤島。6.用戶體驗問題在零信任模型解決方案中，用戶體驗是一個很重要的問題。因為安全策略會對用戶的體驗造成一定的影響，如果安全策略過于嚴格，會降低用戶的工作效率和體驗。采用單點登錄（SSO）：單點登錄可以幫助用戶減少

99、登錄的次數，提高用戶的工作效率。例如，企業可以采用企業級身份提供商，以便用戶只需要登錄一次，就可以訪問企業的各種應用程序。采用自適應身份驗證：自適應身份驗證可以根據用戶的行為和設備信息，動態調整身份驗證的嚴格程度。例如，當用戶使用公司設備訪問企業網絡時，安世加零信任建設調研報告70可以使用較弱的身份驗證方法，而當用戶從不安全的網絡訪問企業網絡時，則需要使用更嚴格的身份驗證方法。提供訪問控制的自助服務：企業可以提供自助服務，讓用戶自行管理他們的訪問權限。例如，企業可以提供一個 Web 界面，讓用戶可以自行請求訪問特定的應用程序或資源。采用多因素身份驗證：多因素身份驗證可以提高安全性，同時也可以提

100、高用戶的體驗。例如，企業可以采用生物識別技術，如指紋或面部識別，以提高用戶的身份驗證效率，但多因素身份驗證，在某些場景下被認為是影響用戶體驗的一種解決方案，可根據企業情況適當調整。7.文化變革問題信任與控制之間的平衡：零信任模型要求在訪問和授權過程中持續驗證，而傳統文化通常傾向于信任和自由訪問。這可能會導致員工和管理層對零信任模型的接受和適應存在阻力，因為他們認為這種模型過于限制和繁瑣。權威層決策與合作的文化：在某些企業中，決策和訪問控制的最高權限通常由特定的個人或管理層掌握，而零信任模型強調以數據和上下文為基礎的決策和合作。這需要企業在文化上進行調整，鼓勵員工和團隊之間的合作、透明度和共享。

101、安全意識和責任的變化：實施零信任模型需要所有組織成員都對安全性負有責任，并采取相應的安全措施。然而，在傳統文化中，安全責任通常被限制在特定的安全團隊或 IT 部門內。改變這種思維方式并將安全意識融入企業的基因中是一項挑戰。安世加零信任建設調研報告71零信任建設調研報告72第五章 零信任模型應用案例5.1 零信任模型案例1.金融業作為強監管行業，金融機構的安全問題一直備受重視。金融機構的系統承載著交易、投資等核心業務，也存儲了個人信息、支付記錄、投資詳情等大量敏感數據，其相關系統一旦被入侵，會帶來業務中斷、數據泄露等后果，并進一步導致客戶和機構的財產損失，和巨大的聲譽影響。零信任安全模型可以輔助

102、金融機構建立一個更安全、可靠的網絡環境，通過零信任強化終端管理、保障數據安全、提升金融機構的信息安全水平，并滿足監管要求。零信任模型在金融業的應用場景舉例如下：內部賬號安全：金融機構的內部賬號通常具有較高的敏感等級，通過零信任模型，對內部賬號權限進行最小化授權，即使賬號失陷也不會造成更大范圍的信息泄露；在訪問過程中進行多維度的風險監測，對賬號和接口按照一定策略進行動態鑒權，通過算法和規則及時發現賬號失陷后的各類異常行為并進行風險驗證。數據安全監測：作為零信任全鏈路風險驗證的一部分，通過定制的金融數據DLP 策略、針對敏感接口的數據流轉進行監控等手段，建立嚴格的數據安全監測。并通過外設管控、水印

103、技術等措施強化終端數據安全管理。終端安全與資產管理：金融機構的辦公形態多樣且復雜，移動作業、流程審批、報告展示等場景呈現出移動化碎片化的形態，加上機構需要對從業人員辦公設備的信息安全情況、軟件和操作系統正版化情況、不允許的業務操作情況等及時了解和管控，這對設備的終端管理能力提出了更高的要求，既能保證靈活接入、安世加零信任建設調研報告73又能保證安全與合規。零信任模型將終端管理能力納入其中，且將終端上各維度信息作為全鏈路風險驗證的一環，以及權限管理的一個重要維度，能夠實現既保障辦公方式靈活多樣，又能很好的對終端進行管理。2.制造業零信任建設需求移動辦公：員工出差或者外出怎么做到在公司上班一樣的網

104、絡體驗，并且能實現對訪問的地址精細化管理，實現網絡權限漫游；居家辦公：制造業存在較大量的設計圖紙和研發資料，在疫情時期，工作站無法便捷辦公，怎么通過個人設備遠程公司設備，同時保證敏感數據不外傳，不泄露成為最大的痛點。數據防泄漏：終端數據防泄漏（DLP），最大化的適配國產軟件和國產 IM工具，同時能滿足終端的數據外發審計、阻斷、提醒；辦公網網絡準入：對于辦公網入網設備進行管控，其中在設備補丁、病毒、數據風險、設備軟件合規的情況下允許入網，根據 UEBA（用戶行為分析）進行動態決策，調整設備的訪問權限；終端安全管控：滿足桌管相關功能，同時具備軟件倉庫，軟件推送，軟件分析、外設管控能力，補丁管理；滿

105、足殺毒相關功能，具備基本的病毒查殺能力；滿足終端 EDR 相關功能，具備終端安全分析，威脅情報等能力；軟件合規治理：具備對終端軟件進行版權分析，并通過策略控制終端的軟件使用，包括卸載軟件、禁用設備、禁用網絡連接等能力動態決策：能通過各個模塊的能力和事件，實現對終端風險實時計算，實現風險預警和風險隔離。安世加零信任建設調研報告74零信任模型示例圖 31：零信任模型示例圖整體框架示例圖 32：整體框架示意圖安世加零信任建設調研報告753.互聯網下圖是一個典型的互聯網公司的零信任模式的落地的情況圖 33：零信任模式圖從左到右，依次是終端，零信任網絡，以及資源，也是實際的訪問鏈路。分布在全球各地的員工

106、，通過公司歸屬的設備，或者個人設備，安裝零信任的 Agent 軟件，通過身份源，以及 MFA，以及設備認證，連接到了零信任的網絡，保證了人可信，設備可信。再通過訪問控制 ACL（Access control list）確保有合適權限的人才有能對應的資源。訪問過程中，全程使用 UEBA，SIEM，SOAR 等系統聯動及時分析出異常行為，并通過會話管理系統，及時做出行動，動態調整權限，存在惡意行為的終端、人做隔離鎖定；同時聯合 SWG，將惡意域名等提前攔截，在發酵階段就做出處理，切斷攻擊鏈。最右側的內部系統，通過 SDP，以及微隔離技術，隔離每個系統，即使被入侵，也無法實現橫向移動。內部系統的訪問

107、行為，以及第三方 SaaS 的訪問行為也會被 UEBA，SIEM 等分析到，做到真正的可感可控。安世加零信任建設調研報告765.2 零信任模型未來的發展和趨勢展望增強的自動化和智能化：未來零信任模型將更加注重自動化和智能化的實施。通過使用機器學習、人工智能和自動化技術，可以實現實時的威脅檢測和響應，減少對人工干預的依賴，提高安全性和效率?；谏舷挛牡脑L問控制：傳統的基于身份的訪問控制將進一步演變為基于上下文的訪問控制。未來的零信任模型將根據用戶的位置、設備健康狀況、行為模式和網絡環境等上下文信息，動態評估和調整訪問權限，以便更精確地控制資源的訪問?？缍嘣骗h境的支持：隨著越來越多的組織采用多云戰

108、略，未來的零信任模型將需要支持跨多個云提供商的安全性。這意味著需要一致的身份認證和訪問控制機制，以確保在不同云環境中的一致安全性。面向物聯網（IoT）的擴展：隨著物聯網的快速發展，連接的設備數量將不斷增加。未來的零信任模型需要擴展到物聯網設備，確保這些設備的身份和訪問都受到適當的保護，以防止物聯網設備成為攻擊者進入網絡的入口。集成和合作：零信任模型需要與其他安全框架和技術進行集成和合作，以實現全面的安全保護。例如，與威脅情報平臺、安全信息和事件管理系統（SIEM）等集成，以獲得更全面的安全可見性和威脅情報。法規和合規要求的影響：隨著數據保護法規和合規要求的增加，零信任模型的發展也會受到影響。組

109、織將需要確保其零信任架構符合相關法規的要求，并采取適當的安全措施來保護用戶隱私和敏感數據。安世加零信任建設調研報告77參考文獻1forrester.No More Chewy Centers:The Zero-Trust Model Of InformationSecurityEB/OL.2010-08-09.https:/ Adaptive SecurityArchitecture Into YourOrganizationEB/OL.2022-11-03.https:/ TrustArchitectureEB/OL.2022-11-04.https:/nvlpubs.nist.gov/ni

110、stpubs/SpecialPublications/NIST.SP.800-207.pdf3中國信通院.中國網絡安全產業白皮書（2020 年）EB/OL.2020-09-15.http:/ 介紹Akamai 是一家出色的云計算、云安全和云分發的公司，讓全球數十億人的互聯網生活更美好，每天感受數十億次美好的瞬間。Akamai Connected Cloud 全球最大最值得信賴的分布式云平臺,提供領先的解決方案。不僅能讓企業輕松開發和運行應用程序和工作負載，而且還能讓體驗更貼近用戶，幫助用戶遠離威脅。這就是全球頗具創新意識的公司選擇Akamai 來打造并提供安全數字化體驗的原因。Akamai 具

111、有全球最大的、最值得信賴的互聯網交付平臺，4200 多個互聯網PoP 節點，900+Tbps 的互聯網承載容量，覆蓋 135 個國家和 1400 多個運營商。同時，Akamai 1900 多名的服務專家為全球客戶提供 7*24 小時的服務。Akamai 在中國大陸，主要為電子商務、社交媒體、游戲、金融服務、高科技、制造等行業出海業務提供基礎計算和網絡平臺以及安全防護的服務。二、Akamai 零信任架構Akamai 依據零信任的原則，適應和解決云時代帶來的傳統邊界消失和模糊的問題，得到了企業的廣泛的接受和認可。它的優勢就是能夠解決目前云化、容器化、遠程辦公環境中對于網絡訪問的信任問題，根據零信任

112、的原則，最小粒度地去保護本地、遠程和云端的資產。Akamai 的零信任解決方案包括了三個組成模塊：ZTNA（零信任網絡訪問）、安全 Web 網關和微分段，解決了企業網絡南北流量的應用訪問權限控制和東西安世加零信任建設調研報告ii向流量的橫向移動訪問控制的問題，提供了一套完整的解決方案。方案一：EnterpriseApplicationAccess（EAA）安全、簡單、快速的應用程序訪問Akamai Enterprise ApplicationAccess 是一種云端身份感知代理。這是一種靈活且適應性強的服務，可根據各種實時信號(比如威脅情報、設備狀況和用戶信息)進行精細的訪問決策。該解決方案是

113、 Akamai 高度可擴展的高性能邊緣平臺的一部分，它可以繞過網絡訪問需求，同時還可以降低應用程序交付風險、成本和復雜性。EnterpriseApplication Access 可以跨所有應用程序位置和類型(本地、互聯網、IaaS、SaaS 等)將數據路徑保護、身份和訪問管理、應用程序安全性、多重身份驗證(MFA)、單點登錄(SSO)以及管理可見性和控制力集成到一項統一服務中。這種在邊緣交付的解決方案支持無客戶端和需要客戶端的應用程序，可一鍵集成 Active Directory、SAML 提供程序、CDN、轉發代理、SIEM 工具和其他基礎架構。借助內置的高可用性功能、服務器負載平衡和自動

114、應用程序路由，可以輕松在公共和私有基礎架構上擴展和部署應用程序。安世加零信任建設調研報告iii方案二：Secure InternetAccess Enterprise 云安全 Web 網關Secure Internet Access Enterprise 依 托 于 全 球Akamai Intelligent EdgePlatform 及 Akamai 運營商級遞歸 DNS 服務，是快速配置且易于部署的基于云的 SWG，無需安裝或維護硬件。Secure Internet Access Enterprise 具有多層保護，可以利用實時 AkamaiCloud Security Intellige

115、nce 以及多個靜態和動態惡意軟件檢測引擎來主動識別和攔截定向威脅，例如惡意軟件、勒索軟件、網絡釣魚和基于 DNS 的數據泄露。無論員工從何處接入互聯網，Akamai 門戶支持安全團隊都可以在數分鐘內為所有用戶集中創建、部署和實施統一安全策略和可接受使用策略(AUP)。Secure Internet Access Enterprise 具有多層保護(DNS、URL 和有效負載分析)，可以在不影響性能的情況下提高安全性并降低復雜性。所有這些保護都可通過以下方法實現:使用一系列不同的方法(包括 IPsec 隧道、輕量級客戶端)將 Web 流量直接引導至 Secure Internet Access

116、 Enterprise，或通過現有本地代理或 Akamai的托管 HTTP 轉發器轉發 Web 流量。安世加零信任建設調研報告iv方案三：Akamai Guardicore SegmentationAkamai Guardicore Segmentation 是一種基于軟件的微分段解決方案，為實施 Zero Trust 原則提供了簡單、快速和直觀的方式。它使您能夠通過精準的分段策略、IT 環境內活動的可視化以及網絡安全警報來防止網絡中的惡意橫向移動。Akamai Guardicore Segmentation 可在您的數據中心、多云環境和端點之間發揮作用。它不但部署速度比基礎架構分段方法更快，

117、還能為您提供出色的網絡監測和控制能力。Akamai Guardicore Segmentation 使用了一系列基于代理的傳感器、基于網絡的數據收集器和虛擬私有云流量日志來繪制您的網絡圖，旨在通過單一直觀界面來監控您的所有資產和基礎架構，包括傳統和現代操作系統、運營技術和物聯網設備。然后，您就可以輕松創建和實施相關策略，減少您的攻擊面并滿足您的業務需求。Akamai Guardicore Segmentation 架構圖如下所示：安世加零信任建設調研報告v三、成功案例Akamai 零信任的客戶遍及了金融服務、醫療衛生、酒店商旅、電信運營商、商業服務、制造業等領域。Summit Hosting

118、高級網絡工程師 Shane Barnard 評價 Akamai 零信任解決方案：Akamai Guardicore Segmentation 遠優于我們考慮的其他方案，它不但便于大規模實施，而且具有出色的監測能力，讓我們能夠洞悉網絡狀態。我們可以搜索任意用戶，查看他們的訪問軌跡和現在的行為，這在勒索軟件防御方案中極為重要。安世加零信任建設調研報告vi持安科技一、簡介持安科技作為甲方創業明星企業團隊在零信任領域已有8年經驗，早在 2015年已在大型甲方集團開始了國內最早的零信任實踐，并成功全面落地。持安致力于站在業務視角，通過一體化平臺的方式，提供安全、高效、無感知的辦公方式，解決企業遠程/移動

119、化/本地辦公安全、攻擊滲透、未知風險防護、數據安全和內控風險問題。目前已服務 40 余家大型客戶，多家客戶員工數過 10 萬人和萬人規模，總用戶數過 60 萬，接入業務系統 20000+，實現了零信任內網全面落地，產品經受住了長時間、高并發的考驗。在資本上持安吸引了 IDG 資本、金沙江創投、方廣資本、完美世界等頂級機構數輪融資金額過億，為企業長期發展奠定了基礎。二、持安遠望辦公安全平臺安世加零信任建設調研報告vii在平臺設計上充分吸取了多年的實踐落地經驗，采用切面分層模型，從鏈路、網絡、應用到數據均實現了不同顆粒度的零信任代理和控制能力，真正實現了基于身份訪問的動態策略，具有以下特點：1.一

120、體化平臺：以微服務構建的模塊式的原生平臺架構，徹底避免了多產品的集成弊端，可根據用戶需求靈活使用以及彈性擴容；2.應用層零信任：業務系統零改造，無感接入，實現了基于 GoogleBeyondcorp 的應用層零信任能力，可防護內外網未知威脅，改變安全態勢；3.數據安全控制：可精準識別什么人在訪問什么應用的敏感數據，以及通過零信任策略對數據獲取進行控制，將零信任能力深入到業務數據；4.全鏈路可見性：基于人的身份識別從終端、網絡，到應用訪問、業務操作和數據獲取的全鏈路過程，大幅提高安全分析能力；5.極致易用性：真正實現了開機即可工作，用戶零學習成本，和對環境自適應的能力。三、典型落地案例案例 1：

121、BAT 級互聯網公司某互聯網公司作為全球領先的科技公司，集團旗下有多個不同業務領域上市企業，擁有 10 余萬員工，業務覆蓋云、AI、互聯網，也是全球為數不多可提供AI 芯片、軟件和應用全棧 AI 技術公司，其業務服務了 10 億互聯網用戶、數百萬開發者和 10 萬家企業。作為國內最早的安全團隊，在企業安全建設中構建了安世加零信任建設調研報告viii成熟完善的安全體系，同時擁有深厚的技術積累，以自研的方式覆蓋了絕大部分安全能力。在零信任合作需求上，雖然在多年的安全建設中已構建了成熟完善的整體安全體系，和豐富的安全能力矩陣，同時參考 SDP 模型開發了基于網絡層的零信任能力，但在整體安全策略上為了

122、保障業務的高速發展，內部網絡較為開放，在策略上以檢測發現，不打擾業務為主，但由于檢測先天存在特征繞過問題，以及安全事件先發生，檢測是事后響應的問題，而網絡層的控制并不能解決應用的風險。因此急需構建類似 Google Beyondcorp 以應用和業務為核心的應用層零信任能力來進行主動防護和對抗未知威脅，同時兼顧業務效率。在經過長時間的深度調研和對比測試后，由于持安應用層零信任有行業最豐富的實踐落地經驗，自身平臺成熟度、高度開放性和可靠性，最終選擇了持安遠望平臺的應用層零信任模塊和配套身份、決策引擎等組件，經過深度性能壓測后，在極短的時間內快速接入上萬應用，通過零信任策略解決了內、外網的訪問安全

123、問題，通過接口對接打通自身安全平臺，為業務提供自動化零信任服務能力。案例 2：頭部 AI 科技企業某 AI 領域上市科技企業擁有國際前沿的智能語音、自然語言、計算視覺等核心技術，多次獲得“國家科技進步獎”“信息產業重大技術發明獎”等榮譽，也是首個認知智能國家重點實驗室，863 計劃成果產業化基地、國家博士后科研工作站等多個重點單位。企業在消費市場、教育、醫療、交通、數字城市等多個領域均有極高市場地位，同時有 3 萬多員工和大量業務系統。安世加零信任建設調研報告ix在安全需求上，由于產業供應鏈特點，第三方合作伙伴需要訪問內部業務，但又不能要求合作伙伴安裝 VPN 客戶端進行訪問，此外又涉及不同員

124、工在全球各地遠程辦公和移動化辦公的需求，而在安全對抗上，業務系統極度復雜，有自研、商業和開源等不同類型應用，和存在老舊系統漏洞無法修復和被改造的問題，傳統 WAF 類安全產品也很難適應業務復雜性，大量使用會存在較多誤報，和無法對抗未知風險。在經過多次溝通交流，方案設計和測試后，因持安遠望平臺具備應用層零信任能力，可以根據業務場景實現無 Agent 訪問和有 Agent 并存訪問，平臺所有組件均可根據機房分布進行彈性部署和擴容，最終選擇了持安遠望平臺并根據業務需求分階段上線，實現了第三方無 Agent 安全訪問，移動辦公免改造接入，企業員工無感辦公，同時應用了零信任策略自動阻擋安全風險，獲得了企

125、業高層高度認可。案例 3：金融資產管理公司某集團旗下子金融資產管理公司，是經中國保監會批準設立的專業資產管理公司，也是最早正式掛牌開業的資產管理公司，具有完善的治理結構和科學的組織架構，擁有專業投資團隊和資產管理經驗，業績一直位于同行領先地位，其管理資產總規模近 30000 億，是國內資本市場最大的機構投資者之一。在公司業務發展的過程中，安全與合規是金融行業生命線，但傳統的邊界防護安全機制，以及煙囪式的安全串聯結構導致業務效率持續下降，員工有很高的學習成本，需要學習如何使用 VPN、準入等安全產品來完成日常辦公工作，對安世加零信任建設調研報告x工作效率影響極大，但同時傳統網絡層設備又很難起到安

126、全防護、合規審計等要求。在對市面上的主流 SDP 產品進行調研后發現，多數 SDP 產品本質還是 VPN的邏輯，只是整合了終端安全和 SPA 的功能，并沒有本質上太大的差異，但做新的零信任規劃時，團隊考慮除了遠程辦公外，也要求對內網的訪問保護，以及員工無感的辦公體驗，并且能根據場景去適配不同的安全策略，作為 CTO 督辦項目，經綜合調研后持安的用戶體驗，內外網的無感切換和訪問，靈活策略和基于身份的管控和全鏈路審計最終打動了客戶，選擇了持安遠望平臺來實現安全、合規和效率的兼顧。持安科技做最懂用戶的零信任專家安世加零信任建設調研報告xiIBMForrester 提出的 Zero Trust eXt

127、ended(ZTX)Framework 強調數據是零信任思想的核心，組織應該專注于如何對數據進行管理、分類、分級以及保護，這一觀點與 IBM 的理念不謀而合。根據用戶實際的業務場景，IBM 總結歸納了四個零信任的應用場景，它們分別是：保護混合云環境保護客戶隱私降低業務中斷和勒索軟件的風險安全的遠程辦公環境這四個應用場景關注的視角雖然不同，但最終的目標都是如何保護組織內的重要數據。接下來，就其中的兩個場景，結合 IBM 的解決方案與最佳實踐，我們一起來看一下如何在組織內部落地基于零信任思想的設計。保護客戶隱私對于個人隱私的保護在全球越來越受到重視。2018 年，歐盟 GDPR，即通用數據保護條例

128、正式生效，2021 年，我國相繼推出了數據安全法和個人信息保護法。保護隱私不僅僅是遵守法律和法規，也是組織展示透明度和問責制的一個基本要素，有助于促進品牌信任。零信任方法建議組織通過基于最小特權的訪問控制來保護客戶隱私，只允許那些有合法需求并出于合規目的的用戶訪問請求。網絡安全風險和威脅是不可避免的，組織需要具備快速檢測、調查和響應潛在的客戶數據泄露的安全事件，特安世加零信任建設調研報告xii別是涉及到個人隱私數據。當然，最核心的莫過于要實現對數據全生命周期的保護。下圖是保護客戶隱私零信任設計藍圖：圖 1 保護客戶隱私零信任設計藍圖如何實現對客戶隱私的保護，IBM 有以下三個觀點：Securi

129、ty by design貼源保護數據安全合規與保護達成統一我們結合一個實際的案例來解讀一下這三個觀點。近期，汽車行業是數據安全關注的重點行業之一。自身業務特點以及未來發展的趨勢，決定了車企會采集、保存和利用海量的敏感數據和個人隱私數據。以往的數據安全技術架構，著眼點在終端和網絡，采取的是封堵策略，實踐證明見效甚微，也無法完全滿足合規的要求。利用 IBM Guardium 數據安全解決方案，幫助這個客戶建立了一系列的、通用的數據安全服務，包括：數據分類分級、統一數據加密、數據風險管控、數據威脅發現與數據安全事件管理等。這些服務的適用范圍覆蓋整個組織，這樣，安世加零信任建設調研報告xiii既可以統

130、一貫徹數據安全策略，同時又能夠降低數據安全合規與治理的成本。敏感數據從進入到組織那一刻就通過數據去標識化、匿名化等技術具備了自我保護的能力。即使這些數據分布在混合多云環境中，失去了以往組織自控的強隔離保護，也會通過貼源保護方式，監控著敏感數據被訪問的一舉一動。由于貫徹了整體的安全策略，所有執行細節皆在掌握中，這樣，基于不同的合規要求和主題，能夠快速提供細粒度的信息，證明組織在數據安全合規方面采取的有效管理和技術措施。降低業務中斷和勒索軟件的風險零信任的思想深入人心，安全管理者的理念從以往的我沒有遭受過攻擊到我遲早會遇到安全問題這一過程的轉變。組織已經充分意識到在威脅管理領域做好充分準備。下圖是

131、降低業務中斷和勒索軟件的風險零信任設計藍圖：圖 2-降低業務中斷和勒索軟件的風險零信任設計藍圖像勒索軟件這樣的持續攻擊會造成高昂的成本，對企業的數字化資產造成嚴重破壞。零信任的方法有助于隔離高價值的資源，降低安全風險。對于業務安世加零信任建設調研報告xiv可能面臨的威脅，零信任方法依據權限最小化，無永久特權等原則，依據動態策略進行安全控制，當威脅發生時，能夠第一時間定位威脅，掌握威脅的等級和影響，進而快速進行采取響應行動。和睦家是國內醫療行業的翹楚，在全國多地分布著多家醫療機構，掌握著大量患者的敏感信息。在網絡安全預算有限的情況下，和睦家選擇業內知名的威脅檢測與響應解決方案 IBM QRada

132、r，充分實現了網絡安全風險與威脅的可視化，為和睦家管理層量身定制的安全看盤，形式簡單，層次分明，內容易懂，高管們在辦公室踱步的時候，就可以運籌帷幄，知曉當下在全國各個站點發生的高危安全事件。當類似于勒索軟件這類事件發生時，安全運營經理能夠在第一時間獲得來自于系統的提示，并且能夠獲得充分的信息反映問題的來源以及影響，為采取抑制行動爭取了時間，奪回了主動權。安世加零信任建設調研報告xv北京曠視科技有限公司北京曠視科技有限公司，是一家聚焦物聯網場景的人工智能公司?；跇I界領先的人工智能基礎研究與工程實力，曠視面向消費物聯網、城市物聯網和供應鏈物聯網三大核心場景提供歷經驗證的 AIoT 產品和解決方案

133、，持續為客戶和社會創造價值。曠視成立于 2011 年，目前有員工近 3000 名。曠視擁有全球規模領先的計算機視覺研究院，并在北京、上海、南京、成都等地均設有研發中心。傳統身份已無法滿足當下 IT 的管理需求，企業追求更安全、更智能、更便捷，成本更低的方案。當下，基于生物識別技術打造的新一代智能身份認證管理平臺曠視 FaceID 企業版，將身份認證管理從“賬號認證”升級到“身份認證”，確保操作者的真實身份，共享賬號也能準確審計。國產化身份目錄完成三個維度的“統管”：“應用-操作系統-絡設備的全場景統一納管；Windows、Linux 以及國產化信創設備的統一納管；企業數字身份和訪問權限的統一納

134、管，助力企業實現數字空間的 IT 標準化管理。核心場景曠視 FaceID 企業版可以支持 10 余個細分身份認證場景，兼容各類操作系統、異構系統、網絡設備、堡壘機、網站和應用，全方位提升企業身份安全。安世加零信任建設調研報告xvi“業務應用、操作系統、網絡設備”一站式、統一身份納管01 辦公身份管理與認證場景場景挑戰1、員工使用弱密碼、共享密碼，屢見不鮮2、以盜取身份憑證為目的的，釣魚攻擊、暴力破解攻擊防不勝防3、Windows、Mac、信創系統統一身份管理與認證方案缺失場景方案業務應用人臉認證流程示意圖員工通過刷臉免密或密碼+刷臉雙因素認證，登錄個人設備、SSO 或 Web安世加零信任建設調

135、研報告xvii應用?？蛻魞r值確保員工本人訪問操作。方案采用金融級活體防攻擊技術，即使員工密碼泄露，攻擊者也無法通過人臉認證，有效提升賬號登錄安全性異構系統統一管理。Windows、Mac、信創系統的統一身份管理免密登錄個人電腦、云端應用、郵箱、SSO 等，減少對密碼的依賴，實現安全與便捷平衡02 IT 運維身份安全管理與認證場景場景挑戰1、員工使用弱密碼、共享密碼，屢見不鮮。共享賬號難審計，賬號管理形同虛設2、IT 和業務部門人員掌握大量特權賬號，因其惡意或粗心所造成的數據泄露風險更大3、外包運維人員身份管理不當，增加數據泄露風險場景方案服務器人臉認證流程示意圖安世加零信任建設調研報告xvii

136、i曠視 FaceID 企業版，密碼+人臉識別雙因素方案，刷臉登錄服務器，保護服務器訪問安全，增強審計?？蛻魞r值服務器異構系統統一管理。與僅針對應用層面的傳統認證方案不同，曠視 FaceID 企業版還可進行服務器操作系統層面的認證管理，包括Windows、Mac、Linux 以及信創等系統共享賬號的實人認證。不改變現有賬號體系的前提下，登錄服務器公共賬號，同時刷一次臉，基于生物特征識別技術，確保是其本人操作，同時將操作人員信息進行記錄，當發生運維事故后可快速進行審計增強審計。生物特征將“賬號行為”強綁定至“員工行為”，高風險登錄行為精準追溯至個人03 遠程辦公身份安全管理與認證場景場景挑戰1、居

137、家辦公，員工警惕性相對較弱，也缺少辦公網絡的保護，黑客更容易通過網絡釣魚、暴力破解等攻擊手段，竊取賬號密碼等信息2、員工接入未加保護的公共 Wi-Fi 后，容易導致用戶名和密碼泄露，有時即使增加了短信或應用掃碼等雙因素認證手段，也存在被劫持、盜用的風險，無法確認是本人操作3、由于第三方運維人員更換較為頻繁，許多運維管理賬號的交接無法有效管控，長期不使用的特權賬號成為僵尸賬號，并有可能被離開的第三方人員利用場景方案安世加零信任建設調研報告xix曠視 FaceID 企業版，密碼+人臉識別雙因素方案，保障 VPN 和 Web 應用，遠程登錄安全?？蛻魞r值相比于其他認證方式，比如短信認證，刷臉認證易用性更強，無需后臺維護多個管理員手機，認證無延遲，還可防劫持外部服務商實名身份和人員管理，防止“幽靈賬號”、”僵尸賬號”被違規利用以人為核心，打通企業數字空間和物理空間的統一認證未來的企業 IT 管理當中，一方面需要對操作系統、云端應用和 IT 基礎設施的身份進行管理，另一方面，還要考慮到企業物理空間的身份管理，并且企業數字空間的身份管理和物理空間的管理應是一致的。曠視 FaceID 企業版，采用創新方式，將人臉作為員工在企業空間內真實身份的重要標識，對員工身份進行統一管理。這必將是未來發展的主流方向。企業數字身份統一認證管理安世加