文獻(xiàn)標(biāo)識(shí)碼： A
DOI： 10.20044/j.csdg.2097-1788.2022.02.006
引用格式： 姚相振，李彥峰，孫彥，等. 美國零信任制度研究及啟示[J].網(wǎng)絡(luò)安全與數(shù)據(jù)治理，2022，41(2)：35-40，67.
0 引言
隨著網(wǎng)絡(luò)環(huán)境日益復(fù)雜，基于固定邊界的網(wǎng)絡(luò)安全防護(hù)策略面臨越來越嚴(yán)峻的挑戰(zhàn)，例如，難以防御內(nèi)部網(wǎng)絡(luò)攻擊、對(duì)數(shù)據(jù)泄露風(fēng)險(xiǎn)缺少有效防護(hù)措施等[1]。為應(yīng)對(duì)日益復(fù)雜的網(wǎng)絡(luò)安全挑戰(zhàn)，美國國防部和聯(lián)邦政府制定了一系列政策標(biāo)準(zhǔn)，推進(jìn)相關(guān)領(lǐng)域信息系統(tǒng)零信任架構(gòu)改造。
零信任作為一種安全理念，通過對(duì)訪問發(fā)起方進(jìn)行認(rèn)證授權(quán)、持續(xù)監(jiān)測和評(píng)估，動(dòng)態(tài)調(diào)整訪問控制策略，以實(shí)現(xiàn)對(duì)訪問發(fā)起方的動(dòng)態(tài)細(xì)粒度訪問控制，有效管控安全風(fēng)險(xiǎn)。2010年，咨詢公司Forrester推出零信任(Zero Trust)概念，首次提出通過對(duì)每次訪問過程進(jìn)行評(píng)估建立信任關(guān)系的安全理念[2]。基于零信任理念，一批企業(yè)開展了落地實(shí)踐工作，其中Forrester提出了零信任擴(kuò)展(Zero Trust eXtended，ZTX)和零信任邊緣(Zero Trust Edge，ZTE)[3]；Gartner設(shè)計(jì)了零信任網(wǎng)絡(luò)(Zero Trust Network Access，ZTNA)[4]；谷歌推動(dòng)了BeyondCorp零信任項(xiàng)目[5]；微軟開發(fā)了Azure零信任架構(gòu)；云安全聯(lián)盟(Cloud Security Alliance，CSA)提出了軟件定義邊界(Software Defined Perimeter，SDP)協(xié)議等[6]。據(jù)Forrester統(tǒng)計(jì)，2020年全球范圍內(nèi)零信任業(yè)務(wù)年?duì)I收超過1億美元的廠商有10家，零信任架構(gòu)主要應(yīng)用于政府、金融、制造業(yè)、醫(yī)療、教育等領(lǐng)域[7]。
本文梳理了美國零信任相關(guān)政策標(biāo)準(zhǔn)情況，并基于零信任在我國發(fā)展現(xiàn)狀，提出了推動(dòng)零信任發(fā)展相關(guān)建議。
本文詳細(xì)內(nèi)容請(qǐng)下載：http://m.tom3567.com/resource/share/2000004856
作者信息：
姚相振，李彥峰，孫 彥，羨喻杰
（中國電子技術(shù)標(biāo)準(zhǔn)化研究院，北京100007）
