零信任安全 | 零信任安全体系的落地“困境”

零信任是一种安全体系架构，它打破了传统的认证即信任、边界防护、静态访问控制、以网络为中心等防护思路，建立起一套以身份为中心，以识别、持续认证、动态访问控制、授权、审计以及监测为链条，以最小化实时授权为核心，以多维信任算法为基础，认证达末端的动态安全架构。

零信任安全体系建设的远大愿景：

1.依托IAM技术、终端环境感知技术，重构企业身份体系和身份策略，推动网络人员身份的可信；

2.改变传统的认证方式，构建先认证后连接和持续认证机制，提升网络的防护能力；

3.结合终端、EDR、业务行为、网络态势等因素，建立持续信任评估机制和模型，支撑动态自适应访问控制权限管理，保护业务和数据的安全性；

4.支撑远程办公、大数据中心、云安全平台等多种场景的安全防护。

然而，零信任安全体系的落地，不仅仅是简单的产品部署，更是一项复杂的工程，涉及组织管理、技术、成本等多项因素，在实际落地过程中存在着技术层面、管理层面、投入与落地周期等困境。

一、技术层面困境

◆身份管理

零信任的基础是以身份为中心，需要以IAM为基础建立用户业务系统身份管理机制。部分用户的身份管理基础薄弱，各业务系统独立的身份系统，分散在系统中的身份数据异构体难以形成统一管理，使得零信任在企业身份管理部署期间，需要优先考虑IAM建设，逐步形成多因素的身份管理策略。

◆权限管理

基于角色的授权RBAC是当前企业业务系统主要的授权模型，权限管理分散，零信任采用ABAC授权模型，需要对当前用户权限进行整合改造，改造调整涉及众多的业务系统，难度比较大。

动态授权和持续信任是零信任的核心之一，需要在权限统一管理基础上建立持续信任评估机制，而参与信任评估的因素的多少决定信任评估结果的准确率，信任评估模型作为零信任的核心，需要根据不同网络构建不同的评估模型，准确精准度要求高，当前持续信任缺乏统一的落地。目前缺乏统一的信任评估机制标准体系指标，动态授权落地难。

◆产品、体系融合

零信任是一个安全体系，涉及终端环境感知、IAM、EDR、UEBA等多种安全产品，在用户实际环境中可能用户已经具备态势感知、终端环境感知等相关的安全产品，零信任系统需要同这些系统进行对接融合，融合难度大。

等保2.0中明确系统安全保护环境是区分安全区域边界的，与零信任的“不再以一个清晰的边界来划分信任”的观点存在矛盾。但零信任的本质概念上，除了不再区分清晰的边界，其实还有另一个层面，就是信任网络或是信任访问的概念，所以零信任在我国企业网络环境中的落地，存在基于等保防护思路和零信任技术体系的融合。

二、管理层面困境

零信任致力于打造一个安全可信任的网络环境，会很大程度上改变用户现在已有的网络访问方式，从推广力度上存在一定的难度。作为一种新的技术体系，传统的管理要求、管理制度已经不适用于新的技术配套要求，需要对现有的管理要求、管理制度、管理组织进行调整，驱动零信任体系建设、维护工作。

三、投入和落地周期困境

零信任在GoogleBeyondCorp实施落地用了7年时间，落地周期长，成本消耗高。零信任本身属于一个安全建设体系，不是一个产品或是一个平台，涉及IAM、终端管理、EDR、态势感知、行为分析等多种技术手段，投资高，建设周期长。所以，零信任建设需要根据不同企业梳理现有的网络环境以及零信任建设程度，分步融合现有环境逐步实施。

完整的零信任是一个理想的愿景，用户在构建零信任网络之前，首先需要确定实现范围，成熟度较高的零信任网络包含许多交互的子系统。

最开始构建零信任网络时，不需要满足全部需求，而应当在实现过程中逐步完善，部分用户应避免陷入到“最初构建零信任体系对现有安全体系的改变很小，而误认为只需用极小的成本，极少的调整便可一劳永逸地实现零信任安全架构，从而摒弃对零信任架构持续建设和完善”的误区。