专题 | 众院士专家谈零信任

随着网络空间高速发展，大规模网络引发的安全运行防护复杂度激增。传统的基于网络边界建立信任体系的安全防护模式逐渐失效，零信任网络安全理念应运而生，并迅速成为当前网络空间安全领域研究热点。本专题汇集了近几年的大会上，众院士专家对零信任的看法和见解，希冀给大家更多参考价值。

零信任十周年峰会（2020年6月）

工信部原副部长杨学山

工信部2019年起草的《关于促进网络安全产业发展的指导意见(征求意见稿)》提出，要积极探索拟态防御、可信计算、零信任等网络安全的新理念、新架构，促进网络安全理念和技术的创新。

中国工程院院士倪光南

网络安全面临的挑战日益多样化，建立自主创新、安全可控的网络信息技术体系是数字经济发展的必要保障。探索包括零信任在内的我国网络安全关键技术的新理念非常有意义，同时希望能够结合国内的应用场景，让零信任更好地落地发展。

中国工程院院士邬江兴

政产学研需要推动网络安全技术创新，拟态防御与零信任安全都是基于给保护目标穿上“隐身衣”的新理念、新架构，比传统的查漏堵门、杀毒灭马等防护手段更有优势，也更适合云时代无边界的防护体系需求。

CSA大中华区SDP工作组组长陈本峰

零信任真正落地需要因地制宜。虽然近年来零信任在国内外发展十分迅速，但是中外之间仍存在一些差异。美国目前已经形成一套完善的零信任理论，但对中国来说是刚刚起步。在国内终端环境多样化的情况下，需要大家不断摸索和研究，争取开发出一套属于中国自己的零信任理念和架构。

阿里云安全资深产品专家尚红林

零信任安全靠旁路和植入是很难做到高效实时的，但是云原生特有的优势可以把从IaaS、PaaS到SaaS的身份彻底构建连接，让零信任在实施过程中更加高效。而构建从IaaS、PaaS到SaaS的连接也将成为未来技术发展的趋势。

奇安信集团身份安全事业部总经理张泽洲

零信任是一种安全理念和架构思维，企业在落地过程中务必从架构视野上把握零信任全貌，并结合企业现状开展零信任的工程化实践。尤其应结合业务和安全需求选择零信任的切入场景，依据安全现状筛选优先构建的零信任能力，基于具体的风险缓解目标设立务实的安全预期，从而分阶段有序推进零信任落地。

360集团云安全研究院高级安全总监魏小强

零信任是一种方法论，是一种安全范式。身份管理是零信任的基础，没有身份管理，零信任将无法成功实施。身份正从单一属性走向多属性，从认证走向连接。身份管理的本质是连接，连接既创造价值也带来风险，安全连接则是零信任的基石。因此，应从安全连接的视角去重新思考零信任架构，寻找新的解决方案以应对软件定义时代的到来。

“2020 LINKUP+网络安全峰会”（2020年9月）

东南大学网络空间安全学院院长程光

网络安全是新基建的基础。新基建进一步加快网络和物理世界的融合，两者的边界将基本消失，对网络的攻击就等于对物理世界的攻击。

在“5G+工业互联网”的场景下，网络安全会发生三个明显的变化：安全内涵方面，从网络与信息安全转成到了网络与生产安全；安全架构方面，从边界安全架构迁移到零信任安全架构；安全防护方面，从以基础设施为中心转变到以数据为中心。

云安全联盟大中华区研究院副院长贾良玉

零信任不是零访问，而是从零开始，更安全的访问防护资源。伴随着新技术、新习惯、新趋势带来的新变化，同时也迎来了新挑战，面对新的挑战需要新规则来应对，构筑数字资产安全生命线，为数字经济发展保驾护航。

中国电信研究院应用安全所所长何国锋

零信任时代更需要安全左移，安全的代码是前提。目前软件开发存在安全测试往往后移、开发过程中易忽视软件安全、进度与安全存在“鸿沟”的问题。只有越早扫描，进行缺陷分析，修复的成本才会越低。技术融合是软件开发安全趋势，人工智能的自动化代码审计，要一直有“代码一直是有问题的”的想法，才可以在“零信任时代”建立安全的网络体系。

中兴通讯网络安全产品总监郝振武

在云网融合的趋势下，系统变得复杂化，威胁也变得复杂化。在这种情形下，需要新的理念来指导，“零信任”就是新的武器来解决实际存在的问题。信任安全已成为广泛认同的安全架构，提供了一种解决复杂场景安全的思路。

南京赛宁信息CTO秦卫东

被动式防御已经失去安全防御意义，而“零信任”新型网络架构让网络安全防御变得更复杂。在网络安全领域也存在人员安全技能提升难、业务演练开展难、装备、系统测试难等挑战，解决这些问题的有效途径就是利用“网络靶场”。网络靶场，是支撑网络安全体系化建设的关键基础设施。

零信任架构技术峰会（2020年9月）

公安部信息安全等级保护评估中心原副主任毕马宁

零信任首先是理念问题，秉承的是“从不轻信并持续验证“的原则，诠释了“等级是手段、保护是目的”的等保核心思想，以及以保护能力不断提升和持续验证为标准的等保基本工作方法；同时阐明了新形势下的网络安全防护要有互联网思维、等级化思维和零信任思维。很多企业正在把零信任的理念落实到端到端的技术和产品实现上，让企业零信任架构升级变得简单易行；殷切期望更多企业开放自己的零信任安全框架，以合作共赢的精神推动零信任技术和生态的发展，促进国家网络安全防护能力的提升。

数篷科技CEO刘超

云计算的广泛普及和数据跨组织流动让组织物理边界模糊化；数字化转型将成为驱动企业智能运营、业务增长、商业创新的新动能。应用、算法、数据、算力和安全是未来数字化和人工智能世界的五大支柱，没有安全的应用就是在“裸奔”。零信任作为一种理念和思想，力求解决在开放网络环境下合法的人或应用得到合理授权并确保企业资产的安全。

IDC咨询有限公司助理总监王军民

到2024年30%的安全服务支出将专门用于开发、实施和维护“信任框架”。未来网络技术革新发展的方向将从终端防护延展到云计算，从合规和基础安全向多维控制、主动防御发展。在对全球企业的抽样调查中，有71%的企业对零信任技术表现出极大兴趣，有24%的企业在试点、使用和改善零信任技术在企业内的应用。

数世咨询创始人李少鹏先生

本次峰会提出了‘零信任是一种安全理念，并非特定的产品或具体技术，任何厂商都可以基于自己的技术特点出发，去贯彻和实现零信任的理念’、‘零信任不是从来不信任，而是永远保持警惕’等具有洞察力和前瞻力的观点，给行业带来非常有意义的参考价值。

零信任发展趋势论坛（2021年5月）

工程院院士倪光南

零信任是信息安全界一个很重要的技术，在以国内大循环为主体、国内国际双循环相互促进的新格局，以及新基建的双背景下，网信领域发展将迎来快速发展。2020年，中国软件产业规模达8万亿，全球排名第二，软件布局基本良好，收入平均水平不断提高，软件发展前景广阔。从技术角度来看，中国工程师的红利也将继续保持，但同时也要关注，我国对于开源软件的重视程度还不够。相信在国家有关方面的指导和促进之下，将进一步保证网络安全的发展。

中国信息通信研究院副总工程师王爱华

随着产业数字化的深化发展，企业IT架构从建设到运营发生极大变革，安全体系从以安全边界为核心的防护机制向以身份为核心的零信任安全转变。在政府积极引导和企业战略布局的推动下，零信任已从概念走向实施应用，在政策、市场、应用和标准体系建设方面形成了蓬勃发展的态势，零信任标准化进程快速推进。虽然成绩可喜，但还需要多方努力，共同推进零信任技术研究和行业深化应用。

腾讯副总裁丁珂

全球数字化和万物互联的加速，将物理空间的边界彻底打破，以“零信任”理念重构防御体系势在必行。同时，零信任广阔的内涵和外延，需要产业各界携手共建，根据中国的网络安全环境探索“零信任”落地的“中国样本”。零信任虽然还是一个新兴的技术，但在大量企业典型的业务场景表现得非常突出。零信任的互联互通特征，取代了传统彼此隔离的物理空间，是产业数字化和万物互联健壮发展必须要面对的技术路径。

中国信息通信研究院云大所副所长栗蔚

近年来，云计算、大数据等新一代信息技术与实体经济加速融合，为企业IT架构带来新的安全挑战，零信任在企业数字化转型安全建设中的作用与意义就在于其理念打破了网络位置和信任间的默认关系，能够最大限度保证资源被可信访问，提升企业数字化转型中新IT架构的安全性。

世界零信任论坛（2021年6月）

青岛工业生产和信息化管理局长卞成

在软件定义界限，数据驱动的时期，能够预知零信任是将来网络信息安全的优先选择发展战略。以“零信任”重新构建产业链产业链安全防御管理体系，须要聚集世界各国产业链、技术性、优秀人才等多方网络资源，协作使力，共创“零信任”真正落地情景、新机制、新模式。

全国人民代表大会社会和法制联合会办公室副主任曾海燕

数据安全法的施行，规定我们站立在新时期的极度充分发挥各类网络信息安全法律法规和技术性的功效，不断完善网络信息安全整治构架和治理体系，尤其是要留意运用以零信任为象征的新起安全方针和技术性来补救过去安全防护的欠缺。零信任安全构架“绝不信赖，自始至终认证”的理念和技术性对数据信息和网络资源的安全明确提出了最严谨的监管规定，能够为贯彻落实《数据安全法》充分发挥积极主动的功效。

CSA亚太地区研究院副院长贾良玉

零信任在2010年由forrester提出之后，作为一种安全战略思想被业界逐渐广泛采纳。经过十年的发展，零信任目前已经步入一个新的时期，以中国《数据安全法》及《个人信息保护法(草案)》的发布，美国总统拜登签发行政令强制推行零信任，CSA即将发布的《软件定义边界SDP标准2.0》等事件为标志，零信任已经由1.0的理论和技术探索阶段进入到2.0的全面实施和发展阶段。在2.0时代，零信任将与区块链、人工智能、量子计算等新技术产生融合，SASE、ZTE、云原生等新方法、新策略也将不断涌现。未来零信任想要更大规模地落地实施、发挥实效，需要保护包括网络、系统、设备、终端、应用、数据等在内的所有资源，需要适用于端点、云端等各种场景。贾良玉倡导各界积极拥抱零信任2.0，协同构建一个更加安全的数字时代。

2021网络安全创新发展高峰论坛（2021年12月）

北京数字认证股份有限公司董事长詹榜华

信任是数字经济健康发展的基石，并已经成为数字经济领域的关注焦点。在数字经济体系中，信任能够实现生产要素之一的数据可信、真实、完整，也能够保障重要的生产工具——数字基础设施安全可靠运行，如确保算法正确等。

零信任安全是以建立网络信任和管理网络信任为基础，多种安全保障措施协同构建网络安全保障体系的理念或思路。实现零信任安全的关键能力体现为“五大支柱、三个层面”，五大支柱是指身份、设备、网络、应用、数据，每个支柱的能力均从三个层面展开，即感知与分析、自动化响应与动态调整、策略管理。基于密码技术的强身份认证、信息加密、数字签名在实现身份可信、设备可信、流量可信、应用可信和数据可信中发挥了重要作用。

在零信任安全实践中，密钥管理会遭遇虚拟化实体的身份管理和鉴别问题，零信任安全对PKI也提出了全新需求，数字认证有信心应对这些挑战，未来数字认证将持续发力零信任领域，通过技术提升零信任安全的关键能力。

奇安信集团总裁吴云坤

数据是数字化时代的生产资料，数据安全是数字化的前提。数字化业务的开展，改变了信息化环境，带来了新的安全需求，保护对象从原来的云网端扩展到数据和应用。面向数字化业务保障，重点围绕保护数据和应用，构建内生安全系统；通过经营安全落地形成实战化安全体系，实现对网络安全的动态掌控；结合零信任与数据实体防护，构建数据安全技术防御体系。

中国信息安全研究院副院长左晓栋

零信任的本质是一种理念和思路，不是某种固定的技术，也不是对既有技术和体系结构的颠覆。零信任的产生有客观必然性，源于网络安全风险加大，传统信任模型受到挑战；零信任的实质是对访问控制的新要求，不是网络安全的全部；零信任是一种思想，没有颠覆现有技术和体系结构。

北京芯盾时代科技有限公司联合创始人兼CTO孙悦

以“零信任”业务安全重塑安全边界。要以“零信任”构建数字经济的安全基座，基于多维可信身份建立兼顾安全、体验、成本的弹性信任。

2021第二届“LINKUP+网络安全峰会”（2021年12月）

赛博英杰创始人谭晓生

在数字经济技术日新月异的发展趋势下，数据成为数字经济发展的核心生产要素，是国家重要资产，也是国家重要战略资源。随着数据价值的凸显，数据风险也与日俱增，传统安全防护体系已无法满足现实网络安全发展的需要，零信任随之成为各方关注的焦点之一，迎来发展契机。零信任自提出以来，得到业界认可，包括易安联等国内多家公司相继推出零信任安全产品。谭晓生认为，零信任绝不会只是一阵风，其中有非常多的工程问题需要解决，面对新机遇与新挑战，网络安全工作任重道远，希望大家可以齐心协力共建网络安全。

易安联董事长、创始人杨正权

当前，网络安全发展已进入新阶段，基于零信任的网络安全理念和技术愈加得到社会各界的认同和认可，并在社会各行业大面积铺展开来。峰会以“零信任与数据安全”为主题，就是希望能够凝聚社会各界共识，探讨零信任建设路径和最新发展技术，以及零信任在解决用户网络安全问题、保护数据安全、推动数字化转型方面的价值和能力。

东南大学网络空间安全学院副教授肖卿俊

随着新一代信息技术的快速演进，传统的网络安全手段已无法应对未知威胁或攻击等，而零信任架构以身份为边界，零信任的身份安全可信体系成为解决网络安全问题的重要抓手。基于网络测量方法，可实现零信任安全整体架构的搭建，建立“架构-感知-防御”一体化零信任体系架构的内生网络安全防御系统，实现智能感知网络态势、部署内生防御，确保网络行为的真实、可审计、可追溯。

金盾检测总工程师何欣峰

目前网络安全形势依旧严峻，恶意攻击等层出不穷，随着新技术新应用的发展，传统防护体系很难有效抵御，虽然在国家层面已将网络安全上升到战略地位，但是作为企业仍要克服业务组成复杂、防护能力散乱、安全运营不完善等自身问题。企业唯有加强全员网络安全意识，建立自适应威胁变化且适合实际情况的安全防护体系，建立安全管理及工作机制、安全策略及技术措施，并通过攻防实践，及时发现系统问题，才能有效排除窃密隐患，逐步构建自身网络安全壁垒。