零信任秉持“持续验证，永不信任”的原则，从2010年被首次提出以来，就被各行各业所追捧。随着物联网、云计算以及移动办公等新技术与场景的运用，网络安全边界变得越发模糊，传统的安全边界防护理念与技术正受到越来越大的挑战。在这一趋势下，零信任架构被更多企业实践的步伐正在加快。

对于不同行业赛道的企业而言，要实现零信任有哪些区别，又应该如何具体推动其落地？在刚刚过去的「CIS网络安全创新大会夏日版·Summer Live」零信任安全论坛专场，9位行业资深专家结合自身实践，从不同维度就零信任实践展开了探讨。

企业数字化转型与信息安全能力

“没有安全属性的数字经济实体将一文不值”。红星美凯龙信息安全部高级总监孙琦认为，在数字经济时代下，安全作为核心属性之一，企业必须高度关注其中的每个环节。孙琦提出，数字化是一种手段、工具，其价值最好的体现方式是盈利主体的认可和持续投入。

而威胁来自于哪里？安全的价值怎么体现？孙琦认为威胁的来源取决于企业所处的环境，企业与威胁对抗，核心保护的便是数据，数据是整个数字化转型里面最为核心的部分，是企业实现盈利的重要部分。孙琦合自身的军迷爱好，将盈利主体形容为航母编队中最核心的航母，而作为企业安全一把手，要做的是通过网络安全、数据安全、终端安全等等把航母保护好，去为它赋能，通过航母战斗群的综合打击能力，来实现企业真正的价值提升。

零信任与密码

随着数字经济的发展，信息系统的复杂度日益提升，网络信任呈现出明显的复杂化、动态化特征，而零信任安全正是以建立和管理网络信任为基础，其中密码技术对于建立身份信任 、设备信任、网络信任、应用信任和数据信任都起了关键作用。

在该议题中，北京数字认证股份有限公司资深密码技术专家夏冰冰认为，密码技术是实现零信任安全思想的核心技术，构建密码保障系统是零信任落地实践的关键，在零信任安全实践中，密钥管理面临许多新的挑战，比如虚拟化实体的身份管理和鉴别问题等，要结合具体应用场景进行规划设计。

投资机构的零信任实战

具体到对于投资机构而言，零信任该如何落地？来自某地产集团信息安全总监赵锐，以投资机构的零信任实战为议题，宏观解读了零信任三大技术架构：SDP（软件定义边界）、IAM（增强的身份管理）、MSG（微隔离），认为如何恰逢其时的推进零信任战略，最终实现零信任安全，需要遵循一定的方法论，结合现状，进行妥善规划并分步实施。

通过对零信任在数据、账户生命周期管理，以及STRIDE威胁建模的梳理，赵锐最终提出以契合投资机构特点的CASB云访问安全代理为实施结果，从网络加速、行为审计、数据安全、威胁防护及确保合规五个方面来保障实施成果。

传统集团型企业零信任试水

传统行业该如何搭上零信任的快车？来自某地产集团信息安全总监陈纲，通过解读传统集团型企业自建数据中心、多安全分区架构等五大特点，提炼出了传统型企业安全运营存在防不住、看不见、补不全三大难处。

为此，陈纲基于零信任，提出将对外暴露的访问端口进行收敛（包括零信任控制中心），规范访问入口，采用4层与7层网关分离的设计模式，以此实现基于身份的细粒度访问控制，并获取终端信息。

此外，基于零信任，陈纲规划设计了包含IAM身份及权限管理，零信任网关，零信任沙箱三大部分的零信任方案，为企业零信任的长期建设目标提出了有效的解决思路。

关于零信任架构在金融企业中应用的思路探讨

对于金融行业而言，来自某交易所安全架构专家吕德旭认为，构建自己的零信任需要结合自身业务特点、循序渐进、有取有舍。

在实施过程中，吕德旭提出基于NIST零信任架构的五大场景，包括员工远程办公、私有多数据中心间云服务访问等，企业可以此构建一个测试网络作为实践零信任架构的初步尝试和探索。

数字企业的零信任落地最佳实践

随着数字化转型，过去的安全防护与运营体系已无法满足企业的需求，为此，亿格云CEO葛岱斌例举现今企业面临的三大安全挑战，并给出相应的基于零信任的落地实践。

企业边界的逐渐消失：可通过基于威胁分析的零信任动态访问控制策略，重构安全边界；

混合办公、远程办公互联网及内网安全防护：可对访问互联网、内网的场景进行统一的安全管理；

办公数据泄露难管控：通过全链路数据安全闭环体系，确保敏感应用的访问、下载行为全面可视。

同时，葛岱斌对于零信任SASE落地给出了五大可行建议，即从身份验证开始，只允许正确的人和设备进入企业访问被授权的资源；评估可以访问内部资源的所有终端的安全合规和安全可信；网络链路的安全防护和网络访问的加密、微隔离；收敛企业内部所有资源包括应用和服务器，数据库等基础设施至内网环境，并给予最小权限访问；敏感数据和个人隐私合规数据的识别分类以及数据防泄漏。

高科技制造企业从0开始安全建设分享

对于一个企业价值链而言，企业是盈利部门，安全则是在下面做支撑。某上市公司信息安全负责人赵军利表示，安全最终的价值要体现在企业自己盈利的价值链内。

在安全威胁方面，大多数高科技行业的安全事件大多数都来自于内部人员的泄密，而现阶段来自外部的安全威胁也越发复杂，赵军利认为目前业界的平均安全水平大约为3.5分，需要切身了解自身安全性上的不足并做好下一步规划。

对于具体的建设思路，赵军利从内、外两个方面进行解析，对内要抓数据防泄漏，确保工控系统稳定，对外则要防攻击，并满足合规要求。在实施上，除了通过安全管理、安全运营、安全技术三大块搭建基本的安全治理架构，也还需要驱动业务部门，通过建组织、完善信息透明机制、建立事件驱动体系查处安全违规事件，从而构建“能打硬仗”的信息安全组织。

零信任的攻与防

零信任模型是一种新的安全防护思想，它删除了默认的信任，对全网业务系统的请求，实施严格的身份和设备进行强化认证，并对其访问行为进行实时动态评估，来自持安科技联合创始人兼CEO何艺首先分析了零信任的特点，进而例举当下APT的攻击方式，以及遇到APT攻击时的挑战，认为企业需要新的安全防御思路来扭转被动防守的局面。

何艺提出，基于攻击链路的零信任的防护理念，可摒弃传统“围栏式”防御模型，对安全防御体系进行优化升级，变“被动”为“主动”，实现可见、可感、可控，从而更好应对当前愈发严峻的持续高级威胁攻击。在准备阶段，通过现场访谈和被动资产扫描方式进行，服务团队对用户业务及资产基本情况进行调研，摸清楚资产的位置和对外提供的服务，了解服务单位的基本情况，全面排查外网以及办公网的资产暴露面；在演习阶段，以保护业务系统安全和数据安全为核心目标，从安全技术、安全管理两个层面出发，同时贯彻“持续监测、动态分析、快速响应、研判预测”的自适应安全理念，完成产品的布控；而在保障阶段，让具有丰富攻防经验的红队成员参与值守，在溯源分析时，协助主防单位对相应攻击进行溯源分析，同时借助零信任安全平台对业务流量身份化的功能，快速定位事件信息。

58集团办公零信任实践

疫情让远程办公需求爆发性增长，以及钓鱼事件频发，终端带来的风险变大，企业应该如何保障办公安全？58集团基础安全负责人刘嵩结合自身企业的办公安全之路，系统介绍了58盾、APP+7层网关、神奇管家等架构与服务。在最新的神奇管家中，零信任网关发挥着重要作用，无论是面对办公区应用、IDC应用还是公有云应用系统，都承担着通信解密、身份认证、一键登录、权限判断的功能。

在分析决策引擎中，零信任网关联合风控引擎和处置中心，能对员工手机、电脑被入侵，访问行为与历史访问行为偏差过大等行为进行控制，从而有效遏制攻击行为。

圆桌论坛：信任有间？—零信任实践研讨

在最终的零信任圆桌论坛环节，某地产集团信息安全总监陈纲、58集团基础安全负责人刘嵩、北京数字认证股份有限公司资深密码技术专家夏冰冰、亿格云CEO葛岱斌四位专家在持安科技CEO何艺的主持下，以《信任有间？—零信任实践研讨》主题展开了讨论。大家先交流了各自对于零信任概念进行交流，并认为零信任目前最需要解决的问题是在基础设施层面。

对于零信任项目的落地以及未来零信任的发展，刘嵩认为需要结合自身场景不断升级迭代，变成属于自己的零信任。夏冰冰认为在零信任安全原则下面，要把安全做的细、做的智能化，要把它和业务结合起来。葛岱斌认为，在企业数字化转型以及社会对整个数据安全、个人隐私的关注，这些因素都会极大促进整个零信任的尽快落地。

而零信任未来将如何发展？何艺认为零信任已不算是特别新的概念，无论是传统安全也好还是零信任，安全一体化以及运营水平提升的趋势不可逆转，零信任与整个安全业务在未来将会是更加融合且高效的状态。

结语

作为「CIS网络安全创新大会夏日版·Summer Live」三大论坛专场之一，零信任安全论坛的专家们通过干货满满的议题内容，全方位勾勒出了现今零信任的运用方案体系以及未来的发展脉络，相信随着零信任落地的加快，越来越多的企业将从中获得更加安全、可靠的安全治理方案，为企业发展保驾护航。

虽然「CIS网络安全创新大会夏日版·Summer Live」已经结束，但这也是一个新的起点，在不久之后，CIS 2022网络安全创新大会将会再次“刷新认知”，助力“安全生长”，在即将到来的金秋继续与各位举杯，共话网安新业态。