零信任架构在等保合规中的实践与测评挑战

在数字化的时代，网络攻击的手段层出不穷，传统的依靠边界防护的网络安全结构已经不能适应愈加严峻的安全需求。等保（网络安全等级保护）是国家为保障网络安全而设立的基本制度，针对不同的信息系统提出了不同的安全要求。零信任架构打破传统的信任边界，它以动态的验证以及最小权限为原则，任何想要访问系统的实体都需要被持续的验证并被严格的授权。把零信任架构应用到等保合规建设中，可以提高信息系统安全防护水平，抵挡各种网络攻击。但是在实际的运用以及测评当中，零信任架构也存在着很多的问题，所以研究它的实践与测评问题是有现实意义的。

一、零信任架构在等保合规中的实践路径

（一）多因素融合的身份认证实践研究

零信任架构以身份为中心，在等保合规中，创建基于多因素融合的身份认证体系十分关键。传统的单因素认证，即用户名加密码的方式，很容易被破解，不能满足等保对于身份真实性的要求。多因素融合认证把知识因素（密码等），拥有因素（智能卡等）和生物因素（指纹、面部识别等）融合在一起来提升身份认证的准确性和安全性。这样的多因素认证方式可以有效地防止账号被盗用，保证只有合法用户才能访问系统资源，符合等保对于用户身份鉴别的安全要求。

（二）全流量持续安全监测实践

持续监测也是零信任架构的一种能力。在等保合规建设时要安装全流量持续安全监测系统，对网络内所有的流量展开实时采集、分析、处理。它可以识别各种网络协议和应用程序，对流量中的数据包做更深入的分析，发现潜在的安全威胁，例如恶意软件的传播，数据泄露等等。对http、ftp 等常见协议流量做深层次分析，找到不正常的文件传输情况，马上拦截非法的数据传输。利用机器学习、大数据分析等技术手段，通过分析以往的流量数据来创建一个正常的活动基线。当实时流量偏离基线的时候，系统就会自动发出警报，提醒安全人员去处理。

（三）微隔离与动态访问控制的应用实践

微隔离技术把网络分隔成很多小的安全区域，并可以对不同安全区域之间的流量做到精准管控。在等保合规中，根据业务功能以及数据的敏感性，把信息系统分成不同的安全域，有核心业务域，办公域，测试域等等。每一个安全域都有独立的访问控制策略，限制域之间不必要的通信。比如核心业务域只准许特定的管理终端、必须的业务系统进入，不能被外部非法访问以及内部横向渗透。动态访问控制则是通过考虑用户的身分，角色，访问的时间，使用设备的状况等多种因素，对用户的访问权限进行随时改变。当用户的工作任务发生变化的时候，系统会自动的去调整用户所拥有的访问权限，使得用户只能访问完成工作的最小资源。

二、零信任架构在等保测评中的挑战与应对

（一）零信任特性与测评标准的适配挑战

当前等保测评标准大多是以传统的网络安全架构为依据，缺少对于零信任架构特别的要求。零信任架构更侧重于动态认证、持续监控以及最小化权限等属性，与传统的架构静态地分发权限、边界防护的思想不一样。就拿访问控制测评来说，传统的标准关注的多是静态的权限设定是否合理，零信任架构的动态调整权限的机制没有测评的标准。这就造成了在测评的时候，不能全面、准确的测评零信任架构的安全性。为了应对这样的问题，就要加快等保测评标准的更新和完善，根据零信任架构的特点制定专门的测评指标和测评方法。可以增加对动态访问控制策略的有效性、持续监测系统的准确性、实时性等方面测评的内容，保证测评标准可以真实的反应零信任架构的安全水平，给等保合规提供科学的依据。

（二）技术复杂度高导致测评困难

零信任架构包含很多种技术，身份认证技术，大数据分析技术，微隔离技术等等，技术实现难度大。在等保测评时，要对其集成的效果以及协同工作的能力进行全方位的评定。比如，由于多因素认证技术的相容性问题可能会造成有些用户不能正常认证、大数据分析算法的不精确会影响到对危险的检测结果、微隔绝技术设置不正确会导致产生网络通信故障。而且不同厂家的零信任产品和方案，在技术架构、实现手段等方面有不同之处，这就加大了测评的困难程度。为了应对以上问题，测评机构应该加强自己的技术能力，引入专业的测评工具以及人才来提高自己对于复杂技术的评测能力。企业在选择零信任产品和解决方案的时候，应当选择技术比较成熟，兼容性比较好，比较容易整合和管理的产品，降低技术实现的风险，方便测评工作开展。

（三）数据安全与隐私保护测评要点的把控挑战

零信任架构运行过程中要收集大量用户身份，行为，设备状况之类的资料，数据安全，隐私保护成为等保测评的关键环节。怎么样来保证这些数据在收集的时候，在存储的时候，在传输的时候，在利用的时候，能够安全，不被泄露，不被人随便使用，这是测评碰到的大难题。就拿数据加密来说，得看看加密算法的强度怎样，加密密钥管理是不是安全，要是关于数据访问控制，就要检查只有那些获准的人可以看见敏感数据才行。而且要考虑在分享及跨国传递过程是否合规。企业要应对数据安全和隐私保护的挑战，就要创建起健全的数据安全管理制度，使用先进的加密技术以及访问控制策略，对数据实行全生命周期的保护。

（四）人员意识与技能不足对测评质量的影响

零信任架构的应用，等保测评需要专业的人。但是目前企业以及测评机构普遍存在人员意识以及技能不足的情况。企业员工对零信任架构的了解与操作能力有限，会造成架构的应用效果差，不能充分发挥其安全性。比如员工不了解多因素认证的使用方法，导致认证过程复杂或者认证失败。测评人员对零信任技术的掌握程度不够也会导致测评结果不准。或许不能很好地辨别零信任架构里的安全风险与漏洞，从而致使测评流于表面功夫。企业应该针对人员意识、技能不足的问题，加大员工培训力度，开设零信任架构相关的培训课程和宣传活动，加强员工对于零信任的理念认识以及操作技能。测评机构应该经常性的开展技术人员的培训工作，邀请行业内的专家来作讲座，交流，及时的更新知识体系，提升测评人员的专业水平。

三、结束语

零信任架构给等保合规建设带来新的思路与方法，它具有动态验证，持续监测等特点，可以提高信息系统安全防护水平，应对越来越复杂的网络威胁。但是在实际的运用以及等保测评当中，零信任架构也存在着测评标准适配、技术实现复杂、数据安全与人员技能等问题。通过加快测评标准更新、加强对技术能力的建设，完善数据安全管理制度，提高人员的安全意识和技能等手段，可以有效的去面对这样的挑战，做到在等保合规中广泛的运用零信任架构，保证信息系统安全稳定的运行，给数字化时代的信息化安全保驾护航。

参考文献

[1] 肖力炀，毕玉冰，刘骁，朱博迪，刘迪，刘超飞，崔逸群。基于零信任架构的集团级 AAA 系统设计与实现 [J]. 热力发电，2023,52(09):171-180.

[2] 徐波，苗春雨。基于零信任的数据安全管理研究 [J]. 中国信息安全，2023(03):80-82.

[3] 李振魁。零信任下的数据防护研究 [J]. 网络安全技术与应用，2023(01):60-62.

[4] 郭宝霞，王佳慧，马利民，张伟。基于零信任的敏感数据动态访问控制模型研究 [J]. 信息网络安全，2022,22(06):86-93.

[5] 张素芳，汪节齐。基于零信任的数据安全技术手段研究 [J]. 网络安全和信息化，2022(03):48-51.