零信任发展研究报告 （2023年） 中国信息通信研究院云计算与大数据研究所 2023年8月 版权声明 本报告版权属于中国信息通信研究院，并受法律保护。 转载、摘编或利用其它方式使用本报告文字或者观点的，应 注明 “来源：中国信息通信研究院 ”。违反上述声明者，本院 将追究其相关法律责任。 前 言 近年来， 云计算、 大数据等新一代信息技术与实体经济加速融合， 产业数字化转型迎来发展新浪潮。 企业 IT架构从建设到运营发生极 大变革， 防护机制从以网络边界为核心向以身份为核心的零信任转变， 零信任产业已形成蓬勃发展的良好态势，愈发得到行业关注。 中国信通院持续跟踪零信任发展历程，曾在 2020年8月、 2021 年5月发布 《网络安全先进技术与应用发展系列报告—— 零信任技术 （Zero Trust ）》1、 《数字化时代零信任安全蓝皮报告》2等研究报告， 对零信任基本原则、 逻辑架构组成、 通用应用场景等进行了阐述。 2023 年发布《零信任发展研究报告》 ，报告聚焦过去两年多零信任产业的新发展新变化。 报告首先介绍了数字化转型深化后企业 IT架构所面 临的安全挑战， 零信任如何解决安全挑战 以及如何应对新的安全威胁。 其次从零信任供应侧和零信任应用侧两大 视角对我国零信任产业 的 发展情况与应用痛点进行观察和分析。在零信任供应侧方面 ，梳理了 国内各零信任厂商安全水平概况， 分析了重点行业零信任市场近三年 发展态势。在零信任应用侧方面，基于对重点行业用户的调研结果， 从零信任建设前期、建设中期和使用运营期，分析了用户零信任建设过程中的痛点、肯定与思考，为零信任供应侧提升和优化能力提供指引，同时增强应用侧用户的落地信心。 最后总结了零信任 技术发展趋 势，并对零信任产业发展提出 建议。 1 http://www.caict.ac.cn/kxyj/qwfb/ztbg/202008/t20200812_302242.htm 2 http://www.caict.ac.cn/kxyj/qwfb/ztbg/202105/t20210521_377790.htm 目 录 一、 零信任保障资源可信访问，应用价值日益凸显 .............................................. 1 （一） 零信任弥补传统安全防护机制缺陷 ......................................................... 1 （二） 零信任为新的安全场景提供有力保障 ..................................................... 4 （三） 零信任相关政策与标准涌现，驱动产业规范发展 ................................. 7 二、 产业供应侧调研洞察：零信任能力生态逐渐成熟 ........................................ 10 （一） 围绕六大领域能力，建立产品体系 ....................................................... 10 （二） 行业应用不断深化，零信任市场步入成长期 ....................................... 20 三、 产业应用侧调研洞察：用户对零信任建设尚存顾虑，同时肯定零信任核心 价值 25 （一） 零信任从零到一，落地部署面临多重阻碍 ........................................... 25 （二） 微隔离市场向好，用户看重网络分段能力 ........................................... 27 （三） 应用价值受肯定，仍需避免重建设轻运营 ........................................... 28 四、 我国零信任发展趋势及建议 ............................................................................ 30 （一） 零信任技术发展呈三点趋势 ................................................................... 30 （二） 零信任产业发展的四点建议 ................................................................... 32 图 目 录 图1 基于零信任理念的逻辑架构 .............................................................................. 1 图2 我国零信任供应侧发展路径 ............................................................................ 14 图3 供应侧 SaaS化情况 .......................................................................................... 16 图4 供应侧零信任能力分布 .................................................................................... 17 图5 身份安全产品联动情况 .................................................................................... 17 图6 安全管理产品联动情况 .................................................................................... 18 图7 终端安全产品联动情况 .................................................................................... 19 图8 供应侧企业落地零信任客户数量区间 ............................................................ 21 图9 微隔离类产品纳管工作负载总数 .................................................................... 22 图10 软件定义边界类产品纳管员工总数 .............................................................. 23 图11 零信任应用环境情况 ...................................................................................... 24 图12 落地零信任使用场景情况 .............................................................................. 25 图13 统一整个基础设施的策略管理 ...................................................................... 31 图14 身份信息穿透业务访问全程 .......................................................................... 32 表 目 录 表1国外零信任相关政策 ........................................................................................... 7 表2零信任安全能力与子能力 ................................................................................. 12 零信任发展研究报告（2 023年） 1 一、零信任保障资源可信访问，应用价值日益凸显 零信任秉持“永不信任，持续验证”的理念受到业内广泛关注，其 打破了网络位置和信任间的潜在默认关系， 致力于降低企业资源访问 过程中的安全风险。基于零信任理念的逻辑架构如图 1所示，由零信 任核心逻辑组件和内部或外部数据源组成， 零信任核心部分分为控制平面和数据平面。 来源： NIST 图 1 基于零信任理念的逻辑架构 位于数据平面的访问主体发起访问请求， 由控制平面的策略引擎 进行身份认证与多源评估计算，由控制引擎对计算结果进行判定，决定授权策略，一旦授权访问，控制引擎将通知数据平面的安全代理，为该次访问建立安全连接。策略引擎仍持续对访问进行评估，一旦参与因素或其行为发生变化，策略引擎将依据新的评估源重新评估，控制引擎将依据评估结果判定授权策略是否需要改变， 随时通知安全