零信任发展研究报告（2023年）-中国信通院_39页_1mb

零信任发展研究报告（2023年）总结

零信任安全理念基于“永不信任，持续验证”原则，通过打破传统网络边界信任模型，重塑企业资源访问安全机制。该理念在数字化转型背景下，针对IT架构开放化带来的安全挑战，提供从身份认证到动态授权的全流程防护，逐步成为政企数字化转型的核心安全策略。

一、零信任技术价值与应用场景

1. 弥补传统安全缺陷
   传统安全架构依赖静态边界防护，难以应对云化、虚拟化趋势下的动态安全需求。零信任通过身份为核心、最小化权限授权、持续风险评估等机制，解决数据中心东西向流量防护薄弱、跨云数据暴露面扩大、终端环境复杂化等问题，有效降低攻击扩散风险。

2. 应对新兴安全威胁

   • 软件供应链攻击：通过动态权限控制和最小化资源暴露，限制攻击者利用供应商漏洞横向移动的可能性。
   • 勒索软件攻击：结合网络微分段技术，阻断恶意流量扩散路径；通过多因子认证动态调整安全强度，降低账户接管风险。
   • 公共数据安全：统一数字身份管理避免身份冒用，最小化授权保障数据使用合规性，助力数字公共服务价值释放。

二、零信任供应侧生态发展

1. 能力体系逐步完善
   零信任供应能力覆盖六大领域：数字身份管理、网络环境安全、终端安全、数据安全、应用工作负载安全及安全管理。身份安全（70.8%）和网络环境安全（75%）成为核心能力，而云工作负载安全产品仍处于发展初期。

2. 产品形态多样化

   • SaaS化趋势：71.4%企业支持零信任SaaS服务，但面临内网部署为主、云安全能力不足等挑战。
   • 分层防护产品：89%企业提供ZTNA（零信任网络接入），84%支持ZTAA（零信任应用接入），仅有25%具备微隔离能力。
   • 生态联动需求：超七成厂商支持与第三方身份/终端安全产品对接，但接口协议不统一问题制约了整合效率。

3. 重点行业应用增长

   • 金融与电信行业：近三年零信任客户覆盖率显著提升，分别从39.2%（2019-2020）增长至82.1%（2021-2022）。
   • 微隔离与软件定义边界：微隔离市场呈现两极分化，软件定义边界产品在头部客户中应用潜力大，但多数企业仍处于试点阶段。

三、零信任应用侧挑战与应对

1. 部署阻力与核心问题

   • 成本与成效考量：企业倾向于利旧现有安全产品，零信任需兼容现有系统并降低建设成本。
   • 责任边界模糊：跨部门协作缺乏统一管理，需明确安全责任划分以提升落地效率。
   • 老旧系统整合困难：非统一的接口协议和权限规则导致身份体系重构复杂，需从顶层设计推动统一化。

2. 用户价值认同与运营难点

   • 应用价值受肯定：零信任在降低代码泄露风险、实现资产管理到人、提升个人效能监测等方面效果显著。
   • 运营能力待提升：需解决网络层与应用层策略冲突问题，优化策略灵活性与自动化能力，避免“重建设轻运营”倾向。

四、零信任发展趋势与产业建议

1. 技术演进方向

   • 全局架构化：从局部安全防护转向企业整体网络安全架构，集成身份、终端、数据等多维度能力。
   • 统一策略管理：通过集中化策略部署解决南北向与东西向流量管理断层问题。
   • 身份穿透式防护：改造应用层以实现身份信息在业务全程的连续传递，强化关键业务访问控制。

2. 产业发展建议

   • 提升技术差异化：避免同质化竞争，深化底层技术突破，构建核心壁垒。
   • 推动生态协作：加强产业链上下游合作，统一接口协议以提升产品联动能力。
   • 标准与模型引导：依托零信任成熟度评价模型，细化实施步骤，规范技术能力要求。
   • 行业场景深耕：围绕政务、金融、电信等重点行业需求，建立差异化落地案例，增强应用信心。

报告指出，零信任市场正从概念普及走向成熟应用，但其落地仍需克服技术适配性、组织协同性和运营管理等多重挑战，未来需在架构优化、行业定制化和生态整合方面持续发力。