零信任发展洞察报告2024

5 5 9 （一）供应侧的零信任能力与生态愈发成熟 （一）用户更理性选择零信任并制定务实的目标 1第一章零信任持续发展（一）零信任正跨越鸿沟，解决市场具体问题至关重要1.零信任技术跨越“鸿沟”，面临多重挑战需克服 有69.44%的零信任供应侧企业在拓客时感觉用户对零信任的认知变好，无需过多解释零信任能带来的优势，可直接与应用侧企业进行PoC（ProofofConcept，概念验证）或沟通落地事宜。但仍有25%的3《跨越鸿沟》，杰弗里·摩尔，2009年出版232.用户或有意或不经意正在使用零信任理念解决安全问题Gartner发布的2024年中国安全技术成熟度曲线显示4，零信任网的业务问题。2024年中国信通院调研了零信任供应侧企业主要服务的行业5，调研结果显示零信任供应侧企业服务最多的行业是信息技2024年有更多企业进入零信任赛道。各零信任供应侧企业也在积极52021年未统计电信业和医疗业，故2024可视的基础上，通过零信任策略对脆弱性风险进行最大程度的缓解。银行业受业务运行限制漏洞无法全量修补，高危端口无法尽数封禁，访问控制，令用户可以在“近源”6、“近站”7侧全面、精准的学习一管理需求。制造业企业工控上位机（生产线上控制机械臂的电脑）5（二）国内外相关政策与标准涌现，驱动产业规范发展1.国际零信任政策推动全球网络安全战略加速实施第五版《国防部网络安全参考架构（CSRA）》，制定了与国防6统一网络安全措施的指令》(NIS2指令)正式生效，指令中提出所有《零信任网络安全当前对政府机构采用零信《零信任安全之路》指导国防部实施零信《DISA战略计划2019-7建议将零信任实施列《国防部零信任参考结构》1.0安全架构基于零信任《拥抱零信任安全模型》提出渐进式部署零信发动联邦政府迁移上《美国政府向零信任网前实现具体的零信任《零信任成熟度模型》（征求意见稿）任安全目标”《云安全技术参考架构》（征求意见稿）推荐采用零信任辅助《国防部零信任能力执行路线图》概述国防部计划如何范围全面实施零信任制定了与国防部零信任战略密切相关的新《零信任成熟度模型》（第二版）降低美国机构实施零《国防部零信任覆盖》将整个美国防部实施零信任的方式标准化，同时指导系统架8构师和授权官员开展《联邦零信任数据安全该指南强调以保护数据本身为中心，而非保护数据边界，汇集部门的数据和安全专家的意见，提供了零信任数据安全原则，并给出了实施指导和风险管理方法，旨在帮助联邦机构保护其敏感数据资产，并降低数据泄露和其他安《关于在欧盟全境实现高度统一网络安全措施指令中提出所有关键实体应实施零信任安全模型，包括身份验证、授权和访问控制等措施，并制定了执《零信任架构设计原则》积极响应美国零信任战略，为政企机构实NCSC《零信任:构建混合资产为解决零信任不兼容问题提出建构一种新9通过零信任代理和托（VPN）两种方法实现其访问，同时保持整个系统零信任的安全优势《2023-2030年网络安全将零信任作为网络安全的核心战略，保护部《网络与安全战略》采用零信任等新方法要求相关机构实现从边界防护向零信任安2.国内加大政策推动，多层级标准建立产业规范《北京市“十四建立健全与智慧城市发展相匹配的数据安全治理体系，探索构建零信任框架下的数据访问安全机制。强化对数据专区的安全管控，在深化数据融合《山东省“十四动先进适用网络安全技术产品在金域的部署应用，打造网络安全融合创《湖南省“十四推动网络安全产品研发升级及新技术应用推广。开展面向移动互联网、政务、车联网等场景的网络安全风险监界防护等领域网络安全产品研发迭代升级，推广零信任体系、软件定义边《数字辽宁发展终端安全等信息安全基础和应用产品。打造网络安全软件产业园区，建设省级网络安全产业基地，创建国内工业互联网安全创新中心、大数据安全协同应用创新实验室和零信任工程《江苏省“十四置等安全软件技术水平，加强针对安智能、物联网等领域网络安全软件研信任、安全智能编排等网络安全新技术，打造全方位覆盖的信息安全软件区《数字广西发展“十四五”规划》等技术，通过重构安全技术和安全管理两大体系，建设广西数字政府一体安全平台，为广西数字政府建设提供《河南省“十四业和未来产业发支持郑州建设省信息安全产业示范基态防御、可信计算、零信任等关键技联网、车联网等新兴领域信息安全产《北京城市副中心元宇宙创新发加快安全芯片、零信任网络、可信计《2022年长宁区及数据调阅留痕追溯、网状系统持续平稳运行监测、上线应用安测软测等《迪庆州“十四健全政务外网终端一机两用安全管理体系，采用统一管控模式构建安全管理框架，为终端部署零信任客户端软件，通过多网切换功能选择访问互联网还是迪庆州电子政务外网，实现互联网与迪庆州电子政务外网的网络隔《福建省数字政府改革和建设总建立基于零信任理念的数字身份与访字政府身份与权限管理体系。依托国产自主可控的软硬件，加强终端自主服务边缘等新技术在各业务场景的应动和闭环管理，夯实政务网络安全基《山东省数字基础设施建设行动方案（2024-2025推动数据灾备全覆盖，积极探索拟态闭环协同管理机制，筑牢关键基础设《山西省数字政建立跨网数据传输机制，依托“零信进行有效的安全准入控制、数据隔离和终端安全基础防护，实现政务部门终端设备在电子政务外网公共服务域国家标准方面，我国网络安全领域首个规范零信任理念的国家标准第二章零信任供应侧调研观察：稳步发展并持续创新（一）供应侧的零信任能力与生态愈发成熟1.零信任能力供应方向愈发清晰），以提供增强型IAM（IdentityandA与2022年调研结果对比发现，越来越多零信任供应侧企业进入一是超九成零信任供应侧企业能提供本地化部署。91.7%的企业可以担忧。二是近九成零信任供应侧企业能提供SaaS化产品。86.1%的能是零信任供应侧企业做本地化解决方案更多2.零信任产品联动能力呈缓慢进步趋势8零信任有端模式下，终端均会集成基本终端安全功能，如终端环境检测、终端安全基与2022年相比提升了9.2%。有16.7%的全产品联动，与2022年相比减少4.7%。有22.2%的供应侧企业仅支近六成零信任供应侧企业的零信任产品支持与用户已有的安全提供的安全管理产品联动，与2022年相比降低5.1%。与身份产品联（二）零信任安全保障能力持续提升，新场景的应用已落地1.围绕待保护对象，供应侧持续提升零信任产品能力保障核心资产是当前企业实施零信任的主要驱动。报告调研了根基，41.7%的用户使用零信任保护基础设施和工作负载，通过划分限管理，满足服务调用需求并防止未经授权代码人员是否具备相应权限。零信任正积极与SAST（Static2.零信任在新场景的应用展现独特优势制定的安全设计与零信任原则存在一定程度的非严格映射关系，在网中的网元分解为多个NF（Network默认被防火墙隐藏，NF消费者正式发起通信NF提供者为该消费者开启对应的安全策略，并允许该（三）新兴技术相互赋能，为安全提供持续的创新动力1.零信任赋能先进技术强化安全防护手段的资产IP，用于指向资产管理系统对未知IP进一步扫描，从而发现利用区块链底层P2P组网技术和混合通信协议处理异构设备间的通信。然而，区块链本身对物联网设备的接入没有强制身份验证要求，备身份，实现分散身份验证。在区块链上建立多个分散的身份中心，每次设备接入认证时，都将通过其中的某个身份中心独立验证身份，2.人工智能赋能零信任有效应对更复杂的网络安全威胁22.2%的企业利用自然语言处理进行安全分析，系统能识别人类语言意图，自行处理威胁并生成安全报告，给出分析第三章零信任应用侧调研观察：理性选择并期许未来（一）用户更理性选择零信任并制定务实的目标统技术改造复杂以及难以利旧仍然是用户落地零信任排名前三的挑解决方案的成熟度是用户选择零信任供应侧企业时的首要考量网关形成映射表，应用层可以在向应用发起的HTTP报文中插入客特殊行业用户对零信任供应侧企业以咨询方式在部署前期介入的（二）以体系化防护为核心的平台化零信任获市场青睐零信任的实施与防火墙等安全标件的部署不同，需要与用户针对系统以及安全产品具备丰富的API，首先实现安全工具间的联（三）用户落地零信任见效后对使用体验有更多期许期，策略发布前经过多轮审批，并且支持策略的一致性检查和回滚；另一方面是网关状态监控，如果策略升级过程中资源占用超过阈值，第四章零信任发展展望“零信任+AI”将持续激发网络安全领域技术创新活力。根据美元增长到640亿美元，网络安全将成为AI支出增长最快的细分市零信任供应侧与应用侧企业可从四方面找到实一是利用AI生成基于业务场景的策略集，令零信任策略贴合业