中国信息通信研究院云计算与大数据研究所（后简称：中国信通院云大所）联合中国通信标准化协会云计算标准和开源推进委员会就零信任领域开展研究，并对业内40+零信任供应侧企业开展问卷调研，对10+零信任供应侧和应用侧企业开展专题访谈（后简称“调研结果”），观察如下。

　　近年来我国各省市在数字建设与发展规划中均强调零信任安全技术的运用。一是强化关键领域数据安全，从北京市的智慧城市行动纲要，到山东省、湖南省、辽宁省等多地的数字发展规划，均明确提出探索或应用零信任机制以增强数据安全与网络防护，各地政策不仅强调探索零信任安全机制，还积极推动其在金融、政务、工业互联网等关键领域的部署应用Ag真人国际，。二是提升数据安全防护效能，福建省、河南省等地区计划建设基于零信任的数字身份与访问管理安全设施，并积极推动这一新技术在各业务场景中的实际应用，通过持续的技术优化和场景适配，不断提升数据安全防护的效能与智能化水平。

　　为落实国家网络信息安全相关要求，我国已从多层级开展零信任标准研究。国家标准方面，我国网络安全领域首个规范零信任理念的国家标准GB/T 43696-2024《网络安全技术 零信任参考体系架构》，2024年11月1日正式施行Ag真人国际，。行业标准方面，由中华人民共和国工业和信息化部发布的行业标准《零信任安全技术参考框架》、《面向云计算的零信任体系 第1部分：总体架构》、《面向云计算的零信任体系 第2部分：关键能力要求》、《面向云计算的零信任体系 第3部分：安全访问服务边缘能力要求》和《面向云计算的零信任体系 第6部分：数字身份安全能力要求》均以发布并实施。我们也基于行标开启了零信任相关能力检验，累计有14家企业的产品通过零信任安全能力检验，1家企业的产品通过零信任数字身份安全能力检验，1家企业通过零信任应用成熟度能力检验。

　　中国信通院云大所调研了我国零信任供应侧企业提供的解决方案情况，调研结果显示，16.7%的零信任供应侧企业可提供微隔离，94.4%的企业可提供 ZTNA（Zero Trust Network Access，零信任网络接入），55.6%的企业可提供 ZTAA（Zero Trust Application Access，零信任应用接入），38.9%的企业可以提供增强型IAM（Identity and Access Management，身份和访问管理），其中零信任对网络流量的安全防护可以分为南北向防护和东西向防护两类。2024年调研结果与2022年对比显示，越来越多零信任供应侧企业进入 ZTNA 赛道，微隔离存在巨大的市场空白。

　　零信任的跨领域赋能，不仅促进了技术间的深度融合与创新，还提升了复杂应用场景下安全防护能力，展现出显著增值效益。一是零信任强化物联网的安全。以电力行业和汽车行业为例，电力行业使用零信任可以应对弱信息化设备运维时的风险，汽车行业使用零信任可以应对智能联网汽车不同组件间数据交互时的安全风险。二是零信任赋能5G核心网的安全。通过收敛5GC SBA（Service Based Architecture，服务化架构）暴露面、对NF（Network Function，网络功能）进行多源评估、加密NF间通讯、为NF设置最小权限授权等方法实现5GC内在的安全。

　　一是赋能面向风险的漏洞管理。微隔离技术可以精准的学习到云工作负载间的流量，提供细粒度的全网连接信息，从而识别有多少人访问了有漏洞的资产，用以评估该漏洞风险等级，辅助用户做好策略。二是赋能区块链实现链上设备的身份化。区块链本身对物联网设备的接入没有强制身份验证要求，引入零信任理念改造区块链网络，首先赋予设备不可篡改的身份，然后在区块链上建立分散的身份中心，其次强制身份验证，最后实现持续地验证。

　　零信任+AI引起业界广泛关注，近七成零信任供应侧企业已经将AI技术应用于零信任中，如图所示，主要应用于四方面：一是AI令访问主体综合评估更加全面，利用AI对数据的处理能力，引入更多评估源；二是AI能扩大威胁检测的范围， AI能将访问主体的属性，与流量和访问行为数据进行关联，能够处理更复杂的、无规则的信息理；三是AI强化威胁预测的能力， AI能依据过往的历史攻击数据和威胁行为构建预测模型，提前识别威胁；四是AI提高安全分析和决策的效率，识别人类语言意图，自行处理威胁并生成安全报告，给出分析和安全决策建议。

　　一是用户能够更理性选择零信任并制定务实的目标。用户选购零信任时会更多的考虑解决方案的成熟度，并按需在零信任部署前期引入咨询，拥有良好的预期管理，对零信任的期望更为务实。二是以体系化防护为核心的平台化零信任更获用户青睐。用户认为一体化的零信任方案与自身业务贴合度更高，对于集成式的零信任，其运行需充分融入用户业务体系，对零信任系统集成能力提出更高要求。三是用户落地零信任见效后对使用体验有更多期许。用户认为零信任持续化的风险识别与认证能力存在提升空间，同时对零信任的非功能性需求提出愿景，期望获得使用体验的提升。

　　根据Forrester的报告，到2025年，AI软件市场规模将从2021年的330亿美元增长到640亿美元，网络安全将成为AI支出增长最快的细分市场。当前，零信任供应侧企业已经开始尝试使用AI赋能零信任，未来，零信任与AI的结合将迎来更多市场机遇，零信任供应侧与应用侧企业可从四方面找到实际落点。一是利用AI生成基于业务场景的策略集，令零信任策略贴合业务。二是针对办公场景生成小AI模型，提升零信任策略判定速度。三是利用大模型辅助零信任完成T+1分析。四是利用大模型来降低零信任系统操作运维的复杂程度。我们也将紧跟AI发展趋势，2025年上半年将启动零信任+AI系列标准的制定，欢迎感兴趣的专家与我们联系！

　　孔松，中国信息通信研究院云计算与大数据研究所开源和软件安全部副主任，主要从事云安全、零信任等领域研究和政策支撑工作，牵头编写ITU-T标准、IEEE标准、通信行业标准等十余项标准。

　　吴倩琳，中国信息通信研究院云计算与大数据研究所工程师，主要从事零信任、云安全等领域研究和政策支撑工作，牵头编写“面向云计算的零信任体系”系列标准，以及零信任相关报告、专利、论文等。

　　吴诗浩，中国信息通信研究院云计算与大数据研究所工程师，主要从事云安全责任共担、零信任等领域研究和政策支撑工作。

　　侯庆茹，中国信息通信研究院云计算与大数据研究所工程师，主要从事云上远程运维安全、零信任等领域研究和政策支撑工作。

　　本文为澎湃号作者或机构在澎湃新闻上传并发布，仅代表该作者或机构观点，不代表澎湃新闻的观点或立场，澎湃新闻仅提供信息发布平台。申请澎湃号请用电脑访问。ag真人国际中国官方网站，ag真人国际中国官方网站，