编者按
标准化，是为了在肯定的范畴内获得最佳秩序，经协商一致制订并由公认机构批准，独特应用和重复使用的一种规范性文件。这是三大国际标准组织 ISO、IEC、ITU 独特给规范下的定义。在任何畛域，某项技术想要具备行业乃至世界影响力，“标准化”是必不可少条件。
作者：Misfire
日前，网络安全行业最为火爆的零信赖理念迎来了由腾讯牵头的寰球首个国际标准——《服务拜访过程继续爱护指南》。这意味着零信赖理念及相干技术在寰球范畴内首次建设了对立的话语体系和实际标准，将推动寰球零信赖产业迈向更加凋谢和健全的生态合作模式，进一步夯实寰球数字经济倒退的平安底座。
十年摸索实际 零信赖已成公认将来倒退方向
零信赖的概念起源于十年前，Forrester 分析师约翰·金德维格指出了“默认信赖是平安的致命弱点”这一事实，并提出了不再以一个清晰的边界来划分信赖或不信赖的设施；不再有信赖或不信赖的网络；不再有信赖或不信赖的用户的核心理念。
而零信赖真正开始被宽泛认知，来自于谷歌的 BeyondCorp 我的项目。彼时，随着云技术越来越遍及，大量员工在外网办公，大量手机、PAD 等新设施呈现，外协、长期员工的退出，使得边界变得没有意义。谷歌破除内外网概念，通过与设施为核心的认证、受权工作流，实现员工任何地点对资源的拜访，谷歌的做法也成为了泛滥企业发展零信赖实际的参考。
时至今日，传统网络边界曾经隐没殆尽，零信赖理念也被更多行业、组织认为是解决新时代网络安全问题的“万全之策”。尤其是通过 2020 年疫情的催化，让零信赖需要进一步暴发。
腾讯企业 IT 平安架构师蔡东赟示意：“从平安趋势上看，内网平安基于边界的平安曾经不是那么颠扑不破，数字化办公倒退导致没有边界内网。外围的暴发点还是来自于疫情带来的物理隔断，大家近程办公，这是最根本的实用场景，人们曾经不得不应用零信赖架构。”
据出名咨询机构 Gartner 曾预测，到 2023 年，60% 企业会逐渐淘汰虚构专用网（VPN）形式，采纳零信赖网络拜访来进行的近程计划，从政府组织到商业实体，零信赖架构在寰球范畴内迅速扩张。
目前美国政府曾经正式开启零信赖策略。2021 年 5 月，美国总统签订了行政命令，强制要求政府部门全面迈向零信赖架构。在随后的《2022 财年预算案》中，美国国防部要求拨款 6.15 亿美元用于与零信赖网络安全架构相干的工作。
在资本市场，海内已有多家零信赖 SaaS 公司上市。其中的龙头企业 Okta，股价在过来四年间翻了十倍，市值从 2017 年上市首日的 21 亿美元，达到现在的 390 亿美元。
在国内，泛滥平安厂商也纷纷布局零信赖。其中，腾讯自 2016 年起在外部自主设计、落地零信赖平安管理系统——腾讯 iOA，在多年的实际锻炼中，零信赖平安治理计划实现了内网零事变的战绩，尤其是在 2020 年初疫情期间，腾讯 iOA 系统安全反对腾讯外部 7 万名员工和 10 万台服务终端跨境、跨城办公需要。
从理念到落地 对立标准规范是重中之重
“通过十余年的技术倒退以及疫情近程平安办公利用需要的催化，零信赖曾经从概念走向了施行落地阶段，接下来企业用户最关注的其实是零信赖如何落地的问题。”零信赖产业规范工作组首席规范专家刘海涛示意。对于大多数企业来说，零信赖架构的“落地”机会和办法仍然存在诸多疑虑和争议。
首先零信赖并不是一种具体的技术，而是一种理念，实现零信赖有多种框架和门路，同时在市场的热推下，有许多平安产品都打着零信赖的幌子进行宣传，这导致许多企业对零信赖平安认知比拟割裂，且千差万别。
腾讯平安团队在对外输入零信赖平安实际时就遇到了这样的问题。“大家认为的零信赖基本不是一码事。有人感觉这就是 IAM，有人感觉零信赖是动静口令，有人说是数据沙盒，甚至有拿上网行为管理系统的技术指标说要投标零信赖产品。”
另外，零信赖的落地须要对现有的平安体系进行革新，客户从原有网络架构降级到零信赖架构，齐全重构老本极高，且许多机构的平安建设已有多年积攒，在进行零信赖革新时，对于如何与企业现有平安架构、平安产品 / 设施联合，充沛利旧，具备强烈的诉求。
腾讯企业 IT 平安架构师蔡东赟示意：“去适配每个客户千差万别的协定标签会十分麻烦。通过标准化以及生态协同的助力，推动接口联动，将大大晋升服务商和客户之间的单干效率，防止走弯路，同时还能缩小后来者进入行业的难度，促成产业继续凋敝。”
最初，从平安厂商的角度来说，零信赖平安生态建设，不可能由一个公司或者某几个公司齐全主导，要施展整个行业的力量。“行业须要对立的规范为各个厂商确定技术边界，服务商各自施展本人善于的技术并进行深入研究，促成整个生态的倒退。”上海派拉软件研发总监茆正华说道。
从“继续验证”到“继续爱护”不止换个词那么简略
从理念到落地，零信赖的将来倒退不齐全是技术或产品层面的问题，它同时跟企业的经营、布局、长期倒退的治理强相干，并且是一个继续优化的过程。技术与业务需要将双轮驱动零信赖产品的将来倒退，制订汇聚产业共识的标准规范将能更好的促成产业协同倒退。
通常来说，规范往往须要具备权威、普适、迷信、实用四个个性。首先，必须由行业认可的权威机构批准公布；其次，制订要通过利益相干方充沛协商，并听取各方意见；另外，规范来源于人类社会活动，其产生的根底是科学研究和科技进步的成绩，是实践经验的总结；最初制订目标是为了解决事实问题或潜在问题，在肯定的范畴内获得最佳秩序，实现最大效益。
此次由腾讯牵头的寰球首个零信赖国际标准《服务拜访过程继续爱护指南》，由国内三大规范机构之一的 ITU- T 批准公布，在后期规范立项以及二次问难过程中，均禁受了泛滥世界顶尖平安专家的审查，具备充沛的权威性和普适性。
从科学性上来说，《服务拜访过程继续爱护指南》源自于腾讯等多家中国企业落地零信赖的最佳实践经验及技术总结。就腾讯而言，其自 2016 年就开始在外部开展零信赖实际，多年来实现了内网平安零事变并胜利禁受了疫情考验，与此同时腾讯零信赖解决方案曾经在政务、医疗、交通、金融等多个行业胜利利用，反对百万终端设备的平安接入。
最初，从实用性上，首个零信赖国际标准的建设，对零信赖理念及相干技术在世界范畴内的遍及无疑具备重要的推动作用。而且，基于中国特色的零信赖实际总结，此次规范公布还推动了零信赖理念从“继续验证”到“继续爱护”外延的降级。
具体来看，规范提出的零信赖平安理念外围局部，突破了传统基于网络区域地位的特权拜访保护方式，重在继续辨认企业用户在网络拜访过程中受到的平安威逼，放弃拜访行为的合理性，以不信赖网络内外部任何人 / 设施 / 零碎，基于继续的身份认证和平安评估对拜访进行受权管制，实现对拜访主体、拜访链路、拜访客体（服务）的整个拜访过程的多维度继续平安爱护。
例如，在近程工作场景、拜访多云服务场景、服务器与服务器之间通信的三大典型利用场景中，“继续爱护”使得用户不须要保护多个拜访接口，即可实现应用一个拜访控制策略来治理不同的云的资源，还能防止诸如分布式拒绝服务（DDoS）攻打等各类型网络攻击。部署“继续爱护”具备诸多劣势，包含有助于做出更准确的受权决定，放大服务器的攻击面，兼顾更好的用户体验和更强的安全性等。
标准化的过程自身就意味着生态的建设，面对产业互联网时代更加严厉的平安挑战，平安行业仍然须要更加体系化的平安规范，来促成生态共建，放慢构筑新一代网络安全体系。为产业数字化夯实平安根底，仍然任重而道远。