零信任能力成熟度模型白皮書釋出！內附下載資源
摘要：華為雲重磅釋出全球首個《華為雲零信任能力成熟度模型白皮書》，向行業展示了華為雲安全的新能力和新突破。
10月16-17日，2021“天府杯”國際網路安全大賽暨國際網路安全高峰論壇在成都舉行，華為雲作為主辦單位之一，同期舉辦了華為云云原生安全論壇。論壇上，華為雲重磅釋出全球首個《華為雲零信任能力成熟度模型白皮書》，向行業展示了華為雲安全的新能力和新突破。
華為雲安全總經理曹志源釋出白皮書
白皮書指出，隨著雲端計算、大資料等技術廣泛應用，企業網路邊界逐漸模糊，同時外部網路攻擊以及非授權訪問、誤操作、資料洩露等內部威脅層出不窮，傳統的基於邊界的安全防護手段已逐步失效。秉承“永不信任，始終驗證”原則的零信任模型被證明可有效地解決上述問題，成為網路安全發展的新趨勢。
華為雲在零信任能力演進過程中，識別到零信任實施是一項系統性的工程，並非通過部署單一網路架構或技術產品即可完成，需要長期規劃和建設，包括明確零信任建設戰略願景，匹配所需資源，制定建設路線圖等。在此背景下，華為雲借鑑業界已有的零信任理念，融合自身在網路安全與隱私保護方面的理解與實踐，構建了零信任能力成熟度模型，並以此制定了《華為雲零信任能力成熟度模型白皮書》，旨在將零信任成熟度評估從理論層面落實到用於指導實操的具體框架，提供可落地的成熟度評估操作指引，幫助企業識別當前零信任的成熟度等級，併為企業下一階段零信任能力演進的戰略規劃提供指導。
該白皮書具備以下核心亮點：
深度解讀華為雲零信任能力成熟度模型架構
整合業界主流的零信任理念，並融合華為零信任落地實踐經驗，將零信任從理念層次落實到具體的能力框架。華為雲零信任成熟度模型的架構分為三部分：零信任安全領域、零信任能力維度和零信任成熟度等級。三者的關係示意圖如下：
在零信任安全領域，涵蓋人員安全、裝置安全、網路安全、工作負載/應用安全、資料安全5大領域。在業界已有評估領域的基礎上，該模型進一步細化零信任5大能力支柱至20個關鍵安全領域，從組織建設到技術工具等多個能力維度衡量零信任能力，並形成可量化的度量指標，旨在保障評估的全面性和準確性。
在零信任能力維度，除了技術能力，該模型還可評估組織建設、制度流程及資料運營等管理能力，從而更全面地衡量零信任能力。
- 組織建設:零信任相關組織的崗位設定、職責劃分和人員能力建設;
- 制度流程:零信任相關管理要求以及制度流程的建立和落地執行;
- 技術工具:管理要求以及制度流程落地所需的技術手段和產品工具;
- 資料運營:用於衡量零信任管理和技術能力有效性的資料指標的建立和優化。
在零信任能力成熟度等級，該模型為所有關鍵安全領域均制定了具體的度量指標，可量化評估各個領域以及整體的零信任能力成熟度等級，並指引未來發展目標的制定。
- 零信任能力成熟度等級量化評分。每個關鍵安全子域的零信任能力成熟度等級均可量化評分，從而明確企業目前零信任能力成熟度水平等級。
- 零信任能力成熟度視覺化呈現。通過雷達圖等方式全域性化地呈現20個零信任核心子領域的成熟度評分，從而可明確當前零信任能力短板與優勢，並指導企業規劃未來重點提升領域。
分享華為雲零信任實踐
華為雲通過內部實踐不斷優化該成熟度模型，並將內部使用的零信任相關應用孵化成面向客戶的產品和服務。華為雲零信任解決方案，圍繞以身份為中心，通過動態訪問控制及細粒度授權，對應用、資料等資源進行保護，構築華為雲端到端自適應安全能力。關鍵能力結構圖如下：
在零信任成為網路安全發展新趨勢的大背景下，華為雲希望籍此白皮書釋出，將華為雲內部已實踐落地的零信任能力成熟度模型分享給客戶及業界，共同探討零信任能力成熟度評估方法，推動行業零信任能力建設。同時，華為雲將持續釋出零信任相關產品和服務，持續提升華為雲安全防護能力，助力客戶業務合規與安全。