“零信任”安全技术的标准化再度提速。近日,在由中国通信标准化协会主办、腾讯承办的网络与信息安全技术工作委员会(TC8)第二十六次全会上,腾讯主导的零信任安全标准草案正式出炉,并在行业内取得共识。

随着数字化不断升级,企业资源逐渐向云端与移动端迁移,旧有网络边界逐渐消失,网络威胁日益复杂,“零信任”安全已打破纯概念,向主流安全框架发展。面对日益增长的安全变革需求,市场上不断涌现以零信任为概念的安全产品,但对于用户急需的如何规范化地重构网络,如何真正实际有效推进零信任安全网络的落地,在实施全流程中必须达到的核心安全技术要求,却一直未形成统一的指导性行业标准。

由腾讯牵头的“零信任安全技术-参考框架”正不断推进行业内零信任安全技术的标准化、规范化。在今年7月召开的中国通信标准化协会CCSA TC8 WG3第60次工作会议上,“零信任安全技术-参考框架”行业标准已通过评审并成功立项,这是自2010年国际上提出零信任模型“ZeroTrust Model”后业界迎来的首个零信任安全技术行业标准。此次会议通过了零信任安全标准草案,相应的技术框架内容也在业内达成共识,这将进一步加快零信任安全标准在行业的落地和应用。

零信任安全技术框架最新达成的行业标准草案共识主要包含访问主体、零信任安全系统(零信任安全控制中心和零信任安全代理)和访问客体三部分。其中,访问主体可通过现有的第三方安全产品/服务等方式接收并响应零信任安全系统的指令,向零信任安全控制中心上报安全状态,通过安全代理与访问客体通信。零信任安全系统是实现零信任安全技术的相关产品、服务或其组合,零信任安全控制中心具备对整个访问过程的持续安全监测、信任评估和动态更新访问控制策略等功能,零信任安全代理具备访问流量的重定向和保护等功能。访问主体能否对访问客体进行访问,取决于零信任安全系统的持续安全监测、信任评估和授权决策,访问主体对访问客体的访问,不允许绕过零信任安全系统。

　　零信任安全技术框架图

其实,腾讯早在2016年就在国内率先落地零信任安全架构,其无边界新一代企业网络正是采用了“零信任”安全架构体系。而根据腾讯自身最佳实践所推出的终端访问控制方案——腾讯终端无边界访问控制系统(iOA),可凭借可信终端、可信身份、可信应用三大核心能力,将身份安全、终端安全与链路安全形成完整闭环,确保终端在任意网络环境中都可以安全、稳定、高效地访问企业资源及数据,为企业移动办公和应用上云打造统一、安全和高效的无边界网络访问入口。

在数字技术与传统产业融合加深的背景下,腾讯一直将标准化作为改善技术协同、维护网络安全和提高效率的重要手段,努力构建“标准化+”新业态,护航产业发展。今年9月,由腾讯主导的“服务访问过程持续保护参考框架”国际标准在瑞士日内瓦成功立项,成为国际上首个零信任安全技术标准,此项标准对促进全球网络安全产业健康发展,加快零信任技术和服务快速发展与普及具有重要意义。

目前,腾讯标准化工作已渐成体系,产品和服务覆盖云安全、大数据安全、人工智能安全等多个领域。正如腾讯安全副总裁黎巍在本次大会上演讲所说,安全标准与合规性能为企业指引建设方向,腾讯安全坚持以可持续的风险合规体系服务自身业务和企业级客户。未来,腾讯将联合政、企、学、研等多方力量,共同探索互联网企业的潜能,构建“标准化+”网络安全新业态,护航产业互联网的安全发展。