CISA零信任成熟模型2.0完整解读 _CISA

2021年5月，拜登签署E.O. 14028“提高国家网络安全防御能力” ，要求政府所有部门必须在60天内给出实现零信任架构的计划。为此，网络安全和基础设施安全局（CISA）在2021年9月发布了零信任成熟度模型（ZTMM）1.0预览草案；近期， CISA再次发布了新版ZTMM 2.0草案，尽管该ZTMM是根据行政命令EO 14028的要求专门为联邦机构量身定制的，但所有组织都应审查并考虑采用下文中概述的方法。
诞生背景最近的网络事件凸显了联邦政府及大型企业在确保网络安全方面所面临的广泛挑战，并表明传统方法已不足以保护国家免受网络威胁。在领导国家努力理解、管理和降低网络风险的过程中， CISA必须迎接新的挑战，使用清晰、可操作、基于风险的方法来保护联邦行政部门。
在制定和修订本指南时， CISA参考了联邦政府发布的以下ZTA材料：

管理和预算办公室M-22-09——该备忘录提出了一个联邦政府零信任架构战略，要求各机构在2024财年（FY）结束之前达到特定的网络安全标准和目标，以强化政府在抵御日益复杂和持续的威胁活动方面的能力。该战略强调了企业身份验证和访问控制（包括MFA），要求在可行的情况下尽早加密所有网络流量，为建立自动化的安全访问规则基础提供支持，并将每个应用程序视为可从互联网访问。
NIST SP 800-207——NIST SP（国家标准与技术研究院特别出版物） 800-207为企业安全架构师描述了零信任概念，以帮助理解民用非机密系统的零信任架构，并提供了在企业环境实施零信任迁移的路线图。SP 800-207是多个联邦机构之间合作的产物，并由联邦首席信息官委员会监督。
国防部零信任参考架构——国防部（DoD）的零信任参考架构描述了以数据为中心的企业标准和能力，可用于成功推进国防信息网络（DoDIN）向互操作的零信任最终状态的发展。
NSA拥抱零信任安全模型——NSA（国家安全局）的“拥抱零信任安全模型”解释了零信任安全模型的优势和实施挑战，讨论了制定详细策略、投入必要资源、改进实现的成熟度以及全面致力于零信任模型以实现预期结果的重要性。该文件对考虑采用零信任模型的网络安全领导者、企业网络所有者和管理员将大有裨益。

零信任概念 NIST在SP 800-207中为零信任和ZTA提供了以下定义：
“零信任提供了一系列概念和思想，旨在最大限度地减少策略实施中的不确定性，以便在面对被视为受损的网络时，基于每个请求为信息系统和服务实施准确的、最低权限访问策略。ZTA是企业采用零信任理念制定的网络安全计划，包括组件关系、工作流规划和访问策略。因此，零信任企业作为ZTA计划的产物，包含网络基础架构（物理和虚拟）和运营策略两大部分。”
《SP 800-207》强调，零信任的目标是“防止对数据和服务的未授权访问，同时使访问控制的实施尽可能细粒度。”类似地，国家安全电信咨询委员会（NSTAC）将零信任描述为“一种网络安全策略，其前提是任何用户或资源都不能被隐性信任，而是假定妥协已经发生或即将发生，因此，不应该通过位于企业边界的单一验证机制授予用户访问敏感信息的权限。相反地，每个用户、设备、应用程序和会话都必须持续地进行验证。”
零信任代表了从“以位置为中心”的模型向“以身份、上下文和数据为中心”方法的转变，并随时间推移在用户、系统、应用程序、数据和资产之间进行细粒度的安全控制。因此，采用ZTA是一项至关重要的工作，这种转变为支持安全策略的开发、实现、执行和演进提供了必要的可见性。从根本上说，零信任可能需要组织在其网络安全理念和文化上做出变革。
需要明确的是，通往零信任的道路是一个逐步的过程，可能需要数年才能完成。最初，实施零信任所需的技术和服务可能会导致企业的成本增加，但从长远来看，零信任向最关键数据和服务进行的精准投资，将使安全投资更加明智，而非在整个企业范围内采用“一刀切”的安全投资。