全文字不多 阅读5分钟
2022年2月23日，总统国家安全电信咨询委员会（NSTAC）投票通过了一份致拜登总统的零信任报告《零信任和可信身份管理》。CISA（网络安全和基础设施安全局）在其官网上发布了该报告。
在此前1个月（2022年1月26日），拜登政府发布了《联邦政府零信任战略》，对政府机构在两年半内实施零信任做出计划要求。
NSTAC报告总体上做了两方面工作：
一是给出了零信任实施模型。即先通过DAAS（数据、应用程序、资产、服务）来定义保护面，然后采用五步流程法实施零信任。其中，使用Kipling方法编写零信任策略，使用成熟度模型来度量零信任进展。
二是提出了零信任实施的长期建议。为什么是“长期”？因为NSTAC认为：联邦政府零信任战略虽然名为“战略”，但只是关注了两年半的短期行为。而对于未来十年的考量，却存在疏忽。而NSTAC报告正是为了填补这一长远考量的空白。
人有近忧又有远虑。笔者从联邦政府零信任战略和这份NSTAC报告中，看到了深深的焦虑：如果说，联邦政府零信任战略解决了两年半内的短期焦虑——给出了任务矩阵；那么，NSTAC报告旨在解决两三年后的长期焦虑——提出了24条建议和9条关键建议。
注：NSTAC报告的PDF文档有56页，译文大概3.5万字。报告原文下载地址，参见本文图1下方。
2.零信任实施模型（方法论）
3.报告建议条目
4.九项关键建议
5.报告详细目录
图1-报告首页
报告原文地址：
https://www.cisa.gov/sites/default/files/publications/NSTAC%20Report%20to%20the%20President%20on%20Zero%20Trust%20and%20Trusted%20Identity%20Management.pdf
总统国家安全电信咨询委员会（NSTAC）的职责是向总统办公厅（EOP）提供基于业界的分析和建议，说明政府如何制定政策或采取行动，以加强国家安全和应急准备（NS/EP）通信。
-
商业信息和通信技术供应链中的软件保障。
-
零信任和可信身份管理。
-
信息技术（IT）和运营技术（OT）的融合。
2）战略延续
3）主要内容
-
第0章：概述报告摘要；
-
第1章：回顾美国联邦政府零信任战略；
-
第2章：介绍零信任实施模型，主要包括五步流程和成熟度模型；
-
第3章：提出建议，解决联邦政府零信任战略实施的障碍；
-
第4章：提出建议，解决非联邦实体零信任战略实施的障碍；
NSTAC总结了一套零信任实施模型，本质是零信任实施方法论。它基于保护面的概念，采用五步流程法来实施零信任，并使用成熟度模型来度量零信任进展。
保护面：是零信任策略保护的区域。
-
每个保护面都包含单个DAAS（数据、应用程序、资产、服务）元素。
-
每个零信任环境可以包含多个保护面。
-
零信任架构则以“每个保护面”为基础进行构思，由内而外设计，从保护面开始向外移动。
-
数据：如果泄露或误用，会造成最大风险的敏感数据。示例包括支付卡信息、受保护的健康信息、个人身份信息、知识产权。在政府背景下，还包括机密信息、国家安全信息、受控非密信息。
-
应用程序：使用敏感数据或控制关键资产的应用程序。
-
资产：包括组织的信息技术（IT）、运营技术（OT）、物联网设备。
-
服务：组织最依赖的服务。示例包括域名系统（DNS）、动态主机配置协议（DHCP）、目录服务、网络时间协议（NTP）、定制的应用程序编程接口（API）。
2）梳理零信任实施五步流程
图2-零信任实施五步流程（极简版）
表3-零信任实施五步流程（含可量化进度指标）
3）给出零信任成熟度模型
联邦零信任战略中引用了CISA零信任成熟度模型。笔者对比了NSTAC零信任成熟度模型与CISA零信任成熟度模型，发现主要区别是：
-
成熟度维度不同：CISA模型的成熟度划分为3个阶段，即传统、高级、最优；而NSTAC模型的成熟度划分为5个阶段，即初始、可重复、定义、管理、优化。
-
另一个维度不同：CISA模型的另一个维度是五大支柱，即身份、设备、网络、应用程序工作负载、数据；而NSTAC模型的另一个维度是五步流程，如图2和图3所示。
4）使用Kipling方法编写零信任策略
-
Who：应该允许谁访问资源？
-
What：允许断言的身份用于访问资源的应用程序是什么？
-
When：何时允许断言的身份访问资源？
-
Where：资源位于哪里？
-
Why：为什么允许用户（Who）访问资源？
-
How：流量访问资源时应如何处理？
5）给出了零信任成熟度模型的示例
-
24条建议：除了粗体标记的条目（即5个标题），其它所有条目正好构成24条建议。
-
9条关键建议：以绿色标记的条目，是报告声称的最关键的9条建议。
3.1. 解决监督问题并建立成熟度指标
3.1.1. 通过零信任战略实施的进度指标，加强问责制
3.1.2. 通过进度指标，提高透明度并支持持续改进
3.1.3. 成立工作组，为关键联邦企业基础设施服务开发零信任成熟度模型
3.2. 解决治理障碍和促进因素，以实现联邦对零信任的持续承诺
3.2.1. 将零信任原则纳入联邦网络安全政策
3.2.1.1 阐明零信任战略与FISMA要求之间的一致性
3.2.1.2 自动化FISMA合规任务
3.2.2. 将零信任实践纳入联邦网络安全技术计划
3.2.2.1 利用CISA网络安全部门的计划和服务
3.2.2.2 明确将CISA的CDM(持续诊断和缓解)计划与零信任对齐
3.2.2.3 建立一个民间零信任项目办公室
3.2.2.4 优先创建CISA共享安全服务，以发现互联网可访问资产
3.2.2.5 在拟定的民用和国防零信任计划办公室之间建立协同关系
3.2.3. 将零信任实践纳入联邦网络安全预算和采购流程
3.2.3.1 扩大采购工具的范围
3.2.3.2 鼓励各部门和机构为零信任确定额外资金
3.2.3.3 在联邦技术采购中传达对零信任的支持
3.3. 解决技术障碍和促进因素，以实现联邦对零信任的持续承诺
3.3.1. 在特别出版物中评估零信任生态系统技术互操作性
3.3.2. 鼓励采用云计算
3.3.3. 探索新的可信身份管理方法
4. 发挥联邦政府在激励非联邦零信任采纳方面的作用
4.1. 提高和维系公众意识
4.2. 制定和完善标准和指南，包括国际标准和指南
4.3. 在为IT安全现代化提供的联邦拨款中激励零信任
4.4. 在联邦采购中考虑对零信任的偏好
4.5. 考虑监管救助行动
0. 执行摘要
0.2 关键结论的摘要
0.3 建议的摘要
0.4 九项关键建议的详细信息
1. 介绍零信任和美国联邦政府的零信任战略
1.1. 零信任的历史和基本原则
1.2. 零信任和联邦政府的网络安全战略
2. 零信任实施的业界标准和最佳实践
2.1. 零信任实施的业界模型
2.1.1. 零信任实施的五步流程
2.1.2. 零信任成熟度模型
2.2. 促进零信任的业界技术能力
3. 解决联邦政府零信任战略实施的障碍和促进因素
3.1. 解决监督问题并建立成熟度指标
3.1.1. 通过零信任战略实施的进度指标，加强问责制
3.1.2. 通过进度指标，提高透明度并支持持续改进
3.1.3. 成立工作组，为关键的联邦企业基础设施服务开发零信任成熟度模型
3.2. 解决治理障碍和促进因素，以实现联邦对零信任的持续承诺
3.2.1. 将零信任原则纳入联邦网络安全政策
3.2.2. 将零信任实践纳入联邦网络安全技术计划
3.2.3. 将零信任实践纳入联邦网络安全预算和采购流程
3.3. 解决技术障碍和促进因素，以实现联邦对零信任的持续承诺
3.3.1. 在特别出版物中评估零信任生态系统技术互操作性
3.3.2. 鼓励采用云计算
3.3.3. 探索新的可信身份管理方法
4. 发挥联邦政府在激励非联邦零信任采纳方面的作用
4.1. 提高和维系公众意识
4.2. 制定和完善标准和指南，包括国际标准和指南
4.3. 在为IT安全现代化提供的联邦拨款中激励零信任
4.4. 在联邦采购中考虑对零信任的偏好
4.5. 考虑监管救助行动
5. 结论
附录A. 零信任成熟度模型
附录B. 零信任成熟度模型的示例：目录服务
附录C. 成员和参与者
附录D. 缩略词
附录E. 定义
附录F. 参考文献
原文始发于微信公众号（网络安全观）：致美国总统的零信任报告
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论