零信任落地难，只有超大企业才能入局？

如果说年久失修的城堡是传统的网络安全架构，那么以国王为核心的防护理念，就是零信任。事实上，到底是推倒重来，还是传统的延续和改进，是零信任当前在落地上存在的最大的争议和难点；同时在笔者看来，这也是零信任落地最大的误解。

在产业数字化升级、业务上云的背景下，以及远程办公规模化、常态化，传统基于边界的安全防护理念难以应对当前各类安全风险。可以看到，零信任作为无边界化趋势下的新安全理念，日益成为各行业关注并认可的焦点。

因此，当前零信任的市场教育已经告一段落，用户最关注的其实是零信任如何落地的问题。

但是，零信任落地的进程似乎并不乐观。大家普遍认知上觉得零信任落地太难了，需要有很强的规划驱动和投入决心，这让很多用户不免产生疑问：是不是只有像谷歌这样的超大企业才能入局？零信任到底“跟还是不跟”？

总结业界普遍认为零信任落地的难点，笔者认为主要集中在这样几个方面：

1、难以找准落地场景。零信任面向的场景主要可以分为两大类，一是用户通过设备对业务资源的访问，用户包括员工、外包、第三方等，接入多样的终端（PC、移动端、IOT等）、应用（Web、客户端）、业务（研发设计、呼叫中心、运维等）等，组合出复杂的场景；二是业务资源之间的调用和交换。这个过程中会涉及到企业各个业务、客户的身份认证系统的对接，不仅认证接口和协议非常繁杂，用户很难厘清零信任与内部已有的多种安全能力以及大量业务的关系，同时对终端与数据的安全防护也带来了极大挑战。

2、难以改造现有安全体系。这是零信任落地当前面临的最大的挑战，也是许多用户始终无法下决心落地零信任的最大原因。在用户的概念里，零信任是一次对传统网络安全框架的推翻和颠覆，想要实现零信任，必须要从零开始。就像文章开头的国王一样，似乎解决年久失修的问题要比推倒重来更加容易、成本更低。

3、成本高、投入大，难以持续管理。既然业界普遍认为零信任是对传统网络安全框架的重构，那就难免会将零信任建设当做是一项非常巨大的工程。涉及业务杂，管理节点多，运维周期长，需要投入巨大的经济和精力成本进行建设和持续管理，将会给企业造成巨大的负担。

4、难以评估实施效果和价值。就像安全至今还在想尽办法证明自己的价值一样，零信任也需要面对这样的拷问。但零信任是一种理念而非技术，难以在落地之前用具体成果来进行评估。这样一来，作为安全人员，难以证明价值来获取项目资源；作为企业经营者，也无法获得评估来增强自己对零信任的信心，陷入了“跟不跟”的两难境地。

也难怪更有质疑声表示：“零信任只是一场炒作。”

但实事果真如此吗？这些让用户望而却步的难点真的是零信任落地的问题吗？这些问题是否无法解决？

我们需要听一听零信任落地的声音。

10月28日，“落地有声”首届零信任用户分享大会云端直播顺利举办。

大会上，云安全联盟CSA SDP和零信任工作组联席组长/AppGate首席产品官Jason Garbis献上精彩致辞，并提出了有效落地零信任的主要指导方针。

江苏银行网络安全团队负责人王心玉、零信任证券用户代表、锦江酒店(中国区)网络管理经理及IT标委会委员沈俊超、携程旅游网络技术(上海)有限公司资深系统专家李春伟等各行业零信任标杆用户代表，以及赛博谛听创始人金湘宇、持安科技CEO何艺、数世咨询创始人李少鹏等业界知名专家也纷纷出席，从多维度、多视角分析零信任落地难题，分享零信任落地的先进经验。

首先，江苏银行网络安全团队负责人王心玉结合经验，提出了“面向对象，因地制宜”的观点。他将需要管理的人员细分为“外部客户、合作方、业务人员、科技人员和外包方”，面向不同身份制定不同侧重点的安全防护策略，在业务运维、IT远程运维、数据安全等场景下，提供不同的零信任解决方案。

其次，证券用户代表则在分享中向大家展示了接入验证、统一发布、终端安全检测、动态权限控制、数据保护策略、支撑系统安全防护的零信任落地效果，呈现了一幅零信任简单有效布局远程办公的全景图，提供了一个可落地、安全可控、经济的零信任安全框架建设实践。

在圆桌环节，赛博谛听创始人金湘宇表示企业在选择零信任产品时，首先要对自身需求进行准确评估，选择符合自身需求的产品，因为他认为零信任是一种串接产品，其价值在于将各个相关技术组件有效连接，实现快速联动，显著提升安全防护能力和响应速度。

作为国内最早一批落地零信任的专家，原完美世界资深安全总监、持安科技CEO何艺对于零信任的建设深有体会，他谈到：“首先应该明确自己的需求，零信任有不同的产品模式来处理不同的场景；其次应该考虑零信任的实施成本，是否可以兼容原有安全系统，是否能贴合业务，利于用户使用，易于管理。”

近年来，携程一直在探索创新的办公方式，这个过程中，携程旅游网络技术(上海)有限公司资深系统专家李春伟则针对各种复杂的接入场景进行了相当长时间的布局考虑，他认为零信任想要成功实现落地，一定要思考零信任在产品功能上的价值，发现零信任和现有产品叠加，避免功能重复所带来的管理成本上升和用户体验下降。

在专家们的分享中，“找准需求”“结合业务”“对原有安全框架的兼容和匹配”是出现频率最高的语句，不难发现，这不仅是零信任落地的前提，同时也是已经成功落地零信任的用户一直以来遵循的基本原则。

因此，在笔者看来，零信任落地并没有想象中那么难，也并不是超大企业的专属，难的其实是企业找准场景、定好目标，让零信任与业务充分结合；而零信任的落地也不是一次对传统网络安全框架的颠覆，不能刚开始就有大投入，也不是一次性规划，而是从解决自身最重要的问题场景切入，通过踩坑积累经验，后续延展覆盖更多场景。“与原有安全建设的兼容和匹配”才是评估零信任解决方案优劣的重要指标。

那么，零信任具体应该如何“落地有声”呢？

深信服零信任业务总经理郭炳梁曾在第二届国际零信任峰会上表示，零信任落地的两大关键挑战其实在于“找准落地场景”和“厘清零信任与安全、业务的关系”。

在笔者看来，零信任其实并不复杂，如果将数据泄露的成本考虑在内，企业所需要付出的成本也不会比当前采取的措施代价更加高昂。因为从上述零信任落地的声音中我们清楚地认识到，零信任并不是对传统网络安全框架、能力的完全颠覆、推倒重来，而是基于业务场景和现有安全能力进行改造、升级和能力联动。

同时，当前零信任的产品也已经得到了极大的发展，在成熟的产品和解决方案的支持下，企业不需过多投资，就能比以往更轻松地完成部署。

零信任的确不是一项简单的工作，但他的难点却不在于产品和落地的过程，而在于企业如何“找准落地场景”并“厘清零信任与安全、业务的关系”。也就是说，零信任的落地必须是以对业务运行产生正向的作用和价值，切实解决问题为目标，零信任的应用需要基于当前的业务场景来实践，找准落地场景是零信任落地的关键，也是出发点。

因此，笔者认为，零信任的“零”更像是一种可以定义的零，意味着对企业现有场景、业务、网络、认证接口的划分，象征着将“零信任与安全、业务的关系”厘清到极致的状态，从而帮助企业顺利实现零信任的落地，完成新一代网络安全框架的转型。

对于零信任价值的评估，郭炳梁则表示，尽管不同的用户对安全价值和业务价值的衡量标准有所差异，但只要遵循“安全价值+业务价值>所需投入”这一基本原则，就能够从两者的差值中评估场景收益，从而证明零信任的价值。

但是，零信任终究关乎“信任”，如果仅做好“零”，也就是划分业务、网络而不重新考虑信任，实际上无异于增加了几个防火墙而已，并不能起到任何实际效果。然而信任问题和细分程度紧密关联，不同场景所需要的信任模型相差甚远，因此“信任”实现的基础在于“零”的定义。

归根结底，零信任成功落地的前提，就如郭炳梁所表示的那般：“找准落地场景”，“厘清零信任与安全、业务的关系”。

除此之外，零信任想要更加顺利地实现落地，不仅需要用户侧对于业务和场景的理解，还需要零信任的解决方案和产品真正逾越过“技术”的大山。

不仅要能够具有先进的技术优势，领先的产品理念，对于用户的场景有更好的理解，对传统的网络安全框架有更便捷的适配，还需要在零信任落地和后续管理的过程中，智能权限、极简运维。用轻量化的方式降低用户的建设和维护成本，用更成熟的能力帮助用户完成新一代网络安全框架的转型。

因为双向的奔赴，可以让零信任绽放更美好的结果。

从2010年首次被提出至今，零信任已近经过了11年的发展，然而在这11年里，业界最成熟的零信任落地案例和参考指南依然是谷歌在2014年发表的的6篇Beyond Corp系列论文——当然，谷歌毕竟历时三年耗费无数资源才打造出了业界最佳的零信任落地实践。

但谷歌的成功和不可复制性，却恰恰成为了零信任很“重”，落地很“难”的源头，也使得国内大量IT资源建设有限的用户在这种“重量级”的选手面前望而却步。

其实不管针对大型企业还是中型企业，零信任落地的过程都是一样的：找准场景-定义目标（投入产出比）-踩坑积累经验-延展覆盖更多场景。因此，我们需要一种更简单、更轻量化、成本更低的零信任解决方案。

在“落地有声”首届零信任用户分享大会，深信服携其零信任解决方案再一次亮相于世人面前。作为国内较早探索零信任应用的企业之一，深信服在过去几年始终致力于零信任安全解决方案和产品的研究，并打造了基于“以身份为基础，构建可信访问、智能权限、极简运维”理念的零信任解决方案。

在“技术”方面，深信服通过多因素、自适应身份认证确保身份可信，可以基于地理位置、网络环境、受信程度等因素的变化自动调整认证强度，平衡安全与体验，以“可信身份”实现更安全更便捷的自适应身份安全。

基于原有网络架构，从业务的需求场景切入，深信服通过新一代SPA机制实现网络隐身，最大程度缩小业务暴露面，降低黑客入侵风险。结合用户身份、终端、环境、可信进程和应用敏感度等，实现动态业务准入与“可信访问”，保护核心业务安全。

围绕“管理”，深信服通过“智能权限”，在终端环境、身份、行为发生变化时将自动进行动态访问控制，收缩业务访问权限，并开放API与第三方安全能力集成，实现多源信任评估，有效识别异常行为，对抗高级威胁。

基于身份的动态智能权限，实现权限、业务打破区域、位置、边界的束缚，做到以身份为动态安全边界，权限、业务随行。不仅提升了灵活性，还大大释放了生产力。

对于“投入成本”，深信服提出“极简运维”，通过轻量化的零信任安全架构，提供权限基线工具，帮助梳理复杂的业务访问权限，并借助权限自服务能力，可对接企业工单系统，大幅降低运维管理人员账号开通、权限审批等繁琐工作。

在终端侧的运维，深信服零信任解决方案则提供终端自助工具对终端环境进行扫描和一键修复，减少运维人员的排障工作量。通过极简的管理运维特性，大幅降低零信任落地实践难度，也帮助企业减少落地过程中投入的经济和精力成本。

通过逾越“技术”“管理”“投入成本”三座大山，深信服最终形成了以认证和授权构建安全的访问控制体系，将原本基于网络位置的访问控制转变为以身份为中心的访问控制。并通过新一代网络隐身、动态自适应认证、全周期终端环境检测、动态业务准入、动态访问控制、多源信任评估等核心能力，帮助用户实现流量身份化、权限智能化、访问控制动态化、运维管理极简化的新一代网络安全架构转型。

从实施效果和价值来看，截至目前，深信服零信任解决方案已经为包括三大运营商在内超过300家的政府/企业客户提供提供构建零信任安全体系的基础产品组件和整体解决方案，解决了用户内/外网访问、多分支接入、业务上云、移动办公等多种业务场景的安全接入需求，帮助政府/企业用户快速、成功地实现零信任安全架构落地。

同时，深信服零信任解决方案还入围了“2021网络安全优秀创新成果大赛”，被评为“2020世界计算机大会创新技术与产品应用”，进入了Forrester零信任「成长型供应商」象限，获得了国际权威认可，更通过了首批可信云零信任安全能力及SASE成熟度能力评估。

在“落地有声”首届零信任用户分享大会上，深信服零信任业务总经理郭炳梁表示，零信任带来的关键变化是将安全前置，与业务并驾齐驱；将事后处置，转变为事前预防。

网络安全边界的消失，是我们每个人每一天都在一点点目睹和见证的，就像国王企图修补的那座城堡，也终究会迎来彻底坍塌的那一天，只不过，是时间早晚的问题。

所以，我们需要在那一天到来之前飞快地向前奔跑，延续“边界”的思维，修筑保护企业安全新的“城堡”——这是一个以“身份基础”为核心的安全架构，要能够融入到企业运行的整个生命周期里，每一个环节当中，与企业的发展同处一个身位，最终让企业继续在“安全感”的环抱下，健康、稳定地前行。

而零信任，不再是一场炒作，它将成为下一个故事真正的主角。

在零信任落地的征途上，让我们共同见证