符合CISA零信任成熟度模型 - 合规性满足_揽阁信息科技（上海）有限公司

符合CISA零信任成熟度模型 - 合规性满足

发布日期：2026-11-09　　浏览次数：

符合CISA零信任成熟度模型 - 合规性满足(图1)

网络安全成熟度模型（Zero Trust Maturity Model）是美国网络安全和基础设施安全局（CISA）于 2023 年 4 月发布的 2.0 版，包含身份、设备、网络、应用与工作负载、数据五大基础支柱，以及可视性与分析、自动化与编排、治理三项跨领域能力。每个支柱内部都提供了实现传统、初始、高级与最优四级零信任架构所需的具体措施，并与管理和预算办公室（OMB）备忘录 M-22-09 所阐述的联邦零信任架构战略对齐，要求各机构在 2024 财年末前达成特定目标。

Thales 的解决方案可帮助组织应对该模型在应用安全、数据安全与身份及访问管理上的各项要求，通过简化合规流程并实现安全自动化，减轻安全与合规团队的负担。

零信任是什么

按照美国国家标准与技术研究院（NIST）SP 800-207 的定义："零信任是一组不断演进的网络安全范式术语，其将防护重心从静态的、基于网络的边界转向关注用户、资产与资源。"为建立零信任准则，NIST 与网络安全和基础设施安全局（CISA）考察了联邦网络是如何被保护的，以及全行业范围内这些网络中的数据与资产是如何被保护的。NIST 与 CISA 的结论是：大多数机构在很大程度上依赖其基于边界的防御措施——例如防火墙、VPN——来控制对网络的初始访问。然而，一旦用户获得网络访问权限，其活动并未得到良好的监控或追踪。

传统的边界安全措施通常认为一旦进入网络内部的所有用户都是可信的——包括威胁行为者与恶意内部人员。零信任通过假定网络内外不存在任何可信实体，帮助机构防止数据泄露并保护资产。零信任认识到：在安全领域，信任本身就是一个漏洞。

隐式信任——边界防护的问题

数字化转型极大扩展了机构的网络边界。随着机构开始在整个网络中提供更多服务——云存储、SaaS 应用、对数据与资源的远程访问等——信任边界也随之扩大。当数据以及需要访问数据的用户移出传统边界之外时，对数据的访问控制与保护就变得更加困难。依赖边界安全已不再有效。

从不信任，始终验证

当应用从核心交付到云端再到边缘，用户无处不在、多设备并行使用时，依赖单一信任点的能力已不可持续。所有交互本质上都是有风险的，因而需要采取"从不信任、始终验证"的立场。默认情况下，组织内部的所有交易都应被视为不可信（默认拒绝访问），访问与交易应基于用户或实体是谁、以及他们在访问何种资源——从而消除基于位置的访问控制这一过时的要求（即判断用户是在网络边界之外还是之内）。

CISA 零信任成熟度模型

网络安全和基础设施安全局（CISA）于 2023 年 4 月发布其《零信任成熟度模型》2.0 版。CISA 表示："该成熟度模型包含五大支柱与三项跨领域能力，建立在零信任的基础之上。在每个支柱内部，成熟度模型提供了实现传统（traditional）、初始（initial）、高级（advanced）与最优（optimal）零信任架构所需的具体措施。"CISA 零信任成熟度模型最新版本与管理和预算办公室（OMB）备忘录 M-22-09 更好地对齐——该备忘录阐述了联邦政府的零信任架构战略，并要求各机构在 2024 财年末前达成特定目标。

CISA 零信任成熟度模型不仅为政府机构提供框架，也为私营部门组织提供框架，帮助其通过零信任加强防止未授权访问其技术基础设施与信息资源的努力。

CISA 零信任成熟度模型分为零信任的五大基础支柱：身份、设备、网络、应用与工作负载，以及数据。每个支柱都包含与成熟度等级（传统、初始、高级、最优）相对应的要求。

Thales 零信任解决方案

Thales 的解决方案可帮助组织满足 CISA 零信任成熟度模型的要求：通过简化合规流程并实现安全自动化，减轻安全与合规团队的负担。围绕 CISA 零信任成熟度模型 2 的关键网络安全风险管理要求，Thales 在多个支柱上提供覆盖，涉及应用安全、数据安全与身份及访问管理。

支柱 1：身份（第 5.1 节）

身份是零信任架构（ZTA）的基石。CISA 零信任成熟度模型将身份定义为唯一描述某个用户或实体（包括非人员实体）的属性或属性集合。该成熟度模型指出：组织应确保并强制用户与实体在正确的时间、以正确的目的访问正确的资源，而不授予过度权限。

组织应在整个企业范围内尽可能整合身份、凭据与访问管理解决方案，以强制执行强认证、授予基于上下文的定制化授权，并评估用户与实体的身份风险。组织应在适当情况下整合其身份存储与管理系统，以增强对企业身份及其相关职责与权限的认知。

多因素认证

Thales 提供端到端的访问管理与认证平台，满足 CISA 零信任成熟度模型身份支柱的全部要求。借助 Thales OneWelcome 身份平台，组织获得一个集中化的、基于风险的访问平台，支持广泛的强多因素认证（MFA）与基于风险的认证，无论服务、应用与环境托管于云端、本地还是云上，均可加以保护。

Thales 提供最广泛的认证方法与形态，使组织能够应对众多用例，涵盖认证、物理访问、数字签名与加密。Thales OneWelcome 身份平台是一个企业级身份系统，支持广泛的认证方法，包括：

PIV 卡
FIDO2 设备
虚拟 PKI 智能卡
PKI 智能卡与 USB 认证器
面向美国政府网络设计的高保障智能卡与令牌
双因素推送 OTP，结合生物特征、上下文与基于风险的认证
双因素 OTP 硬件认证器
上下文／自适应认证
基于风险的认证

抗钓鱼多因素认证

Thales 提供大型抗钓鱼认证方法组合，涵盖 PIV 卡、FIDO 设备以及基于证书的智能卡与 USB 令牌。Thales 还提供将 PKI 与 FIDO 认证合并于单一设备中的方案，使组织能够向 FIDO 迁移，或按需同时保留两种方式。

访问管理

Thales SafeNet Trusted Access 员工访问管理方案具备强大的策略引擎，可设置极为灵活的访问策略。SafeNet Trusted Access 在组织应用资产范围内提供访问事件的单一视图，确保正确用户以正确信任级别访问正确应用。它允许组织借助 MFA（包括抗钓鱼认证）与细粒度访问策略，在虚拟（或逻辑）层面限制对机密资源的访问。

安全策略支持创建高度颗粒化与具体的规则，以便在开放会话期间持续重新评估用户，而非仅在诸如认证超时等特定事件发生时评估。若风险等级发生变化，SafeNet Trusted Access 会强制用户重新认证或提升至更强形式的认证。策略可按应用设置，应用于网络范围、操作系统、用户集合与地理位置。认证规则可按需设为动态且具备上下文特异性，以适应动态云环境中的变化。

客户身份与访问管理

客户身份与访问管理（CIAM）管理组织外部身份的访问，例如客户、零工、供应商或合作伙伴的身份。Thales OneWelcome 身份平台在所有客户接触点提供一致的身份体验，使组织能够在安全与可用性之间取得平衡，为大规模客户提供无摩擦的体验——无论其所在位置、所使用的设备或应用。CIAM 平台可处理最复杂的本地、国家与国际数据隐私及保护法规，从而使组织在复杂的受监管市场中蓬勃发展。

客户入驻与身份验证

身份核验在零信任框架中至关重要，因为该框架要求持续且稳健的终端用户验证。Thales 的 CIAM 身份验证能力通过 OneWelcome 身份平台，运用先进工具区分真实用户与深度伪造、欺骗企图——涵盖呈现攻击与注入攻击两种场景。通过将生物特征核验、证件验证、活体检测与行为生物识别相结合，Thales 确保符合零信任"从不信任、始终验证"原则的高强度身份保证。该平台还运用自适应认证与实时风险分析，在检测到异常时提升安全措施级别，有效阻止 AI 生成的欺诈同时保持顺畅的用户体验。

支柱 2：设备（第 5.2 节）

接入组织网络的设备——无论是组织自有设备还是自带设备（BYOD）——其完整性必须得到验证。必须阻止未授权设备访问网络与数据。

硬件安全模块（HSM）

无论解决方案涉及设备证明、可信平台模块、安全启动还是类似的设备完整性技术，都始终涉及设备身份这一概念。Thales Luna HSM（硬件安全模块）是所有此类解决方案的基础要素，通过生成安全设备身份或对身份相关数据进行密码学签名来发挥作用。

策略执行与合规监控

Thales 数据库活动监控提供数据库漏洞评估能力，帮助组织确保数据库得到安全配置——无论其运行于硬件、虚拟环境、云环境还是以数据库即服务形式运行。DISA STIG 或互联网安全中心（CIS）数据库基准等安全检查清单，作为预置的扫描策略随附提供，另有数十种自定义的数据库漏洞扫描策略。漏洞评估可配置为按计划自动执行，输出结果可在详细报告与仪表板中呈现。扫描结果还可与工单系统集成，进一步增强组织管理并有效修复发现项的能力。

支柱 3：网络（第 5.3 节）

CISA ZTA 建议组织"推动安全从传统的以边界为中心的方法转向，使组织能够管理内外部流量、隔离主机、强制加密、划分活动段，并增强企业范围的网络可视性。"

网络加密

Thales 高速加密（HSE）方案通过配备嵌入式零接触加密密钥管理、端到端认证加密并采用标准算法的专用加密设备，提供高保障加密。Thales HSE 有虚拟设备与独立硬件设备两种形态，性能从 100 Mb 到 100 Gb 不等。Thales HSE 适用于以下环境：

大数据应用
数据中心互联
"超大规模"园区网络环境
云计算服务"骨干网"
高速网络链路聚合
大规模城域网与广域网安全

Thales HSE 特性：

经认证的安全性。 Thales HSE 通过 FIPS 140-2 L3、Common Criteria、NATO、DoD 信息网络认可产品清单（DoDIN APL）认证。方案支持基于标准的端到端认证加密与客户端密钥管理。高级安全特性包括流量流安全、广泛的椭圆曲线支持（Safe Curves、Brainpool、NIST）。基于 VLAN 的加密在中心辐射型环境中为每条链路提供唯一密钥对，防止配置错误流量带来的风险。针对高保障环境，加密器还支持嵌套加密。
传输无关模式。 Thales HSE 重新定义了网络加密市场，是首个提供传输无关模式（TIM）——网络层无关（覆盖 OSI 第 2、3、4 层）且协议无关的传输中数据加密的方案。
完全互操作。 单一平台可用于集中管理单链路或分布式网络中的加密器。
密码敏捷性。 Thales HSE 方案具备密码敏捷性，意味着它们支持可定制的加密，覆盖广泛的椭圆曲线与自定义曲线支持。Thales HSE 已利用量子密钥分发（QKD）与量子随机数生成（QRNG）能力，为数据安全做未来-proof 准备。

硬件安全模块

Thales Luna HSM 通过在高保障的硬件信任根中生成并存储私钥，保护 SSL/TLS 会话——这是传输中数据安全的关键协议。Luna HSM 同样具备密码敏捷性，能够支持广泛的加密标准，并定期更新，确保今天部署的硬件能够应对明天的加密挑战。

支柱 4：应用与工作负载（第 5.4 节）

CISA 指出：组织应管理并保护其已部署的应用，并应确保应用交付安全。细粒度访问控制与集成的威胁防护可提供增强的态势感知并缓解应用专属威胁。DevSecOps 与 CI/CD 流程的最佳实践——包括使用不可变工作负载——也应在可能的情况下予以采用。组织应探索将运营重心从认证边界与更新 ATO 转向以对待外部暴露应用的方式支持应用并提供同等安全防护。

访问管理方案

Thales SafeNet Trusted Access 通过确保正确用户以正确信任级别访问正确资源，保护应用及其背后的数据。机构可通过设置细粒度策略实施控制，使获授权的个人能够高效完成工作。机构可监控用户访问权限及每次登录相关的风险，仅在用户上下文变化且风险等级令人担忧时才应用提升式认证。

应用安全

Thales Imperva 应用安全赋能组织在保护应用、缓解风险的同时提供最优用户体验。Thales 部署集成的纵深防御模型，提供从应用到终端用户的分层安全执行方法。

Thales 提供 Web 应用防火墙（WAF）方案（本地部署或虚拟设备形态的 WAF Gateway），防御包括 SQL 注入、跨站脚本、非法资源访问与远程文件包含在内的全部 OWASP Top 10 威胁。用户流量的检查与执行在 Imperva 全球 PoP 网络上进行，每个 PoP 同时也是 DDoS 清洗中心。WAF 与 API Security 的策略与特征依据实时众包情报以及 Imperva Research Labs 安全专家的成果保持更新。

Imperva API Security 通过深度发现与分类为所有 API 提供持续保护，检测出全部公开、私有与影子 API，同时防御业务逻辑攻击及 OWASP API Top Ten 中的诸多其他威胁。这一易于部署的方案赋能安全团队实施主动式的 API 安全模型。

Thales Attack Analytics 是 Imperva 应用安全的关键组成部分，通过将数百万条安全告警提炼为优先级排序的安全洞察来对抗告警疲劳。它给出改进安全态势的推荐行动，帮助您认知并降低网络风险。

Thales Imperva 应用安全提供强大的 DDoS 防护与高级 Bot 防护，在恶意流量有机会抵达网站之前即予消除。针对网站、DNS 服务器与单个 IP 提供常开防护，针对网络提供常开或按需防护。其近零延迟并由 3 秒服务等级协议（SLA）支撑的网络防护，在不干扰合法流量的情况下缓解 DDoS 流量。高级 Bot 防护通过指纹识别与客户端分类判定流量来自人、良性 Bot 还是恶意 Bot，执行迅速准确且误报率极低，保护网站、移动应用与 API 免受全部 OWASP 21 类自动化威胁侵害，包括账号接管、网页抓取、业务逻辑滥用与欺诈。

客户端侧防护进一步帮助组织保护 Web 应用的各个环节并确保数据安全与隐私。它缓解外泄敏感数据的客户端攻击风险——此类攻击可导致破坏性且代价高昂的数据泄露。通过提供清晰的可见性与可执行的洞察与简便的控制，客户端侧防护赋能安全团队轻松判定每个服务的性质并阻断任何未获批准的服务。

数据保护与密钥管理

CipherTrust Data Security Platform（CDSP/数据安全平台）是一套以数据为中心的安全解决方案集成套件，统一了数据发现与分类、数据保护，并提供前所未有的细粒度访问控制，全部配有集中式密钥管理。除提供本文后续详述的以数据为中心的安全方案外，CDSP 还与工作负载集成以提供认证、访问控制与可视性。

面向 DevSecOps 的应用数据保护

CISA 同时建议组织将零信任原则应用于应用的开发与部署。

CipherTrust 应用数据保护支持 DevOps 与 DevSecOps 的快速演进需求，目标是实现软件快速演进与安全性的理想结合。它为应用级密钥管理与敏感数据加密提供易用而强大的软件工具。该方案足够灵活，可加密几乎任何经由应用流转的数据类型。应用层数据保护可提供最高级别的安全性，因为它可以在数据创建或首次处理时立即生效，并可在其整个数据生命周期状态中保持加密——无论传输、使用、备份还是复制期间。

CipherTrust 应用数据保护可部署于物理、私有或公共云基础设施，即使数据在环境之间迁移也能保持安全，且无需修改既有加密或数据处理策略。

CipherTrust 应用数据保护与 CipherTrust Manager 一同部署，后者是一种跨多个应用、环境或站点集中管理密钥与策略的架构。组合方案提供将管理职责与数据及加密密钥访问相分离的细粒度访问控制。例如，可应用一项策略确保没有任何单一管理员能够在缺少额外审批的情况下做出关键配置变更。

CipherTrust Secrets 管理

CipherTrust Secrets（机密）管理保护并自动化对 DevOps 工具与云工作负载中关键 Secrets 的访问，涵盖 Secrets、凭据、证书、API 密钥与令牌，帮助安全与治理团队通过简化安全流程降低风险。

硬件安全模块

Thales Luna HSM 通过为软件代码签名提供安全的、基于硬件的密钥来保障应用开发安全。Luna T 系列 HSM 可配置为要求多方多因素认证才能完成代码签名请求，从而高保障地确保应用在部署前未被恶意篡改。作为经 CNSS 批准的 HSM，Luna T 系列 HSM 能够依照 CNSA 2.0 为 LMS 代码签名密钥提供硬件安全保护。

支柱 5：数据（第 5.5 节）

CISA 将数据定义为"驻留于或曾驻留于联邦系统、设备、网络、应用、数据库、基础设施与备份（包括本地与虚拟环境）中的全部结构化与非结构化文件及其片段，以及相关联的元数据。"CISA 零信任成熟度模型指出：组织的数据应依照联邦要求在设备上、应用中与网络上受到保护。

组织应对数据进行盘点、分类与标记；保护静态与传输中的数据；并部署机制以检测和阻止数据外泄。组织应精心制定并审查数据治理策略，确保数据生命周期的各项安全方面在全企业范围内得到恰当执行。以数据为中心的安全方法不仅是 ZTA 的核心组成部分，对任何网络安全基础设施而言同样至关重要。

数据发现与分类

数据发现与分类（DDC）自动发现数据资产中的全部数据存储——从结构化到半结构化再到非结构化——覆盖本地、混合、云与多云环境。随着数据资产不断增长与扩张，自动发现与分类是常规、一致地发现并分类新增或变更数据存储的唯一可靠方式——同时消除易出错且成本高昂的人工流程。DDC 可通过程序化方式识别并分类数据资产中的全部敏感数据，精确定位其位置，并为每一项资产提供基于风险的优先级排序，帮助组织规划其风险缓解计划、系统与策略。

静态数据加密

CipherTrust 数据安全平台（CDSP）是一套以数据为中心的安全解决方案集成套件，统一了数据发现与分类、数据保护，并提供前所未有的细粒度访问控制，全部配有集中式密钥管理。

CipherTrust 透明加密交付静态数据加密、特权用户访问控制与详细的数据访问审计日志。代理程序保护 Windows、AIX 与 Linux 操作系统上文件、卷与数据库中的数据，覆盖云与大数据环境中的物理与虚拟服务器。安全情报日志与报告简化合规报告，并通过领先的安全信息与事件管理（SIEM）系统加快威胁检测。

CipherTrust 应用数据保护通过 API 交付密钥管理、签名、哈希与加密服务等密码学功能，使开发者能够轻松保护应用服务器或大数据节点上的数据。该方案附带受支持的示例代码，使开发者能够快速着手保护其应用中处理的数据。CipherTrust 应用数据保护加速定制化数据安全解决方案的开发，同时将密钥管理的复杂性从开发者的职责与掌控中剥离。此外，它通过仅由安全运营团队管理的密钥管理策略，强制执行严格的职责分离。

CipherTrust 令牌化提供托管与免保管两种形态，可帮助降低遵守 PCI-DSS 等数据安全要求所需的成本与复杂度。令牌化以代表性令牌替换敏感数据，使经净化的数据与数据库及未授权用户和系统保持分离与安全。免托管形态包含基于策略的动态数据掩码。两种形态都让将令牌化加入应用变得简单。

CipherTrust 数据库保护方案将数据库中敏感字段的数据加密与安全、集中化的密钥管理集成，无需改动数据库应用。CipherTrust 数据库保护方案支持 Oracle、Microsoft SQL Server、IBM DB2 与 Teradata 数据库。

CipherTrust Manager 是该平台的中央管理点。它是业界领先的企业级密钥管理方案，使组织能够集中管理加密密钥、提供细粒度访问控制并配置安全策略。CipherTrust Manager 管理包括生成、轮换、销毁、导入与导出在内的密钥生命周期任务，为密钥与策略提供基于角色的访问控制，支持稳健的审计与报告，并提供便于开发与管理的 REST API。

Thales Luna HSM 是组织在存储、保护与管理用于保护敏感数据与关键应用的加密密钥时的首选。Luna HSM 各型号在受控且高度安全的环境中提供加密信息的安全存储。所有 Luna HSM 型号均可由客户初始化，通过多因子（PED）认证或密码认证来保护专有信息。

数据库活动监控

Thales 数据库活动监控提供持续监控，捕获并分析来自应用账户与特权用户账户的全部结构化数据存储活动，提供详细审计轨迹，说明访问的何人、何事、何时、从何处以及此类访问的影响（查询、修改、删除），以及此类访问的适当性。它统一了跨不同本地平台的审计，为关系型数据库、NoSQL 数据库、大型机、大数据平台与数据仓库提供监督。同时支持托管在 Microsoft Azure 与 Amazon Web Services（AWS）上的数据库——包括 Azure SQL 与 Amazon 关系型数据库服务（RDS）等 PaaS offerings。详细的数据活动被自动捕获，使履行合规要求以及提供立即采取行动的详细洞察都更为轻松。

文件活动监控

Thales 文件活动监控（FAM）通过使组织能够监控文件活动、检测滥用，并在整个数据资产范围内确保监管合规，增强对非结构化数据的可视性与控制力。非结构化数据涵盖从 Office 文档到聊天记录、生成式 AI 输出与医学影像的一切，约占企业信息资产的 80%。Thales FAM 的实时访问跟踪、自动化分类与 AI 驱动的洞察，可通过直观仪表板与无缝部署实现合规、发现内部人员风险，并深入洞察敏感文件活动。

风险分析与洞察

Thales 数据风险分析（CRA）与洞察运用自动化与机器学习，从组织数据存储（结构化、半结构化与非结构化）每日发生的数十亿次数据访问活动中，检测异常／潜在不当的数据访问与风险行为。它自动学习用户的正常行为——他们通常访问什么、如何使用这些数据。随后 DRA 以详细叙述形式产出可执行的洞察，标记出潜在危险的数据访问，可立即展开调查并录入 SOAR 工作流系统以进行事件响应。

跨领域能力（第 5.6 节）

可视性与分析、自动化与编排、治理这三项跨领域能力可应用于全部五大零信任支柱。CISA 将可视性与分析定义为对全面可视性的支撑，用以支撑策略决策并促进响应活动。自动化与编排能力则利用这些洞察，支撑稳健且精简的运维，以处理安全事件并在事件发生时作出响应。治理使组织能够管理并监控其法规、法律、环境、联邦与运营要求，以支持基于风险的决策。治理能力还确保合适的人员、流程与技术到位，以支撑任务、风险与合规目标。

数据可视性与分析

Thales 的数据风险分析与数据活动监控能力提供高级异常检测，运用基于用户实体分析（UEBA）检测异常数据访问。接收数据访问审计数据后，我们的方案可自动生成可执行的洞察，使安全从业者能够立即采取补救行动。

自动化与编排能力

数据安全方案与工单系统及安全事件管理器集成，自动化可疑访问事件的处置。

Thales 数据安全方案与第三方系统（如工单系统）及安全事件与事故管理器（SEIM）集成，使网络安全管理者能够自动化并有效管理所有可疑的数据访问事件。

成熟度等级对照

以下按 CISA 零信任成熟度模型的四大成熟度等级（传统、初始、高级、最优）逐项对照各支柱的功能要求。原文以 "Agency"（机构）描述各成熟度等级下的状态特征，译本统一以"机构"表述。

身份（Identity）

功能	传统	初始	高级	最优
认证	机构使用密码或多因素认证（MFA）认证身份，实体身份采用静态访问。	机构使用 MFA 认证身份，MFA 可将密码作为其中一项因子，并要求校验多个实体属性（如区域设置或活动）。	机构开始对全部身份使用抗钓鱼 MFA 与属性进行认证，包括通过 FIDO2 或 PIV 初步实施无密码 MFA。	机构持续以抗钓鱼 MFA 校验身份，而非仅在初始授予访问权时。
身份存储	机构仅使用自管的本地身份存储（即由机构规划、部署与维护）。	机构同时使用自管身份存储与托管身份存储（如云端或其他机构），存储之间集成极少（如单点登录）。	机构开始安全地整合部分自管与托管身份存储。	机构在适当情况下跨所有合作方与环境安全地整合其身份存储。
风险评估	机构对身份风险（即身份被攻破的可能性）仅作有限判定。	机构采用人工方法与静态规则判定身份风险以支撑可视性。	机构以部分自动化分析与动态规则判定身份风险，用以支撑访问决策与响应活动。	机构基于持续分析与动态规则实时判定身份风险，提供持续保护。
访问管理	机构授予永久访问权限，并对特权与非特权账户进行周期性复核。	机构授予访问权限（含特权访问请求），且访问权限会到期并自动复核。	机构授予基于需求与会话的访问权限（含特权访问请求），与具体操作和资源相适配。	机构运用自动化手段授予恰时（just-in-time）与恰足（just-enough）访问权限，与个人操作和个人资源需求相适配。
可视性与分析能力	机构采集用户与实体活动日志（尤其是特权凭据相关），并进行一些常规人工分析。	机构采集用户与实体活动日志，执行常规人工分析与部分自动化分析，日志类型之间的关联有限。	机构对部分用户与实体活动日志类型执行自动化分析，并补充采集以弥补可视性缺口。	机构通过对用户活动日志类型执行自动化分析（含基于行为分析），在全企业范围内维持全面可视性与态势感知。
自动化与编排能力	机构以人工方式编排（入职、离职与禁用）自管身份（用户与实体），集成极少，并定期复核。	机构人工编排特权身份与外部身份，并自动编排非特权用户与自管实体。	机构人工编排特权用户身份，同时自动化编排全部身份，并跨所有环境集成。	机构基于行为、注册与部署需求，跨所有环境完整集成地自动化编排全部身份。
治理能力	机构以静态技术机制与人工复核实施身份策略（认证、凭据、访问、生命周期等）。	机构定义并开始实施面向全企业执行的身份策略，自动化程度低且依赖人工更新。	机构以自动化方式实施面向全企业执行的身份策略，并定期更新策略。	机构对所有系统上的全部用户与实体实施并完全自动化全企业身份策略，达成持续执行与动态更新。

设备（Device）

功能	传统	初始	高级	最优
策略执行与合规监控	机构对设备合规性的可视性（即检查设备行为的能力）非常有限甚至没有，强制执行策略或管理软件、配置、漏洞的手段也很有限。	机构接收设备自报的特征信息（如设备上的密钥、令牌、用户等），但强制执行机制有限。	机构已具备初步的基本流程，用于审批软件使用、向设备推送更新与配置变更。	机构在初始访问设备时即获得经验证的洞察（即可检查并验证设备上的数据），并对多数设备与虚拟资产强制执行合规。机构使用自动化方法管理设备与虚拟资产、审批软件、识别漏洞并安装补丁。
资产与供应链风险管理	机构不以企业范围或跨厂商的方式追踪实体或虚拟资产，并以临时方式管理自有供应链的设备与服务采购，对企业风险的视角有限。	机构追踪全部实体资产与部分虚拟资产，并依据联邦建议以稳健框架（如 NIST SCRM）建立策略与控制基线以管理供应链风险。	机构开始通过可跨多厂商运行的自动化流程，构建实体与虚拟资产的全面企业视图，用以验证采购、追踪开发周期并提供第三方评估。	机构对跨厂商与服务提供商的全部资产具备全面、近乎实时的视图，自动化其供应链风险管理，构建可承受供应链失效的运营，并纳入最佳实践。
资源访问	机构不要求对用于访问资源的设备或虚拟资产具备可视性。	机构要求部分设备或虚拟资产上报特征信息，再据此审批资源访问。	机构的初始资源访问决策会考虑经验证的设备或虚拟资产洞察。	机构的资源访问决策会考虑设备与虚拟资产内的实时风险分析。
设备威胁防护	机构以人工方式向部分设备部署威胁防护能力。	机构具备部分自动化流程，向设备与虚拟资产部署并更新威胁防护能力，策略执行与合规监控集成有限。	机构开始将设备与虚拟资产的威胁防护能力整合至集中式方案，并将其中大部分能力与策略执行及合规监控集成。	机构已为全部设备与虚拟资产部署具备高级能力的集中式威胁防护安全方案，形成设备威胁防护、策略执行与合规监控的统一方法。
可视性与分析能力	机构采用实体标签清单与有限的软件监控定期检查设备，并进行部分人工分析。	机构在可获得时，采用数字标识符（如接口地址、数字标签）配合人工清单与设备端点监控。部分机构设备与虚拟资产接受自动化分析（如基于软件的扫描）以进行基于风险的异常检测。	机构将清单采集（包括在所有标准用户设备上的端点监控，如台式机与笔记本、手机、平板及其虚拟资产）与异常检测自动化，以识别未授权设备。	机构自动化采集所有联网设备与虚拟资产的状态，并与身份关联、开展端点监控、执行异常检测以支撑资源访问。机构追踪虚拟资产配置与注销的模式以发现异常。
自动化与编排能力	机构以人工方式在企业范围内供应、配置与／或注册设备。	机构开始使用工具与脚本，自动化设备与虚拟资产的供应、配置、注册与／或注销流程。	机构已实施监控与强制执行机制，用于识别并人工断开或隔离不合规（存在漏洞、证书未经验证、MAC 地址未注册）的设备与虚拟资产。	机构具备全自动流程，覆盖设备与虚拟资产的供应、注册、监控、隔离、修复与注销。
治理能力	机构为其传统与外围计算设备的生命周期设定部分策略，并依赖人工流程维护这些设备（如更新、补丁、清除数据）。	机构设定并执行新设备采购、非传统计算设备与虚拟资产生命周期、以及定期开展设备监控与扫描的策略。	机构设定面向全企业的设备与虚拟资产生命周期策略，涵盖其登记与问责，并具备部分自动化强制执行机制。	机构自动化全企业范围内所有联网设备与虚拟资产生命周期的策略。

网络（Network）

功能	传统	初始	高级	最优
网络分段	机构以大边界／宏分段定义其网络架构，对网络段内可达性的限制极少。机构还可能依赖多服务互联（如大流量 VPN 隧道）。	机构开始部署具备关键工作负载隔离的网络架构，将连通性约束至最小功能原则，并向服务专属互联过渡。	机构将其网络架构中更多部分扩展为端点与应用画像隔离机制，配备入口／出口微边界与服务专属互联。	机构网络架构由完全分布式的入口／出口微边界构成，并基于应用画像实施广泛的微分段，服务专属互联具备动态的恰时与恰足连通性。
网络流量管理	机构以人工方式实施静态网络规则与配置以在服务开通时管理流量，监控能力有限（如应用性能监控或异常检测），并对关键应用的画像变更进行人工审计与复核。	机构建立具备不同流量管理特征的应用画像，并开始将全部应用映射至这些画像。机构将静态规则的适用范围扩展至全部应用，并定期对应用画像评估进行人工审计。	机构实施动态网络规则与配置以优化资源，并依据自动化、风险感知与风险响应的应用画像评估与监控定期调整。	机构实施持续演进的动态网络规则与配置，以满足应用画像需求，并依据任务关键性、风险等因素对应用重新排序。
流量加密	机构仅加密极少流量，并依赖人工或临时流程管理、保护加密密钥。	机构开始加密通往内部应用的全部流量，优先加密通往外部应用的流量，正式化密钥管理策略，并保护服务器／服务加密密钥。	机构确保所有适用的内外部流量协议均已加密，管理密钥与证书的签发与轮换，并开始纳入密码敏捷性的最佳实践。	机构在适当范围内持续加密流量，在全企业范围对安全密钥管理强制执行最小权限原则，并尽可能广泛地纳入密码敏捷性最佳实践。
网络韧性	机构以个案方式配置网络能力，仅匹配单个应用的可用性需求，对未被判定为任务关键的工作负载韧性机制有限。	机构开始配置网络能力以管理更多应用的可用性需求，并扩展对未被判定为任务关键的工作负载的韧性机制。	机构已配置网络能力，以动态管理其多数应用的可用性需求与韧性机制。	机构在适应全部工作负载可用性需求变化中整合整体交付与感知，并提供相称的韧性。
可视性与分析能力	机构引入有限的、以边界为中心的网络监控能力与最少量的分析，开始构建集中式态势感知。	机构运用基于已知入侵指标（含网络枚举）的网络监控能力，在各环境中构建态势感知，并开始跨流量类型与环境关联遥测数据以进行分析与威胁狩猎活动。	机构部署基于异常的网络检测能力，在全部环境中构建态势感知，开始关联多来源遥测数据进行分析，并纳入自动化流程以开展稳健的威胁狩猎活动。	机构在全部机构网络与环境中维持通信可视性，同时实现企业范围的态势感知与高级监控能力，跨所有检测来源自动关联遥测数据。
自动化与编排能力	机构以人工流程管理其网络与环境的配置与资源生命周期，仅定期整合策略要求与态势感知。	机构开始对部分机构网络或环境采用自动化方法管理配置与资源生命周期，并确保全部资源依据策略与遥测数据具有明确生命周期。	机构运用自动化变更管理方法（如 CI/CD）管理全部机构网络与环境的配置与资源生命周期，响应并强制执行策略与针对所感知风险的防护。	机构网络与环境以基础设施即代码定义，由自动化变更管理方法管理，包括自动启动与到期，以对齐不断变化的需求。
治理能力	机构实施静态网络策略（访问、协议、分段、告警与修复），方法聚焦于边界防护。	机构定义并开始实施针对各网络段与资源的定制化策略，同时适当继承企业范围规则。	机构在实施定制化策略中纳入自动化，并推动从以边界为中心的防护过渡。	机构实施企业范围网络策略，支撑定制化的本地控制、动态更新，以及基于应用与用户工作流的安全外部连接。

应用与工作负载（Application and Workload）

功能	传统	初始	高级	最优
应用访问（原访问授权）	机构主要基于本地授权与静态属性授权应用访问。	机构开始实施面向应用的访问授权能力，按请求纳入上下文信息（如身份、设备合规性与／或其他属性）并设置到期时间。	机构自动化应用访问决策，扩展上下文信息并强制执行符合最小权限原则的到期条件。	机构持续授权应用访问，纳入实时风险分析以及行为或使用模式等因素。
应用威胁防护（原威胁防护）	机构的威胁防护与应用工作流集成极少，仅针对已知威胁应用通用防护。	机构将威胁防护纳入任务关键应用工作流，针对已知威胁与部分应用专属威胁应用防护。	机构将威胁防护纳入全部应用工作流，防护部分应用专属威胁与定向威胁。	机构将高级威胁防护纳入全部应用工作流，提供实时可视性与内容感知防护，应对针对应用的复杂攻击。
可访问的应用	机构仅通过专用网络与受保护的公共网络连接（如 VPN）向部分任务关键应用提供访问，并进行监控。	机构通过中介连接，向有需要且获授权的用户开放部分适用的任务关键应用，使其可通过开放的公共网络访问。	机构按需向获授权用户开放其大部分适用的任务关键应用，通过开放的公共网络连接访问。	机构在适当情况下按需向获授权的用户与设备开放全部适用应用，通过开放的公共网络访问。
安全应用开发与部署工作流	机构拥有临时搭建的开发、测试与生产环境，代码部署机制不稳健。	机构为开发、测试与生产环境（含自动化）提供基础设施，并通过 CI/CD 流水线与配套访问控制建立正式代码部署机制，以支撑最小权限原则。	机构对开发、安全与运维采用分工明确且协同的团队，同时取消开发人员对生产环境的代码部署访问权限。	机构在可行处利用不可变工作负载，仅允许通过重新部署使变更生效，并以自动化代码部署流程取代管理员对部署环境的访问权限。
应用安全测试（原应用安全）	机构在部署前执行应用安全测试，主要依靠人工测试方法。	机构开始使用静态与动态（即应用正在运行）测试方法，在应用部署前开展包含人工专家分析在内的安全测试。	机构将应用安全测试纳入应用开发与部署流程，包括定期采用动态测试方法。	机构在全企业范围内将应用安全测试贯穿整个软件开发生命周期，并对已部署应用执行常规自动化测试。
可视性与分析能力	机构对任务关键应用执行部分性能与安全监控，聚合与分析能力有限。	机构开始自动化应用画像（如状态、健康度与性能）与安全监控，以改进日志采集、聚合与分析。	机构对多数应用自动化画像与安全监控，运用启发式方法识别应用专属与企业范围趋势，并随时间改进流程以弥补可视性缺口。	机构对全部应用执行持续与动态监控，以维持企业范围的全面可视性。
自动化与编排能力	机构在开通时以人工方式确定静态应用托管位置与访问方式，维护与复核有限。	机构定期修改应用配置（包括位置与访问方式）以达成相关安全与性能目标。	机构自动化应用配置以响应运营与环境变化。	机构自动化应用配置，以持续优化安全与性能。
治理能力	机构主要依赖人工强制执行应用访问、开发、部署、软件资产管理、技术引入时的安全测试与评估（ST&E）、打补丁与跟踪软件依赖等策略。	机构开始基于任务需求（例如借助软件物料清单 SBOM）自动化应用开发（包括对开发基础设施的访问）、部署、软件资产管理、技术引入时的 ST&E、打补丁与软件依赖跟踪的策略强制执行。	机构在全企业范围实施分层、定制化策略，涵盖应用及应用开发与部署生命周期的各个环节，并在可能处运用自动化以支撑强制执行。	机构完全自动化管理应用开发与部署的策略，包括通过 CI/CD 流水线为应用纳入动态更新。

数据（Data）

功能	传统	初始	高级	最优
数据清单管理	机构以人工方式识别并盘点部分机构数据（如任务关键数据）。	机构开始为本地与云环境自动化数据盘点流程，覆盖大部分机构数据，并开始纳入防数据丢失保护。	机构在全企业范围自动化数据盘点与追踪，覆盖全部适用机构数据，并基于静态属性与／或标签实施数据丢失防护策略。	机构持续盘点全部适用机构数据，并采用稳健的数据丢失防护策略，动态阻断疑似数据外泄。
数据分类	机构仅具备有限且临时性的数据分类能力。	机构开始实施具备明确标签与人工强制执行机制的数据分类策略。	机构以一致、分层、有针对性的方式自动化部分数据分类与标记流程，采用简单结构化格式并定期复核。	机构在全企业范围自动化数据分类与标记，运用稳健技术、颗粒化结构化格式，并具备覆盖所有数据类型的机制。
数据可用性	机构主要从本地数据存储提供数据，辅以部分异地备份。	机构从冗余、高可用的数据存储（如云端）提供部分数据，并为本地数据维护异地备份。	机构主要从冗余、高可用的数据存储提供数据，并确保可访问历史数据。	机构采用动态方法优化数据可用性（含历史数据），依据用户与实体需求提供。
数据访问	机构通过静态访问控制管理用户与实体对数据的访问（如读取、写入、复制、授权他人访问等权限）。	机构开始在全企业范围部署纳入最小权限要素的自动化数据访问控制。	机构自动化数据访问控制，考虑身份、设备风险、应用、数据类别等多种属性，并在适用情形下设置时限。	机构在全企业范围自动化动态的恰时与恰足数据访问控制，并持续复核权限。
数据加密	机构仅加密极少量静态与传输中数据，并依赖人工或临时流程管理、保护加密密钥。	机构加密全部传输中数据，并在可行处加密静态数据（如任务关键数据与存储于外部环境的数据），开始正式化密钥管理策略与保护加密密钥。	机构在最大可能范围内加密全企业的静态与传输中数据，开始纳入密码敏捷性，并保护加密密钥（即密钥不硬编码且定期轮换）。	机构在适当处加密使用中数据，在全企业范围对安全密钥管理强制执行最小权限原则，并尽可能采用最新标准与密码敏捷性施加加密。
可视性与分析能力	机构对数据（包括位置、访问与使用）的可视性有限，分析主要由人工流程构成。	机构基于数据清单管理、分类、加密与访问尝试获得可视性，并具备部分自动化分析与关联。	机构以更全面、企业范围的方式维持数据可视性，具备自动化分析与关联，并开始采用预测性分析。	机构在完整数据生命周期上具备可视性，配备包括预测性分析在内的稳健分析，以支撑机构数据的全面视图与持续安全态势评估。
自动化与编排能力	机构通过人工（且可能是临时）流程实施数据生命周期与安全策略（如访问、使用、存储、加密、配置、防护、备份、分类、清除）。	机构采用部分自动化流程实施数据生命周期与安全策略。	机构主要通过自动化方法，在全企业范围以一致、分层、有针对性的方式对大部分机构数据实施数据生命周期与安全策略。	机构在全企业范围对全部机构数据尽可能自动化其生命周期与安全策略。
治理能力	机构依赖临时性数据治理策略（如针对保护、分类、访问、盘点、存储、恢复、清除等），并以人工方式实施。	机构定义高层数据治理策略，主要依赖人工的分段实施。	机构开始将数据生命周期策略强制执行整合进全企业范围，使数据治理策略的定义更为统一。	机构的数据生命周期策略在最大可能范围内统一，并在全企业范围动态强制执行。

跨领域能力（Cross-Cutting Capabilities）

功能	传统	初始	高级	最优
可视性与分析	机构以人工方式采集全企业范围内有限的日志，保真度低且分析极少。	机构开始为关键任务功能自动化日志与事件的采集与分析，并定期评估流程中的可视性缺口。	机构将日志与事件的自动化采集扩展至全企业范围（含虚拟环境），实施跨多来源关联的集中式分析。	机构通过集中式动态监控与日志事件的深度分析，在全企业范围维持全面可视性。
自动化与编排	机构依赖静态与人工流程编排运维与响应活动，自动化程度有限。	机构开始为支撑关键任务功能而自动化编排与响应活动。	机构在全企业范围自动化编排与响应活动，利用多来源上下文信息支撑决策。	机构的编排与响应活动能够动态响应全企业范围不断变化的需求与环境变化。
治理	机构以临时方式在全企业范围实施策略，策略通过人工流程或静态技术机制强制执行。	机构定义并开始实施面向全企业执行的策略，自动化程度低且依赖人工更新。	机构实施分层、定制化的全企业策略，并在可能处运用自动化以支撑强制执行。访问策略决策纳入多来源上下文信息。	机构实施并完全自动化全企业策略，支撑定制化的本地控制、持续执行与动态更新。

Thales 解决方案与 CISA 零信任架构支柱对应

数据安全（Data Security）

产品线	产品	所支撑的架构领域
物理保护——信任根（HSM、密钥管理）	Luna HSM	物理保护·信任根、数据静态保护、数据使用中保护、数据传输中保护、PKI 与认证、后量子加密
物理保护——信任根（HSM、密钥管理）	Luna as a Service	物理保护·信任根、数据静态保护、数据使用中保护、数据传输中保护、PKI 与认证、后量子加密
数据静态保护	透明加密（Transparent Encryption）	数据静态保护、数据使用中保护、数据库加密
	令牌化（Tokenization）	数据静态保护
	密钥与 Secrets 管理	数据静态保护
	机密计算（Confidential Computing）	数据使用中保护
	CipherTrust 云密钥管理器（CCKM）	数据静态保护
数据监控与治理	数据发现与分类	数据监控与治理
	数据库活动监控	数据监控与治理
	文件活动监控	数据监控与治理
	数据治理	数据监控与治理
	数据威胁情报	数据监控与治理
	数据风险分析	数据监控与治理
数据传输中保护	高速加密器（High Speed Encryptors）	数据传输中保护、网络加密
	SureDrop 安全文件共享	数据传输中保护
	Votiro 安全文件与邮件网关	数据传输中保护

身份安全（Identity Security）

类别	产品	所支撑的架构领域
认证	MFA（抗钓鱼）	认证／PKI 方案、卡片管理方案
	智能卡（PIV、CAC、FIDO2、读卡器）	认证／PKI 方案、卡片管理方案、数字签名方案
	令牌（PIV、CAC、FIDO2、NFC、OTP、生物特征）	认证／PKI 方案、卡片管理方案、数字签名方案
	中间件（SIPR、NIPR、HSPD12）	认证／PKI 方案
身份提供方（IDP）	STA（云端，目前尚未通过 FedRAMP 认证）	认证／PKI 方案
	SAS-PCE（本地部署）	认证／PKI 方案
	CIAM（商业 IAM——C2G、G2G）	认证／PKI 方案
卡／凭据管理系统（CMS）	Intercede MyID（5000 个以上凭据）	认证／PKI 方案、卡片管理方案、数字签名方案
	Versasec（5000 个以下凭据）	认证／PKI 方案、卡片管理方案、数字签名方案
	XTec CMS（云端，FedRAMP HIGH）	认证／PKI 方案、卡片管理方案、数字签名方案

端到端应用与数据安全

类别	产品	所支撑的架构领域
云 Web 应用与 API 保护（WAAP）	Imperva Web 应用防火墙（WAF）	应用安全（Imperva）
	Imperva API 管理与治理	应用安全（Imperva）
	Imperva API 安全	应用安全（Imperva）
	Imperva Attack Analytics	应用安全（Imperva）
	Imperva DDoS 防护与应用性能	应用安全（Imperva）
	Imperva 高级 Bot 防护	应用安全（Imperva）
	Imperva 无服务器防护	应用安全（Imperva）

零信任架构改进步骤

请记住，零信任是一个渐进演进的过程，而非一个一蹴而就的终点。部署零信任有多种切入方式。Thales 建议组织遵循以下步骤推进零信任架构改进：

阅读零信任指导文件——CISA、DoD、OMB 等
确定本组织的领导层与团队
排定关键应用与数据的优先次序
基于排定后的目标制定计划
执行并持续演进

实现零信任是迭代过程！

它始于身份，终于数据！

你的零信任态势将随时间不断演进与改善！

揽阁信息是Thales的重要合作伙伴，如需了解更多信息，请联系揽阁信息。

揽阁信息 · 值得您信赖的信息安全顾问！

标签：合规美国 CISA 零信任

上一篇：遵循网络安全成熟度模型认证（CMMC 2.0） - 合规性满足
下一篇：全球数据主权合规性 - 合规性满足

按合规性By Compliance