2023年底,工业和信息化部发布2023年第38号中华人民共和国工业和信息化部公告,正式批准发布YD/T 4574-2023《零信任安全技术参考框架》(下面简称《参考框架》),这是由工作组成员腾讯牵头提案、多个工作组单位联合研制的首个国家部委批准发布的行业标准,意味着行业今后在产业技术的发展升级、改善品质服务、降低部署成本等层面,都将“有标可依”。
《参考框架》于2019年正式通过中国通信标准化协会CCSA权威专家组评审并成功立项,此次获批填补了国内在零信任领域的技术标准空白。
从今以后,国内终于有了零信任的标准化定义,根据TD/T 4574-2023标准,零信任是指:一组围绕资源访问控制的安全策略、技术与过程的统称。从对访问主体的不信任开始,通过持续的身份鉴别和监测评估、最小权限原则等,动态调整访问策略和权限,实施精细化的访问控制和安全防护。
本标准适用于零信任安全系统的设计、开发和使用,给出了零信任安全技术参考框架,包括基本原则、技术框架、工作过程、核心功能模块等内容的要求,对于行业构建高质量网络安全架构和网络安全设施具有重要意义。
本标准主要解决零信任网络安全技术的标准化、规范化等问题,帮助用户基于标准化的方式来评估其安全态势,重构网络与安全应用。其核心内容主要包括零信任网络访问主体、访问客体和零信任安全系统(零信任安全控制中心和零信任安全代理)三部分:其中,访问主体可通过现有的第三方安全产品/服务等方式接收并响应零信任安全系统的指令,向零信任安全控制中心上报安全状态,并通过安全代理与访问客体通信。
同时,明确了零信任安全系统是实现零信任安全技术的相关产品、服务或其组合;零信任安全控制中心具备对整个访问过程的持续安全监测、信任评估和动态更新访问控制策略等功能;零信任安全代理具备访问流量的重定向和保护等功能;访问主体能否对访问客体进行访问,取决于零信任安全系统的持续安全监测、信任评估和授权决策,访问主体对访问客体的访问,不允许绕过零信任安全系统。
评论1
创新前沿
欢迎光临创新前沿的网站