從美方推動零信任戰略過程看網絡安全創新的規律特點

網絡安全的發展和創新演進是十分復雜的過程，表現為理論、方法、框架、技術、產品、算法等多種能力升級迭代，涉及用戶、安全廠商、IT廠商、研究機構和政府等多類主體，包含對抗、供需、監管、合作、競爭、共享等多種復雜關系。由于這種復雜性，認識網絡安全創新規律需要從全局出發、整體分析：既總結歷史經驗教訓，又研判未來演化趨勢；既借鑒國際先進理念和成果，又立足國內實際情況。

當前，零信任成為網絡安全技術的主旋律。Gartner預測，到2023年將有60%的企業采用零信任策略；到2025年，至少70%的新增遠程部署將使用零信任網絡訪問。2022年11月，美國正式公布《國防部零信任戰略》，計劃2027財年之前實施零信任戰略，并從戰略愿景、戰略設想、戰略目標以及執行方法等多個角度對如何實施給出了體系化的指導和參考。零信任從一個模糊而理想化的設想，到提出具體支撐和實施技術，進而提出整體解決方案和戰略實施框架體系，是一個多方參與、共同創新的結果，其演進過程為分析網絡安全的創新規律提供了很好的樣本。本文以零信任為切入點，分析美方推動零信任的過程，剖析并提煉網絡安全創新的規律特點，以期為我國網絡安全的創新發展提供參考。

一、零信任的發展和演進過程

（一）理念探索階段

零信任理念最早源于2004年成立的耶利哥論壇，目的是尋求網絡無邊界化趨勢下的全新安全架構及解決方案。在這種全新的架構中，所有系統都應保護自身免受網絡威脅，并能夠處理全球范圍內的身份驗證和授權等功能，而無需每個單獨的服務器都具備以上功能。從用戶角度來看，單點登錄等功能將成為可能。2010年，約翰·金德維格（John Kindervag）首次提出了零信任這一術語，認為零信任本質是以身份為基石的動態訪問控制，即以身份為基礎，通過動態訪問控制技術，以細粒度的應用、接口、數據為核心保護對象，遵循最小權限原則，構筑端到端的安全邊界。

零信任打破了傳統網絡安全模式的防護機制，對網絡邊界安全進行全新的審視。其原則是不應該對任何外部或內部的人員、設備、應用等給予默認信任，而是基于認證、加密等安全技術本身進行信任授權。

（二）產業初步實踐階段

2011年，谷歌開始探索和實踐零信任理念，并于2014年發表關于內部零信任安全項目BeyondCorp的系列論文，闡述零信任實踐經驗。與傳統的外圍安全模型不同，BeyondCorp消除了將網絡分段作為保護敏感資源的主要機制的概念，而是將所有應用程序都部署到公共網絡，允許通過以用戶和設備為中心的身份驗證和授權工作流進行訪問。2017年BeyondCorp取得成功，驗證了零信任安全在大型網絡場景下的可行性。

2014年，國際云安全聯盟在零信任理念的基礎上提出了軟件定義邊界（SDP），并發布標準規范，進一步推動零信任的落地。SDP協議旨在提供按需、動態配置的隔離網絡（與所有不安全網絡隔離的受信任網絡），緩解基于網絡的攻擊。該協議以DoD制定并由部分聯邦機構使用的工作流程網絡為基礎，提供更高級別的安全性。SDP遵循美國國家標準技術研究院（NIST）關于加密協議的準則，可用于政府應用程序，例如支持對聯邦風險和授權管理計劃（FedRAMP）認證云網絡的安全訪問；以及企業應用程序，例如啟用對公共云的安全移動電話訪問等。

2017年，Gartner分析師提出持續自適應風險與信任評估（CARTA）的概念，與零信任相比，該策略具有更廣泛的安全視圖，但在幾個重要方面與其重疊，因此Gartner認為零信任是實現CARTA的基本步驟。隨后分析師斯蒂夫·賴利（Steve Riley）將這一概念優化為零信任，認為零信任網絡訪問（ZTNA）包括CARTA，且在不影響可用性的情況下提供最大的安全性。

2018年，Forrester分析師蔡斯·坎寧安（Chase Cunningham）提出零信任拓展生態系統（ZTX）概念，并構建這一概念演進的控制映射框架，從策略、功能、技術以及特征等維度為安全專業人員提供更詳細的參考。Forrester從2018年開始發布年度報告，探索零信任架構在企業中的應用，并對零信任廠商的能力進行系統性評估。

Gartner在2019年的市場報告中，選擇ZTNA作為主題，將其定義為一種IT安全解決方案，可根據明確定義的訪問控制策略提供對組織應用程序、數據和服務的安全遠程訪問。Gartner認為ZTNA創建了一個基于身份和上下文的邏輯訪問邊界，包括一個用戶和一個應用程序或一組應用程序。同時，Gartner表示安全和風險管理人員應將ZTNA項目作為安全訪問服務邊緣（SASE）戰略的一部分，快速擴展遠程訪問。

（三）美國政府整體作為國家戰略推動階段

近年來，美國各政府機構積極開發零信任架構，推動零信任部署，從全局視角衡量給定任務或業務流程中的潛在風險，應對這些風險所帶來的網絡安全挑戰。美國防網絡從傳統網絡安全架構向零信任架構轉變是一種必然，并且這將是一個漸進式的過程。

圖1 美方零信任全景戰略圖譜（2022年12月）

2019-2020年，美NIST連續發布兩版《零信任架構》標準草案，推動零信任向標準化進展。根據NIST的定義：零信任提供了一系列概念和思想，它假定網絡環境已經被攻陷，在執行信息系統和服務中的每次訪問請求時，降低其決策準確度的不確定性。標準中介紹了實現零信任架構的三種方案，分別是軟件定義邊界（SDP）、增強的身份權限管理（IAM）和微隔離（MSG）。SDP圍繞某一個或某一組應用創建基于身份和上下文的邏輯訪問邊界，利用基于身份的訪問控制和權限認證機制，讓企業應用和服務“隱身”。IAM是一種IT解決方案，使用身份這種唯一用戶配置文件管理用戶并將用戶安全連接到IT資源，包括設備、應用、文件、網絡等，同時限制其訪問工作內容以外的數字資產。IAM的身份管理不僅是人的身份管理，還包括設備、應用的身份管理。身份管理本身屬于網絡安全領域的一個細分方向，同時也是大多數組織實現安全和IT運營策略的核心。MSG由Gartner于2015年提出，實現方式是將數據中心內部所有的業務按照特定的原則劃分為數個微小的網絡節點，根據動態策略分析對這些節點執行訪問控制，在邏輯上將這些節點隔離開。通過細粒度的網絡隔離技術，可以跨物理網絡自定義虛擬安全邊界以及自定義基于角色的訪問控制策略，防止攻擊者入侵內部業務網絡后的橫向移動。實際上，這三種技術是對過去的VPN、4A和防火墻技術在新應用場景中的發展和升級，是自網絡安全發展初始就不斷發展演化的，并不屬于新防御技術或防御機理的范疇。

圖2 NIST零信任邏輯架構圖

2021年2月，美國國家安全局（NSA）發布關于零信任安全模型的指南《擁抱零信任安全模型》，強烈建議國家安全系統（NSS）內的所有關鍵網絡和系統都考慮采用零信任安全模型。5月，美國防信息系統局（DISA）發布《國防部零信任參考架構》，旨在增強國防部網絡安全并保持數字戰場的信息優勢。同月，拜登政府發布旨在加強國家網絡安全的行政命令（EO 14028），明確指示聯邦政府各機構實施零信任方法。9月，美國管理和預算辦公室（OMB）發布《聯邦政府零信任戰略》草案，并于2022年1月發布《聯邦政府零信任戰略》正式版本，進一步推動零信任實施。該戰略并未描述或規定一個成熟的零信任實現，但明確了零信任戰略的五大支柱和三大基石，并給出了實現每個支柱目標的分解行動。以網絡為例，其零信任安全的戰略目標包括各聯邦機構對其網絡環境中的所有DNS請求和HTTP流量進行加密，并開始執行將其邊界分解為孤立環境的計劃。具體行動計劃包括：（1）只要技術條件允許，聯邦政府機構都必須使用加密DNS解析DNS查詢。網絡安全和基礎設施安全局（CISA）的保護DNS計劃支持加密DNS請求。（2）聯邦政府機構都必須對其網絡環境中的所有Web網站和API調用流量強制實施HTTPS加密。必須與CISA合作，將其.gov域名預加載到瀏覽器中實現瀏覽器只能通過HTTPS訪問聯邦政府網站。（3）CISA將與FedRAMP管理辦公室合作，評估聯邦政府范圍內可行的電子郵件加密解決方案，并向OMB提出建議。（4）聯邦機構必須與CISA協商，制定一個零信任架構計劃，闡述如何實施網絡環境的隔離，并將其作為零信任實施計劃的一部分提交OMB。

2022年11月，美發布《國防部零信任戰略》，計劃在2027財年之前實施戰略和相關路線圖中概述的零信任能力及活動。戰略概述了四個高級綜合戰略目標，每個目標都定義了為實現其零信任愿景將采取的行動，并圍繞7個支柱設定了45項需具備的網絡安全能力。七大支柱實施目標包括：（1）用戶，對個人和非人員實體訪問進行安全、限制和強制身份驗證；（2）設備，連續實施識別、清點、授權、認證和修補所有設備；（3）應用程序和工作負載，保護所有應用程序和工作負載，包括擴容器和虛擬機；（4）數據，通過企業基礎架構、應用程序、標準、穩健的端到端加密和數據標記，實現并保護數據透明度和可見性；（5）網絡和環境，使用細粒度訪問和策略限制對內外部網絡/環境進行物理或邏輯分段、隔離和控制；（6）自動化和編排，自動化手動安全和其他使用流程，以便在整個企業范圍內快速、大規模地采取基于策略的行動；（7）可見性和分析，分析事件、活動和行為以獲得上下文信息，并應用AI/ML實現模型，提高實施訪問決策中的檢測和反應時間。用戶支柱包含的訪問控制、多因素認證、身份識別、行為/上下文/生物特征、最小訪問權限、不間斷認證、綜合ICAM平臺等，都是原有的安全能力。設備支柱則強調了UEM、MDM以及EDR和XDR等自端點安全以來，不斷發展和承襲的端點安全理念架構和技術產品。可視化和分析支柱闡述了日志記錄所有流量（網絡、數據、應用、用戶）、安全信息和事件管理平臺（SIEM）、安全和風險分析、用戶和實體行為分析、威脅情報集成以及自動化動態策略。不難看出，所提出的45項能力大都是現有的網絡安全技術能力。

圖3 國防部零信任戰略能力要求

2022年12月，NIST發布SP 1800-35《零信任架構（ZTA）》草案，指出ZTA側重于保護數據和資源，支持對分布在本地和多個云環境中的企業資源進行安全授權訪問，同時使員工和合作伙伴能夠隨時隨地從任何設備訪問資源，以支持組織的業務運營。ZTA通過包括請求者的身份和角色、請求設備的運行狀況和憑據、資源的敏感性、用戶位置和用戶行為一致性等標準，驗證訪問時可用的上下文來評估每個訪問請求。如果滿足企業定義的訪問策略，則會創建一個安全會話來保護傳入和傳出資源的所有信息，執行實時和持續的策略驅動、基于風險的評估，從而建立和維護訪問權限。美國國家網絡安全卓越中心（NCCoE）通過與其合作伙伴使用商用技術，建立與《零信任架構》標準中的概念和原則相一致的實現示例，聚焦ZTA落地實踐。

二、零信任理念產生的成因和創新價值

（一）零信任是在傳統IT邊界消亡時對安全邊界的重塑

隨著技術發展和IT場景演進，在大規模云的資產體系和VPN的應用下，邏輯上的安全邊界和物理上的內外網空間高度不一致。物理空間位置在物理環境體系之外，邏輯權限卻可能在體系之內，這使得安全邊界無法基于統一的安全網關來約束，必須隨著資產的彈性范圍和接入動態延展。安全邊界從內外網級別縮小到子網級別、子網到資產級別、資產到具體應用，以及對應用的每個使用者身份等進行細粒度管控，邊界不斷最小化。因此，“安全邊界”不再是一個絕對的網絡通信邊界的概念，而是轉變成為行為邊界的概念，這就是“邊界消失”的本質。在此背景下，零信任應運而生。零信任的本質是每一個應用都有自己的安全邊界，安全邊界到達每一個可執行體、每一個操作和每一個身份。對于具體實現方法，從驗證、密碼協議到主機安全，零信任采用的技術都是對既有技術的重新組織和整合。

（二）零信任是對原有安全能力體系的重新整合

零信任不是顛覆替代原有技術的創新技術或者產品，而是建構在對既有能力的重新組合運用之上的重大理念和體系結構創新。零信任是對既有的安全能力整合，以實現一種細粒度、持續性的可信方法；需要網絡安全能力的各個環節，包括識別、塑造、防護、監測、響應等，按照其理念做延展和適配，對傳統的安全能力體系提出了更高的要求。例如，零信任驗證登錄身份安全和當前場景安全，仍然需要依賴傳統的端點安全能力。因此，傳統基礎安全能力需要不斷夯實，以支撐零信任的實現。

（三）零信任創新的價值在于支撐業務第一性業務原則

長期以來，系統安全性與業務的便利性、威脅的檢查阻斷與信息的有效共享、風險的控制與業務的發展等，被看成是相互制約的矛盾體。原有安全能力演進是以安全為第一性的訴求，網絡安全技術和信息化結合方式，沒有充分兼顧業務和安全的一致性，而零信任解決了這一難題。零信任以更有效的保障連續性、效率和共享為前提來構建安全，建構在安全要支撐業務的第一性原則之上，兼顧業務系統的穩定性和持續性，通過安全與業務的深層次融合，充分保障信息的訪問共享連接、消除信息孤島和達成更高效的運行。

（四）零信任創新的特點在于保障范圍更加全域化

網絡空間不是孤立的，它同時兼具物理域和認知域的關聯要素，以物理域為支撐與認知域聯通。零信任是一種更全域化的，跨越物理層面、邏輯層面和人員層面的安全方法，信任對象包括物理實體和人員身份。原有的網絡安全邏輯體系，其下對于物理資產的有效管控與耦合，其上對于人員活動的管理與耦合都有一些嘗試，但缺少統一的范式和方法。零信任通過持續性驗證方法將其信任對象深層次地嵌入到由物理資產所支撐、由軟件系統所承載、基于人機協同形成的業務邏輯中，使得保障范圍更加全域化。

（五）零信任創新的生命力在于能力和文化的融合

零信任以更加開放、廣泛共享的認知趨勢為基礎。過去幾年里重大網絡安全與信息化的復合型創新，如安全左移、DevSecOps等，都帶有鮮明的技術、能力、流程與文化融合的特點，而非簡單的技術與能力融合。美《國防部零信任戰略》中提到：“文化，不僅僅是科技。國防部如何保護和保障擁有的信息設備安全，不能僅靠技術解決；需要跨越所有的國防部信息設備用戶，從國防部的領導到任務操作員，徹底改變思維方式和文化。”零信任本質上所要達成的不止是一種能力升級，同時也是理念和心智的升級，是文化的升級。

在保障數字化發展的大背景下，網絡安全需要通過一體性演進、全域性演進，以及認知與行動共同演進的方式，來保障所需的資源要素、管理要素、認知和文化要素，進而確保自身的創新發展。

三、美國政府在網絡安全創新和能力建設的作用

美政府高度重視網絡安全能力建設，通過政府與市場共同推動網絡安全戰略發展。從零信任發展歷程來看，美政府機構不是第一時間下場扮演引路者和裁判員角色，而是在達成基礎學術共識并初步形成產業實踐基礎后，才將零信任上升為網絡安全戰略發展的“整合器”。美NIST、OMB和DoD等官方機構，通過發布參考標準、行政命令、實施戰略等方式直接參與零信任的推動。

（一）美國國家標準于技術研究院（NIST）

NIST隸屬于美國商務部，提供標準、標準參考數據及相關服務，其使命是“通過以增強經濟安全和提高生活質量的方式推進測量科學、標準和技術，從而促進美國的創新和工業競爭力。” NIST在美國推動零信任戰略的過程中，主要起到的是標準制定、實踐指導的作用。

2019年9月，NIST發布了第一版《零信任架構》標準草案，并于2020年8月發布了《零信任架構》標準正式版。標準中提出，向零信任架構的轉型是漫長的旅程而不是簡單地置換企業現有基礎設施。零信任模式并不是一個單一的網絡架構或技術產品，而是一套理念、戰略和架構體系的結合。2020年3月NIST下屬機構NCCoE發布《實施零信任架構》項目說明書（草案），并在10月發布了《實施零信任架構》項目說明書（正式版），瞄準零信任架構的落地實踐，旨在使用商用產品，在通用企業IT基礎設施中，建立與NIST《零信任架構》標準中的概念和原則相一致的零信任架構的實現示例。2022年5月，NIST發布CSWP 20白皮書《零信任架構的實施規劃——針對聯邦系統管理員的規劃指南》，解讀了NIST《零信任架構》標準提出的零信任基本原則，比較了風險管理框架（RMF）模型與金德維格的零信任實施模型，并指出了聯邦信息系統在零信任遷移改造時，管理員在每個RMF環節中需要重點關注和完成的相關事項。

（二）美國政府管理和預算辦公室（OMB）

OMB是協助總統編制和審核國家預算的機構，加強預算管理和行政管理。在這一過程中，OMB的作用更多是對美國政府各部門推行零信任戰略提供戰略規劃和引領。

2021年5月，美國總統拜登簽署第14028號行政令《改善國家網絡安全》，在政府范圍內全面開展行動，以確保基線安全實踐到位，將聯邦政府網絡遷移到零信任架構，實現基于云的基礎設施的安全優勢，同時降低相關風險。為支持這一行政令，OMB于2022年1月26發布《聯邦零信任戰略》，提出了零信任安全五大目標和行動計劃，明確具體落實要求，旨在加速政府機構盡快向零信任成熟度的安全基線邁進，并要求在2024財年末實現以上戰略目標。CISA隨后發布的《零信任成熟度模型》及《云安全技術參考架構》均是對該行政令的響應。2022年6月，國土安全部（DHS）部長、CISA局長、OMB主任、FedRAMP執行總務局長共同協商，發布了《云安全技術參考架構》2.0版本。云遷移需要文化改變、確定優先順序和設計創新方法，而這些都必須得到所有機構的支持才能取得成功。

表1 美國《聯邦零信任戰略》重點任務規劃

（三）美國國防部（DoD）

DoD是總統領導與指揮全軍的辦事機構，也是向各聯合司令部發布總統和國防部長命令的軍事指揮機關。在美零信任發展進程中，DoD主要負責美軍的零信任戰略發展規劃和目標指引。

2022年1月，DoD設立了“國防部零信任資產組合管理辦公室”，負責協調零信任戰略所述的各項工作，加快零信任理念落地，實現DoD在零信任方面的總體目標。11月，美發布《國防部零信任戰略》及《國防部零信任能力執行路線圖》，概述DoD計劃如何在2027財年前在整個國防部范圍全面實施零信任網絡安全框架。戰略指出，零信任是一套將網絡安全防御從靜態的、基于網絡邊界轉移到用戶、資產和資源上的動態發展的網絡安全模式，提出零信任的執行綱要、戰略愿景、戰略目標以及執行方法，并從體系規劃的視角提出了框架方法，為DoD推進零信任理念落地提供必要的指導，涵蓋了差距分析、需求開發、實施路徑和決策制定等內容，并闡述了如何通過采購和部署／開展必要的零信任能力和活動，使網絡安全水平得到有價值的改善。

（四）美國官方機構在推動零信任發展中的角色對比分析

表2 推動零信任發展的不同主體的不同視角

通過對美國政府機構發布的相關文件進行梳理、分析，能夠發現NIST、OMB和DoD等不同機構在推進零信任的發展中扮演著不同角色。作為標準化組織，NIST在一種新的安全概念和范式的形成過程中，給出明確清晰的定義和實施方法，解決概念的內涵、范疇和邊界等問題。以OMB代表的聯邦政府作為行政指導機構，同時也是用戶，明確實現零信任相對清晰的目標和行動導向。DoD作為兼具戰略屬性、規劃屬性、指導屬性和用戶屬性的復合型國家能力單元，面向軍方，通過用戶規劃，建構了一個全局的體系戰略，包括從頂層規劃到具體實施的全生命周期。

零信任早期一度處于“叫好不叫座”的狀態。雖然符合發展趨勢，但此時零信任構想尚未成熟，無法充分解答其概念的內涵與外延、零信任和現有技術體系之間的關系。隨著各方積極探索零信任與現有技術的結合，并在大型IT企業落地實施，逐漸形成了實踐示例。從2004年零信任理念的初步形成，到2010年零信任概念的提出，再到后來學術界、產業界的探索實踐，直到2019年在行業達成理念共識、關鍵支撐技術經過了一定驗證的情況下，美國官方開始密集出臺文件，自上向下積極推廣零信任，拉動防御能力體系建設和產業發展。這一過程中，美國政府既避免了早期就大量投入而可能導致的資源浪費，又避免了過晚介入而錯過戰略機遇期。此外，美國在用戶認知、技術積累、產業環境等諸多方面也為零信任的落地提供了良好的基礎。

四、從零信任的演進分析網絡安全創新的規律特點

零信任起源于一種理念，而非商業企業的技術發明，或某個大客戶的自我應用想象，亦非某一種學術流派的產物。零信任在美國的發展，不是單一主體主導，而是多主體協同推動的結果，具備國家頂層設計的色彩，是一種綜合的體系創新。通過分析可以看出，網絡安全創新是若干組辯證統一的屬性的平衡。本章分別從網絡安全的自生性與伴生性、長周期性與敏捷性、開放性與封閉性、疊加性與顛覆性、獨立性與協同性的視角來進行論述。

（一）從與信息化的關系來看，網絡安全創新是以伴生性為主、自生性為輔的創新

網絡安全并不孤立的產生自身價值，其價值取決于所保障的目標資產對象。網絡安全體系依托于信息系統的基礎、算力、存儲和通信基礎設施而存在，也是信息化體系的有機組成部分。網絡安全與信息化體系之間是差異化功能、同類型架構的耦合存在。網絡安全的第一目標是保障信息系統的正常運行，保障其機密性、完整性和可用性，脫離信息環境場景的網絡安全缺乏實際意義。這就決定了網絡安全的創新以伴生性為主，不能逾越信息化本身的發展階段。零信任的產生服務于IT網絡邊界的變化。IT資產形態演進、異構互聯、彈性延展導致了傳統網絡邊界的消亡，零信任將安全邊界最小化并彈性連接為一個防御體系是必然趨勢。

安全創新伴生性的另一個原因是，安全工作依賴基礎計算環境、能力和條件。基礎計算環境的成熟和發展，是安全技術發展的支撐和保障。算力的增長、帶寬的提升和網絡性能的全面改善為零信任的實施提供了基礎條件。由于零信任需要大量的負載消耗，如果沒有足夠的算力資源，就很難支撐相關機制的實現，會延緩網絡業務訪問的持續認證，嚴重干擾業務的連續性和用戶使用體驗。一些安全理念在早期不能落實和實施可能由于當時的算力和帶寬條件無法支持，而非理念不合理。安全技術創新，既不能脫離其保障對象本身的規律特點，也不能脫離算力等計算條件。將安全看成超越信息體系結構的獨立存在而進行孤立的創新，必將迎來失敗。

（二）從生命周期來看，網絡安全創新是長生命周期下提高敏捷性的創新

網絡安全的生命周期與信息化的“主題”周期基本符合。網絡安全能力主要基于軟件功能邏輯來實現。軟件功能邏輯具有較低的繼承成本和改動成本的優勢。由于繼承成本低，使得網絡安全具有更長的生命周期；改動成本低，表明產品可以快速迭代改進、敏捷升級。零信任是以一套連接框架做基礎，要保證框架結構的穩定性、持續性、兼容性和標準化，體現出長周期性的特點。在面對威脅的快速演進和IT場景的快速變化時，又必須滿足敏捷性要求。

在網絡安全發展過程中，周期性規律通常會被忽視。以Gartner技術成熟度曲線為例，安全廠商習慣于在某個網絡安全技術處于期望膨脹期時，進行過度炒作和超額投入，本應在泡沫幻滅期繼續投入，卻沒有進行持續探索，導致這些技術無法進入穩步爬升復蘇期。此外，還存在將一些創新概念簡單化、短視化的認知偏差，例如將零信任簡單的理解為身份認證。從美國零信任戰略所提出的框架體系看，零信任幾乎涵蓋了所有的基礎安全技術能力。因此，網絡安全創新要做好長周期準備和能力積累。

（三）從能力形態上看，網絡安全創新是以開放性為主、封閉性為輔的創新

信息系統具有開放式信息交換的特點，決定了網絡安全創新以開放性為主導。信息化以開源體系為基礎，遵循和參照開放式標準，具有高度開放協同的基礎文化。在網絡安全體系中，通常越是有聯通和兼容性需求的情況越需要開放，如接口、通信標準、密碼算法等，對加密算法的標準是基于算法公鑰保密來保證算法安全。

網絡安全的對抗優勢建立在對攻擊者的低可見性上，因此網絡安全創新對封閉性也有一定的需求。但面對強威脅對抗場景時，往往需要對阻斷威脅的基礎作用原理、檢測規則、檢測方法、識別方式、判定邏輯等進行保密，過于公開會降低攻擊者繞過安全機制的成本。此外，網絡安全廠商通常具有較強的逆向研究能力，能夠還原競爭產品的實現邏輯并予以借鑒。因此，網絡安全需要一定的封閉性。

零信任創新是以開放式的理念演進為主導的，其內涵、思路和技術標準等一直處于開放迭代狀態。同時，零信任能力集合中的很多能力域，如威脅檢測規則、檢測模型等依然還是封閉式演進。目前，網絡安全仍然存在著基礎認知誤區。一些觀點不認同在密碼體系設計中基于密鑰保密公開算法，而是強調算法隱藏；或想象一個防御封閉場景，如迷信物理隔離。也有一些觀點過于理想化，強調無條件面向公眾的數據公開和威脅情報共享，導致這些資源成為攻防雙方的資源地。因此，創新要基于網絡安全是開放而非封閉的總體基調，統合協調開放和封閉之間的關系。

（四）從演化模式來看，網絡安全創新是以疊加性為主、顛覆性為輔的創新

從理念框架上看，網絡安全呈現迭代與顛覆的特點，但在具體能力組織方面，更多表現為對既有能力的疊加重組。在基礎系統平臺和體系結構發生重大變化的情況下，網絡安全的基礎能力大多數表現為商業產品的持續功能演進和升級。信息化和網絡安全主要通過代碼編程實現，新技術要依托于既有基礎技術和實現能力產生。

把零信任看成某個產品賽道，或是徹底的技術創新和顛覆，都是錯誤的。零信任在其標準內涵、產品邊界、整體架構和能力集合上是不斷發展擴大的，DoD零信任戰略與NIST零信任標準已經超越零信任原有的定義范疇。一般來說，成熟的能力體系深厚積累型廠商，只要愿意積極追隨和把握演進趨勢和潮流，往往比創新能力廠商更具有優勢。安迪·帕特爾（Andy Patel）指出，新型企業缺乏成熟的技術能力體系和足夠的基礎能力積累，沒有將資源投入到技術和基礎設施上，因此無法實現理念創新的落地以及價值產生。

在網絡安全領域，決策者往往夸大新技術理念的作用，而忽略新技術的適用范圍，及其需要在既有基礎能力上疊加才能發揮作用的事實。對此存在幾類理解誤區：（1）忽視了傳統反病毒引擎技術不止提供黑白鑒定功能，還承載著對威脅精準分類、標定和完成情報指向等任務，錯誤地認為可以拋棄現有的引擎+特征工程體系，單純依靠AI算法應用，就能實現有效的惡意代碼和威脅對抗；（2）簡單地認為靠數據采集和響應是萬能的，不認同端點防護體系對于數據獲取和有效攔截的作用，認為沒有端點保護平臺（EPP）功能的端點檢測與響應（EDR）能夠取代傳統EPP；（3）將AI算法視為能夠顛覆既有威脅檢測和風險識別的能力。以上均為不尊重創新的疊加性，過度期待和依賴創新的顛覆性的表現。

（五）從安全關系體系來看，網絡安全創新是協同式為主、獨立式為輔的創新

網絡安全的經濟屬性和其他經濟領域相比具有較大差異。網絡安全不是簡單的供需關系，而是涉及需求方客戶、供給方安全廠商、關聯方IT廠商、攻擊方攻擊者和監管方政府機構等多邊主體關系，因此重大戰略創新需要帶有頂層設計的協同推動。能力改進級創新的主體是安全企業；賽道級概念創新主體是具有引領性的主流或標桿廠商；重大的理念和方法創新受創新成本、用戶接受能力、行政資質認證門檻、攻擊者的防御檢驗、IT生態接受程度等一系列因素制約，需要多主體深度協同。需要國家主管部門發揮主導作用，牽引創造系統剛性的安全需求，引導供給方提供高質量快速迭代的供給。協同式創新包含多種模式，如開源社區組織、產學研融合創新基地、需求和供給聯合創新，以及企業間的競爭性協同創新。競爭企業盡管在能力、功能和商業策略方面存在差異，但認同同一種創新理念，也能夠共同鞏固和推動理念發展。零信任的頂層戰略推動，符合信息化的大規模供應生產和協同的特點，提供了一個戰略協同創新的范式。

通常認為供給側能力不足是阻礙網絡安全產業發展的主要因素，因此將供給側作為發展重點，而忽視了對需求側的需求牽引，以及政府側的頂層規劃、設計、標準制定及政策引導作用。網絡安全是一項綜合問題，除了開發安全技術外，還需要理解用戶場景和需求，掌握威脅方威脅意圖、威脅目標和手段，以及履行監管方的標準、體系、理念等方式共同推進。

五、思 考

黨的二十大報告，對網絡安全工作提出了更高的要求：要貫徹總體國家安全觀，讓網絡安全的能力體系成為國家安全體系和能力現代化的更強有力的支點；要將發展路徑和保障對象盡快對齊到加快建設數字中國、網絡強國的新發展格局中。推進這些工作落實，不能閉門造車，既要從自身實際情況出發，也要有參考借鑒的他山之石。同時我們需要看到，網絡安全領域是一個對抗性為主要屬性、競爭性為次要屬性的領域，其主導模式不單純是一般性的產品與技術的先進性和市場份額的競賽，而更表現為體系化的防御能力與外部攻擊能力的真實較量。我們既要知己、也要知彼。

為此，我們梳理了零信任從理念雛形上升為美國信息安全國家戰略的演進過程，分析了理念產生成因和創新價值，以及美國政府機構在推動網絡安全創新和能力建設方面發揮的作用，總結并提煉網絡安全創新規律，在此基礎上得出幾點啟示與建議。首先，我國網絡安全創新發展需要深入研究并遵循創新的基礎規律，把握網絡安全創新的本質。明確不同主體責任，并在網絡安全創新過程中始終堅持其特有屬性的辨證與結合。其次，我國網絡安全創新發展需要吸收借鑒發達國家的理念和實踐成果。美方的零信任參考架構對于零信任的規模化落地實施具有較好的指導性和可操作性作用，其成熟經驗值得深入研究和借鑒。再次，我國網絡安全創新發展需要立足于當前信息化發展不平衡不充分的實際情況。在關注創新的同時，還要注重從基礎出發彌補信息化發展差距，創新、補課兩手抓。

中美兩國都擁有龐大的信息資產體系，都在加速數字化、智能化的轉型，網絡安全都在跟隨數字化、智能化發展實現關口前移、基因融合，大的技術趨勢和規律是共性化的。從現實水平來看，中國的信息化是不平衡、不充分的發展，而且存在大量碎片化、低質量、小生產的環節。網絡安全防護水平有了長足進步，但基礎工作依然不夠扎實，無效防護和防護缺失的情況依然大量存在，中美在實際網信環境上既有差異性、也有現實差距。從能力體系建設和產業供給來看，由于美方的脫鉤、斷鏈、制裁，嚴重破壞了原有的產業協同的產業鏈機制，因此雙方產業體系不可避免呈現出陣營化的特點。從防護能力要求來看，中國作為網絡安全攻擊的主要受害者，關鍵信息基礎設施的防護水平面臨要應對類似美方情報機構這樣的上帝視角攻擊，接受更高水平攻擊的檢驗，我方面臨的挑戰更加艱巨。

面對這種復雜的情況，中國網絡安全工作者既需要有歷史使命感、又需要保持戰略定力，既準確把握信息基礎和威脅對抗的共性規律，又需要直面網絡安全現實工作基礎的客觀條件。既要打造自主先進可控安全好用的安全能力與生態，又要積極吸取發達國家的理念和實踐成果。希望本文能為這些工作的開展提供一定的借鑒和參考。