新一代身份安全建設要點有什么

新一代身份安全建設要點有：

• 建設身份管理與訪問控制平臺，承載統一的數字身份視圖，實現身份管理、賬號管理、權限管理、資源管理等功能，覆蓋人員、設備、應用等各類實體的數字身份及其權限管理。

• 聚合人員、設備、程序等主體的數字身份、認證因子等數據和IT服務資源屬性、環境屬性、數據資源安全屬性等數據，結合訪問控制策略數據，形成企業級的統一身份視圖，實現人員、設備、接口、應用的全面身份化。

• 開展身份數據與權限數據分析，提升數據的質量。發現越權、濫用權限等異常行為，以及違反業務規程、保密要求、內控要求的各種違規類操作。以身份大數據支撐遍及所有工程中的“零信任”訪問控制組件，為動態、精細化的訪問控制奠定數據基礎。

• 建設統一認證門戶，集成PKI基礎設施及多因子認證技術，為應用、系統提供統一的多因子認證和單點登錄能力。

• 開發、集成密碼服務套件，實現對數字身份、憑證和關鍵系統信息的加密存儲。

• 以“零信任”的模式將API訪問控制、運維訪問控制、遠程接入控制等訪問控制組件部署到所有工程中，通過動態訪問控制策略引擎向部署到各工程中的訪問控制組件和集成在IT服務內部的策略執行組件下發動作指令，實現基于“零信任”的動態、精細化的訪問控制能力。

• 建立信任評估模型，基于信任評估結果形成用戶訪問控制策略。通過將策略推送至訪問控制平臺或IT服務內策略執行點的方式，實現基于風險評估的動態的訪問控制。利用身份大數據，采用機器學習算法對訪問主體進行信任評估。

• 針對云、大數據平臺、應用系統的內部服務與資源，建立基于資源屬性的數字身份統一授權管控策略，強化系統運維、權限變更等特權操作管控，實現全場景人機交互、系統間互訪的統一授權管理，以及基于零信任的細顆粒度訪問控制。

• 建設零信任業務訪問控制平臺，與云平臺、大數據平臺、物聯網平臺、開放API平臺、容器編排等IT基礎設施內置的策略執行點實現聚合，提供動態訪問控制能力。

• 建設零信任特權訪問控制平臺，覆蓋運維、DevOps、云運維等場景，實現基于零信任的動態特權訪問管理。

• 與特權管理系統集成，強化對系統運維、系統變更、賬號創建等特權操作的管控。

• 與內部威脅管控平臺集成，通過用戶及實體行為分析（UEBA）來支撐對業務異常行為的發現與處置；建立面向應用系統的分布式用戶訪問控制體系，并與大數據、云計算等IT服務中的訪問控制策略執行點結合，形成數字身份細顆粒度訪問控制的全面覆蓋。

• 針對態勢感知平臺，開放身份與行為數據查詢與響應控制接口，實現安全運營的協同。通過態勢感知向云、大數據平臺、應用等分布式執行點推送策略，實現風險的自動化處置能力。

• 針對流程管理和運維工單等系統開放集成服務，實現多層級、流程化的身份與權限生命周期安全管理；集成多因子身份認證（MFA）方法，支撐高強度身份認證。

• 構建基于分析的身份治理能力，梳理和建設身份治理流程，以支撐身份生命周期管理、用戶訪問申請以及實現流程自動化。開通賬號注冊與權限申請自助服務，支撐用戶以自助服務的方式注冊賬號并申請權限，以自動化的流程方式提升效率。

• 通過訪問權限評估、策略分析與治理，并依托身份大數據平臺和身份分析技術對身份、賬號、權限進行異常分析，確保身份與權限合規。

• 與內部威脅管理平臺、安全運行平臺、終端安全平臺等實現聯動，針對風險事件執行身份與訪問相關的風險響應策略。

• 建設身份安全開放平臺，與工單、HR、運維管理等IT系統集成聯動，形成身份安全運行流程，提升管理效率，優化運行效果；與態勢感知及安全運營平臺集成，提供身份與行為數據的動態查詢和集中運營，實現管理與運營的自動化。

• 制定身份安全管理辦法和實施細則，加強身份安全教育，為身份安全的集成及優化提供依據和指導。

回答所涉及的環境：聯想天逸510S、Windows 10。