8月28日消息，8月25日，中國信息通信研究院(簡稱“中國信通院”)在“2023 SecGo云和軟件安全大會”上發布了《零信任發展研究報告(2023年)》。中國信通院云計算與大數據研究所開源和軟件安全部主任郭雪對報告進行了解讀。

　　報告首先介紹了數字化轉型深化后企業IT架構所面臨的安全挑戰，零信任如何解決安全挑戰以及如何應對新的安全威脅。其次從零信任供應側和零信任應用側兩大視角對我國零信任產業的發展情況與應用痛點進行觀察和分析。

　　在零信任供應側方面，梳理了國內各零信任廠商安全水平概況，分析了重點行業零信任市場近3年發展態勢。在零信任應用側方面，基于對重點行業用戶的調研結果，從零信任建設前期、建設中期和使用運營期，分析了用戶零信任建設過程中的痛點、肯定與思考，為零信任供應側提升和優化能力提供指引，同時增強應用側用戶的落地信心。最后總結了零信任技術發展趨勢，并對零信任產業發展提出建議。

　　報告核心觀點：1. 零信任為新的安全場景提供有力保障。一是零信任保障軟件供應鏈安全，零信任基于最小化權限原則限制上游供應商權限，通過安全左移助力研發運營關鍵環節的風險監測與安全準入;二是零信任抵御勒索軟件攻擊，通過將身份驗證貫穿訪問始終，對訪問行為進行持續監測，并精細化網絡分段流量管理，阻止威脅進一步滲透;三是零信任促進公共數據與服務安全開放，通過建立統一數字身份避免數字鴻溝，對數字公共基礎設施的每次訪問進行風險評估并授予最小權限，避免數據和服務的濫用。

　　2. 零信任能力供應不斷豐富，產品聯動能力正同步提升。一方面，國內廠商注重零信任解決方案研發與落地實施，零信任生態已小有規模，目前，國內有近50家企業提供零信任集成產品。

　　另一方面，零信任集成產品應與企業已有的安全防護能力相互融合，企業已有的安全工具不應因零信任的使用而失效。一是超七成零信任供應側企業支持與第三方身份安全產品對接，其中，46.4%企業可提供自研身份安全產品，同時其零信任產品支持與第三方身份安全產品進行對接。

　　二是超半數企業的零信任產品支持與客戶已有的安全運營中心、態勢感知、威脅情報等安全分析系統聯動，占比53.6%，有35.7%的企業僅支持與自家的安全分析系統進行聯動。

　　三是零信任供應側企業在終端安全展開投入的較多，與自家產品聯動率更高。尤為明顯的是支持與自家終端安全產品聯動的企業占比39.3%，這一數據在身份安全領域為25%，側面反映終端安全領域尚面臨標準協議接口無法統一困境，有待通過生態間接口互認解決。

　　3. 用戶對零信任建設尚存顧慮，同時肯定零信任核心價值。一方面，零信任從零到一，落地部署面臨多重阻礙。一是，零信任的概念產品居多，投入產出比是企業核心考量點。

　　二是，零信任部署跨企業多部門，邁出建設第一步前需明確責任邊界。三是，基于零信任的統一身份管理體系在接管組織內老舊系統時面臨技術與規劃設計雙重阻礙。

　　另一方面，微隔離市場向好，零信任應用價值受到肯定。一是，微隔離人力成本耗費隨使用時間增長持續下降。二是，企業通過使用零信任降低代碼流失率、資產管理精確到人以及實現個人效能監測，肯定了零信任的使用價值。