零信任战略与美国网络安全的现代化

摘要

零信任是一种专注于资源保护的网络安全范式,其前提是信任永远不会隐式授予,而是必须持续评估。这一安全范式是随着互联网、物联网、大数据、云计算等数字应用场景的拓展而产生的。零信任架构的核心原则是通用身份验证、访问分割、最小信任授权、加密无处不在以及持续监控和调整。美国政府加速推进零信任战略,既是美国传统网络安全系统失能、网络安全理念和技术迭代的要求,也是数字时代大国竞争的组成部分,同时还是美国国防数字战略现代化的需要。美国政府加强基于顶层设计的网络安全宏观布局,明确实施零信任战略的关键事项,并确立了联邦政府推动零信任安全体系的基本原则。零信任安全框架的核心领域是关键基础设施、国家安全系统和国防系统,美国确立了以网络安全和基础设施安全局为轴心的推动零信任布局的“全政府”架构。零信任不仅仅是技术的转变,还是一种文化。零信任架构从以网络安全为中心转向以数据安全为中心。零信任不仅是网络安全防御战略,也是进攻战略,即在稳固自身安全的同时,无所顾忌地向对手发起攻击。美国在网络安全领域攻击性的增强,将给包括中国在内的世界其他国家的网络安全带来更大的压力。在这种情势下,中国政府机构、企业、网络安全工作人员须共同努力,打造中国自主可控、安全便捷的现代化网络安全体系。