摘要：华为云重磅发布全球首个《华为云零信任能力成熟度模型白皮书》，向行业展示了华为云安全的新能力和新突破。
10月16-17日，2021“天府杯”国际网络安全大赛暨国际网络安全高峰论坛在成都举行，华为云作为主办单位之一，同期举办了华为云云原生安全论坛。论坛上，华为云重磅发布全球首个《华为云零信任能力成熟度模型白皮书》，向行业展示了华为云安全的新能力和新突破。
华为云安全总经理曹志源发布白皮书
白皮书指出，随着云计算、大数据等技术广泛应用，企业网络边界逐渐模糊，同时外部网络攻击以及非授权访问、误操作、数据泄露等内部威胁层出不穷，传统的基于边界的安全防护手段已逐步失效。秉承“永不信任，始终验证”原则的零信任模型被证明可有效地解决上述问题，成为网络安全发展的新趋势。
华为云在零信任能力演进过程中，识别到零信任实施是一项系统性的工程，并非通过部署单一网络架构或技术产品即可完成，需要长期规划和建设，包括明确零信任建设战略愿景，匹配所需资源，制定建设路线图等。在此背景下，华为云借鉴业界已有的零信任理念，融合自身在网路安全与隐私保护方面的理解与实践，构建了零信任能力成熟度模型，并以此制定了《华为云零信任能力成熟度模型白皮书》，旨在将零信任成熟度评估从理论层面落实到用于指导实操的具体框架，提供可落地的成熟度评估操作指引，帮助企业识别当前零信任的成熟度等级，并为企业下一阶段零信任能力演进的战略规划提供指导。
该白皮书具备以下核心亮点：
深度解读华为云零信任能力成熟度模型架构
集成业界主流的零信任理念，并融合华为零信任落地实践经验，将零信任从理念层次落实到具体的能力框架。华为云零信任成熟度模型的架构分为三部分：零信任安全领域、零信任能力维度和零信任成熟度等级。三者的关系示意图如下：
在零信任安全领域，涵盖人员安全、设备安全、网络安全、工作负载/应用安全、数据安全5大领域。在业界已有评估领域的基础上，该模型进一步细化零信任5大能力支柱至20个关键安全领域，从组织建设到技术工具等多个能力维度衡量零信任能力，并形成可量化的度量指标，旨在保障评估的全面性和准确性。
在零信任能力维度，除了技术能力，该模型还可评估组织建设、制度流程及数据运营等管理能力，从而更全面地衡量零信任能力。
- 组织建设:零信任相关组织的岗位设置、职责划分和人员能力建设;
- 制度流程:零信任相关管理要求以及制度流程的建立和落地执行;
- 技术工具:管理要求以及制度流程落地所需的技术手段和产品工具;
- 数据运营:用于衡量零信任管理和技术能力有效性的数据指标的建立和优化。
在零信任能力成熟度等级，该模型为所有关键安全领域均制定了具体的度量指标，可量化评估各个领域以及整体的零信任能力成熟度等级，并指引未来发展目标的制定。
- 零信任能力成熟度等级量化评分。每个关键安全子域的零信任能力成熟度等级均可量化评分，从而明确企业目前零信任能力成熟度水平等级。
- 零信任能力成熟度可视化呈现。通过雷达图等方式全局化地呈现20个零信任核心子领域的成熟度评分，从而可明确当前零信任能力短板与优势，并指导企业规划未来重点提升领域。
分享华为云零信任实践
华为云通过内部实践不断优化该成熟度模型，并将内部使用的零信任相关应用孵化成面向客户的产品和服务。华为云零信任解决方案，围绕以身份为中心，通过动态访问控制及细粒度授权，对应用、数据等资源进行保护，构筑华为云端到端自适应安全能力。关键能力结构图如下：
在零信任成为网络安全发展新趋势的大背景下，华为云希望籍此白皮书发布，将华为云内部已实践落地的零信任能力成熟度模型分享给客户及业界，共同探讨零信任能力成熟度评估方法，推动行业零信任能力建设。同时，华为云将持续发布零信任相关产品和服务，持续提升华为云安全防护能力，助力客户业务合规与安全。