近年来，以5G、人工智能为代表的新基建不断推进建设致使传统网络边界愈发模糊，依赖“纵深防御+边界防御”的网络安全防御模式岌岌可危，零信任的全面发展正当其时。自2019年至今，我国陆续在《关于促进网络安全产业发展的指导意见（征求意见稿）》、《网络安全产业高质量发展三年行动计划（2021-2023年）（征求意见稿）》等一系列政策文件中明确要加快“零信任”的框架研发和技术应用，加快发展创新的网络安全技术。
一、中国信通院发布“2022年度 零信任产业图谱”
为梳理国内零信任生态伙伴在供需两侧的分布情况，摸底零信任设备/方案的技术成熟度，研判国内零信任产业的总体发展态势，中国信息通信研究院（以下简称“中国信通院”）联合中国通信标准化协会算网融合产业及标准推进委员会（CCSA TC621）从2022年11月到2023年1月，组织开展了《零信任产业图谱》（以下简称“图谱”）征集工作（如图1所示）。
数据来源:中国信息通信研究院
图1 零信任产业图谱
本次图谱工作得到了各方的极大关注。经过层层筛选，图谱最终选录了300+份相关材料，涵盖了来自供给侧的51家零信任厂商的275份设备/方案案例，以及来自需求方的44个行业应用客户的部署案例。
数据来源:中国信息通信研究院
图2零信任设备/方案概览
二、我国零信任技术创新初步收敛，行业应用部署广泛
2.1 供给侧：技术核心能力形成初步的行业共识
图谱统计了三大技术路线（SDP、IAM、MSG）的能力共性和差异性，计算了主要技术能力的共性和差异性占比（如图3所示）。比对T/ZGTXXH 050—2023《零信任 软件定义边界技术规范》等零信任系列标准定义的能力要求，国内主流设备/方案的技术实现已形成初步的行业共识。
--SDP：技术要求基本收敛。SDP的基本能力要求，如传输加密（100%）、综合可信认证（95.35%）、动态访问控制（93.02%）、网络隐身（93.02%）等方面已经覆盖了市场中90%以上的设备/方案实现。
--IAM：关键能力相对聚焦。IAM的主要能力聚焦于动态授权（90%）、多因子身份认证（80.4%）、单点登录管理（80.4%）、身份全生命周期管理（75%）、细粒度行为审计（73.2%）等方面，达成超过60%的行业共识。
--MSG：核心功能初步成型。MSG在安全策略管理（89.47%）、异常行为检测（89.47%）、统一管理（84.21%）、可视化运维（73.68%）等方面表现突出，核心功能已基本稳定。
图3 零信任 SDP、IAM、MSG 设备/方案共性与差异性功能图
注：图3中每个功能特征百分比指技术功能在零信任产业图谱涵盖的厂商设备/方案中的占比
2.2 需求方：行业应用部署广泛
图谱收集到金融、教育、能源、政务等11个垂直行业（如图4所示）的应用部署案例，应用范围已深入远程接入、数据管理、办公系统等多种场景，全面应对垂直行业在网络边界模糊化、访问需求复杂化和资产暴露面扩大化等一系列挑战。
图4 零信任行业应用分布图
三、零信任的技术与产业仍需要进一步发展
3.1 供给侧：MSG的行业接受度整体最低，融合式解决方案定制化现象严重
图谱统计了三大技术路线（SDP、IAM、MSG）以及融合式解决方案的案例占比（如图5所示）。其中，SDP以33.63%的数值成为行业接受度最高的技术解决方案，强调能力融合的零信任整体解决方案以31.86%的占比排在第二。
--MSG有待行业高度重视。MSG的设备实现的占比为4.94%，解决方案的占比为9.73%，均为倒数第一，与其他技术路线差距明细。这主要是MSG的解决方案需要对原有网络进行规模化升级，企业需要投入海量的资源以实现全面整改，形成自适应和虚拟化的动态管理机制，因此，MSG设备/方案的市场认可度较低。
--零信任整体解决方案亟需行业规范。强调融合SDP、IAM和MSG多项技术优势于一体的零信任整体解决方案得到了行业的欢迎，占比达到31.86%，但是由于缺少统一化的参考模型以及行业规范，这样的解决方案存在定制化现象严重，跨厂商、跨应用、跨地域继承与交互困难等问题，亟需形成具有行业属性的技术标准来规范行业发展。
数据来源:中国信息通信研究院
图5 零信任设备与解决方案分布图
3.2 需求方：需加快关键基础设施的应用部署
图谱统计了11个垂直行业的应用部署案例（如图4所示）并计算了每一个行业的案例占比，其中，金融（20.63%）、教育（15.87%）、能源（14.29%）和政务（10.32%）成为部署最快的四个行业。考虑到这些行业的信息资产价值颇高，业务数据敏感性通常被放在首位，零信任的技术理念得到了更多的重视。然而，在交通（3.97%）、通信（7.14%）等其他关键基础设施方面，零信任的应用部署仍然处于较低水平。面向愈演愈烈的各类网络泄密事件，国家关键基础设施需要全面升级安全防护体制，加快部署零信任技术以构建新型网络安全参考体系。
四、零信任产业发展建议
4.1 加强技术研究与产品研发
凝聚零信任产业界多方共识，针对零信任SDP、IAM、MSG三大技术进行深度研究探索，形成技术标准规范文件指导产品核心功能建设。开展零信任产品能力测试与技术人员培训，助力厂商完善零信任产品能力研发。
4.2 推动行业试点试验落地
面向各行业的差异化部署需求，鼓励企业加快制定带有行业属性的零信任发展规划，助力企业分阶段、分步骤落地实施零信任整体架构。以零信任优秀案例遴选为契机，打造标杆案例并在行业进行推广应用，引导零信任产业高质量发展。
4.3 强化产业协同发展
依托CCSA TC621 等第三方合作平台，积极开展零信任产业论坛、技术沙龙、专题研讨会等活动，为行业需求方与供应商搭建长期稳定交流协作平台，赋能中小企业进行零信任部署，形成零信任产业生态闭环。
