零信任采用框架概述

项目
04/13/2024

数字化转型正在塑造新的常态。组织正在接受数字化转型，从而通过跟踪来管理持续的业务环境变化：

转变业务模型和合作关系。
技术趋势。
监管、地缘政治和文化力量。

此外，新冠肺炎远程工作加速了这一转型，并将安全性从成本中心转移到增长的战略性驱动因素。

零信任是数字业务的安全性。数字化转型需要更新传统安全模型，因为传统安全方法无法满足业务敏捷性、用户体验和持续演变的威胁的当前要求。组织正在实施零信任来应对这些挑战，并实现所有人随时随地工作这一新常态。

但是，从传统安全模型转变为零信任，这一重大转型需要整个组织的认同、采用和变更管理。从传统安全模型更新为零信任的这一转型过程需要花些时间，并且需要整个组织的认同、采用和变更管理。业务主管、技术主管、安全主管和安全管理人员在创建敏捷的零信任安全方法方面都发挥着关键作用。

许多安全架构师和 IT 团队都请求帮助与业务主管沟通、跟踪进度和推动采用。本指南通过提供以下内容帮助安全和技术团队与业务主管在零信任方面进行协作：

针对整个组织的业务主管建议的零信任目标。
用于实施零信任体系结构的有条理的分阶段方法。
用于跟踪进度的系统方式，范围限定于业务主管。
从幻灯片中精选的用于零信任采用的最相关资源，这些幻灯片可随时向业务主管展示技术实施指南和用户信息图。

“我们的目标是通过基于全面解决方案构建的零信任体系结构来帮助每个组织增强其安全功能，这些解决方案涵盖跨所有云和平台的标识、安全性、合规性和设备管理。”- Satya Nadella，Microsoft 执行董事长兼 CEO

作为 Microsoft 合作伙伴，NBConsult 为本采用指南做出了贡献并提供了材料反馈。

零信任需要最高级别的认同

零信任可以保护企业资产，无论它们位于何处，也无论它们迁移到哪里。零信任是一种主动的集成式安全方法，需要了解最需要保护的业务资产和流程，并在提供保护的同时保持业务敏捷性。

采用零信任方法需要整个高管层的认同。 随着威胁局面的扩大，关键攻击变得更加常见，各职能领域的业务领导者越来越关注组织采取的网络安全方法。

零信任支持整个 C 套件和企业接受可衡量的业务成效，该成效与减少威胁和提高工作效率保持一致。

零信任可为市面上的两种主要方案增值：

符合业务成效的正式安全策略。 这种零信任方法通过在整个企业共享并且自上而下的每个级别都采用的价值标准，提供有关整个企业的安全性的整体视图。这通常由 CISO 负责，业务成效通过零信任报告功能持续跟踪。
将安全性委派给 IT 部门，其中安全性视为另一种技术类别，只需最少的 C 套件输入和集成。这通常侧重于安全性的短期成本优化，而不是将其作为业务风险进行管理，通常会进一步将安全性分解为非集成的“同类最佳”独立解决方案。

可通过零信任将垂直解决方案集成到单一愿景中。此愿景支持一致的业务功能和成效，并提供关于安全状态的持续可度量指标。

通常，CISO 或 IT/安全管理器用于设置策略或至少用于设置安全技术选择。然而，需要其他 C 级领导者认同才能证明额外的“安全性”支出是正当的。根据零信任安全策略，其他 C 套件成员必须参与零信任历程，了解安全是符合业务成效的共同企业职责。

下面是各种 C 级部门采用的可行功能的通用视图，以及这些功能如何与使用零信任的安全集成愿景保持一致。

角色	职责	零信任利益
首席执行官 (CEO)	负责业务	零信任是一种跨所有数字层的集成式安全保护方法。
首席营销官 (CMO)	负责营销愿景和执行	零信任允许快速从违规中恢复，并为面向公众的组织提供负责任的报告功能，从而允许在没有声誉损失的情况下遏制违规行为。
首席信息官 (CIO)	负责整个 IT	零信任原则消除了不符合业务成效的垂直安全解决方案，并使安全性作为平台能够与业务成效保持一致。
首席信息安全官 (CISO)	负责安全计划实施	零信任原则为组织提供了足够的基础，以符合各种安全标准，并支持组织保护数据、资产和基础结构的安全。
首席技术官 (CTO)	企业首席架构师	零信任有助于实现符合业务成效的可防御性技术一致性。使用零信任，安全性会融入到每个体系结构中。
首席运营官 (COO)	负责运营执行	零信任有助于运营治理，有助于安全愿景的具体做法以及体现谁在何时做了什么。两者都与业务成效保持一致。
首席财务官 (CFO)	负责治理和支出	零信任有助于支出问责制和支出防御性；以可衡量的方式获取针对与业务成效保持一致的安全性和零信任支出的风险度量。

C 套件的零信任原则

零信任是基于三个原则的策略和体系结构。

原则	技术说明	业务说明
显式验证	始终根据所有可用的数据点进行身份验证和授权，这些数据点包括用户身份、位置、设备运行状况、服务或工作负载、数据分类和异常情况。	此原则要求用户使用多种方法验证他们是谁，以防黑客获取的被盗用帐户访问数据和应用。此方法还要求将设备识别为允许访问环境，理想情况下，要进行管理和正常运行（未被恶意软件盗用）。
使用最低权限访问	使用即时和恰好足够的访问权限 (JIT/JEA)、基于风险的自适应策略和数据保护来限制用户访问权限，从而保护数据、确保高效。	此原则会限制潜在违规的爆破半径，从而在帐户遭到盗用时限制潜在损害范围。对于具有更高权限的帐户（例如管理员帐户），这涉及到使用限制这些帐户具有的访问权限及其有权访问的时间的功能。它还涉及对这些帐户使用更高级别的基于风险的身份验证策略。此原则还涉及识别和保护敏感数据。例如，与敏感项目关联的文档文件夹应仅包含需要它的团队成员的访问权限。这些保护共同限制了被盗用用户帐户可能导致的损害范围。
假定数据泄露	最大限度地减少影响范围，并对访问进行分段。验证端对端加密并使用分析来获取可见性、驱动威胁检测并改善防御。	此原则假定攻击者有可能获得对帐户、标识、端点、应用程序、API 或其他资产的访问权限。为了做出响应，Microsoft 会相应地保护所有资产，以限制损害范围。此原则还涉及实施用于持续威胁检测和快速响应的工具。理想情况下，这些工具可以访问整个环境中集成的信号，并可以采取自动化操作（例如禁用帐户），以尽快减少损害。

零信任功能领域和技术体系结构

零信任的三项原则适用于防御领域。这些领域有时称为 IT 管理的功能领域或专业领域。许多组织都围绕这些领域与专业个人团队进行结构化。

零信任需要跨这些领域和团队采用一种集成方法，这就是为什么获得整个 C 套件认同以及在整个组织中精心策划的策略和计划非常重要。

功能区域	技术定义	业务转换
标识	人员和非人员标识，包括用户、计算机和服务主体。可以进行身份验证的任何内容。	基于能够登录或使用服务的人员或计算机的任何内容。
终结点	最终用户计算设备，包括计算机、笔记本电脑、移动电话和平板。	用户用来连接到服务并操作数据的设备。
应用	需要用户登录和使用这些服务或应用程序的基于云或数据中心的应用程序。	组织使用的所有应用，包括订阅的 SaaS 应用程序和其他应用程序，无论是在云中还是在本地。
基础结构	基础结构即服务 (IaaS) 或基于数据中心的基础结构，包括网络组件、服务器和数据存储。	这些是用于支持组织的技术基础和组件，包括在数据中心或云服务中托管的物理服务器和虚拟服务器。
数据	结构化、非结构化和应用程序包含的数据。	文件、数据库或其他应用程序（如 CRM）中包含的业务数据。
网络	LAN、WAN、无线或互联网连接，包括移动（如 3G 和 5G）甚至咖啡店无线网络。	用于将用户连接到所需服务的网络。这可能是企业经营的局域网 (LAN)、更广泛的网络，包括对数字资产的访问，或者员工用来连接的互联网连接。

在数字资产中应用零信任策略时，建议不要考虑独立处理每个域区域。这与标识团队能够完成所有建议，随后零信任焦点可以移至管理终结点的团队不一样。零信任策略同时应用这些功能区域来保护数字资产中的某个区域，然后扩大其保护范围。

例如，在与终结点团队协调以共同保护之前，标识团队只能在利用 Microsoft Entra 条件访问策略方面取得如此多的进步。

下图将这些功能区域集成到统一的零信任体系结构中。

在图中：

其中表示可所有功能区域：标识、终结点、网络、数据、应用、基础结构
零信任通过策略和策略优化跨所有功能区域集成保护。
威胁防护将整个组织的信号实时汇集在一起，以提供攻击的可见性，并通过自动化操作和事件响应跟踪简化修正。

下节介绍如何开始零信任历程。我们将以标识功能区域为例。

零信任采用运动

熟悉 Azure 云采用框架的客户会问：“零信任采用框架在哪里？”

适用于 Azure 的云采用框架是一个将新应用和服务引入组织的有条理流程。重点主要放在组织可以遵循的成熟流程，以将应用或服务引入环境。缩放运动为对添加到数字资产的每个应用重复此流程。

采用零信任策略和体系结构需要不同的范围。它涉及在整个数字资产中引入新的安全配置。缩放运动为二维运动：

获取零信任体系结构的一部分（例如数据保护），并在整个数字资产中横向扩展此保护。
对零信任体系结构的每个附加部分重复此流程，从战略速赢和基础部分开始，然后推进到更复杂的部分。

与适用于 Azure 的云采用框架一样，此零信任采用指南将按照下节中所述的采用方案来处理工作。

下图汇总了这两种类型的采用运动之间的差异。

本零信任采用指南使用与适用于 Azure 的云采用框架相同的生命周期阶段，但针对零信任进行了调整。

下表介绍了这些生命周期阶段。

生命周期阶段	说明
定义策略	构建专注于最符合组织风险和战略目标的成果的业务案例。
计划	确定速赢和递增进度的优先级。采用已部署或许可的现有技术。结构一致的提议，具有明确的成果、权益和所有权。
就绪	为零信任部署创建多层策略，并根据业务需求确定早期操作的优先级。确定对环境所需的规范性部署指南的调整。
采用	以递增方式跨功能区域实施策略。
治理	跟踪并衡量部署是否成功。
管理	使用监视和检测技术。以递增方式让每个功能区域变成熟。

业务场景

本零信任采用指南建议通过以下业务方案构建零信任策略和体系结构：

有关每个业务方案的说明，请参阅对应的文章，其中介绍了如何从构建业务案例开始，在各个生命周期阶段推进技术工作。在此过程中会提供最合适的资源。

其中每个业务方案将零信任的工作分为可在四个实施阶段实施的可管理部分。这有助于在移动通过实施零信任体系结构的不同层时确定优先级、前进和跟踪工作。

本指南包含一个 PowerPoint 幻灯片组，其中包含可用于在较高级别下为业务主管和其他利益干系人演示工作和跟踪进度的进度幻灯片。这些幻灯片包含有助于跟踪进度并向利益干系人呈现进度的功能。下面是一个示例。

本指南还提供一个 Excel 工作簿，其中包含每种业务场景的工作表，你可使用这些工作表分配所有者并跟踪每个阶段、目标和任务的进度。下面是一个示例。

在不同的业务方案中，实施阶段大致一致，这样跨方案实现阶段 1 的目标有助于使组织在所有方面保持一致。

开始零信任历程

如果你正在踏上与业务方案目标一致的零信任之旅，或者希望将零信任作为策略性的防御原则，那么成功可能难以衡量。这是因为安全性不会传递简单的通过/未通过类型评估。相反，安全是一个承诺和历程，零信任提供指导原则。

将本采用指南用作流程框架，首先建立并记录安全策略，这与项目启动文档 (PID) 非常类似。使用适用于策略的原则，至少需要记录：

你要做什么？
为什么要执行？
如何达成一致并衡量成功？

每个业务方案都包含一组不同的资产，其中包含用于清点的不同工具。从方法上来说，先从每个业务方案的资产盘存和分类开始：

资产标识：要保护哪些资产，例如标识、数据、应用、服务和基础结构？可以使用上面提到的功能区域指引从哪里开始。资产标识是定义策略和计划生命周期阶段的一部分。 定义策略阶段可以阐明特定方案，而计划阶段将记录数字资产。
资产分类：每个标识的资产（如标识、业务关键数据和人力资源数据）有多重要？资产分类是就绪阶段的一部分，可从这里开始确定每个资产的保护策略。
资产管理：如何选择保护（治理）和管理这些资产？
资产恢复：如何从被盗用或失去控制的资产（治理）中恢复？

每个业务方案都建议如何盘存，以及如何保护资产并报告进度。虽然业务方案之间不可避免地存在一些重叠，但本采用指南会尝试通过解决主要是一个业务方案中的资产类型的问题来尽可能进行简化。

跟踪进程

在整个零信任采用过程中跟踪进度至关重要，因为它允许组织监视和衡量战略目标。

Microsoft 建议采用两种方法来跟踪进度：

根据业务风险缓解程度衡量进度。
衡量在零信任体系结构中实现战略目标的进展情况。

许多组织使用国际标准化组织 (ISO) 标准资源和工具来衡量组织面临的风险。具体而言：

ISO/IEC 27001:2022
- 信息安全、网络安全和隐私保护
- 信息安全管理系统
- 要求
ISO 31000
- 风险管理

这些标准中的要求和准则是通用的，适用于任何组织。它们提供了一种结构化的全面方法来审查和衡量组织面临的风险以及缓解措施。

确定和了解组织面临的特定风险将有助于确定零信任体系结构中最具战略性的目标的优先级。

在组织识别并确定最具战略性的技术目标的优先级后，即可规划分阶段实施路线图。然后，可以使用各种工具跟踪进度：

包含进度跟踪幻灯片的可下载 PowerPoint 幻灯片组。这些幻灯片旨在帮助你在高级别下跟踪和传达进度。针对自己的用途自定义这些幻灯片。
安全功能分数指有助于当前安全状况的技术控制措施的总分数。组织可利用安全功能分数全局查看已实施和仍要实施的控制措施。
Microsoft Defender for Cloud 随附的云安全态势管理 (CSPM) 工具。

请注意，安全功能分数提供的进度百分比对于不愿意实施所有控制措施的组织可能不准确，原因如下：

业务范围
许可
容量

此外，还可借助多个门户和报表创建业务内的风险概述，包括：

Microsoft Defender XDR 中的报告提供有关安全趋势的信息，并跟踪标识、数据、设备、应用程序和基础结构的保护状态。
可以利用云安全资源管理器主动寻找安全风险。

例如，在 Microsoft Defender XDR 中，设备清单提供对网络中新发现尚未受到保护的设备的清晰视图。在每个设备清单选项卡的顶部，可以看到未加入的设备总数。下面是一个示例。

有关使用 Microsoft Defender XDR 跟踪进度的详细信息，请参阅使用 Microsoft Defender XDR 增强安全态势。

有关如何使用安全功能分数的详细信息，请参阅安全功能分数文档。

有关采用的其他文章

进度跟踪资源

对于每个业务方案，可以使用以下进度跟踪资源。

进度跟踪资源	有助于…	面向的对象
采用方案计划阶段网格 - 可下载的 Visio 文件或 PDF	轻松了解每个业务方案的安全增强，以及“计划”阶段的各个阶段和目标的工作量。	业务方案项目负责人、业务主管和其他利益干系人。
零信任采用跟踪器 - 可下载的 PowerPoint 幻灯片	跟踪“计划”阶段的各个阶段和目标的进度。	业务方案项目负责人、业务主管和其他利益干系人。
业务方案目标和任务 - 可下载的 Excel 工作簿	分配所有权并跟踪“计划”阶段的各个阶段、目标和任务的进度。	业务方案项目负责人、IT 负责人和 IT 实现者。

有关其他资源，请参阅零信任评估和进度跟踪资源。

其他零信任文档

查看基于文档集或组织中的角色的其他零信任内容。

文档集

请按照此表获取最适合你需求的零信任文档集。

文档集	帮助你...	角色
概念信息和部署目标，用于提供技术领域的常规部署指导	应用与技术领域保持一致的零信任保护。	IT 团队和安全人员
面向小型企业的零信任	将零信任原则应用于小型企业客户。	使用 Microsoft 365 商业版的客户和合作伙伴
零信任快速现代化计划 (RaMP)，用于提供项目管理指导和清单，从而让组织轻松获胜	快速实现零信任保护的关键层。	安全架构师和 IT 实施者
Microsoft 365 的零信任部署计划，用于提供分步详细设计和部署指导	将零信任保护应用于 Microsoft 365 租户。	IT 团队和安全人员
Microsoft Copilot 的零信任，用于提供分步详细设计和部署指导	将零信任保护应用于 Microsoft Copilot。	IT 团队和安全人员
适用于 Azure 服务的零信任，用于提供分步详细设计和部署指导	将零信任保护应用于 Azure 工作负载和服务。	IT 团队和安全人员
合作伙伴与零信任的集成，用于提供技术领域和专业资质的设计指导	将零信任保护应用于合作伙伴 Microsoft 云解决方案。	合作伙伴开发人员、IT 团队和安全人员
使用零信任原则进行开发，用于提供应用程序开发设计指导和最佳做法	将零信任保护应用于应用程序。	应用程序开发人员

你的角色

请按照此表获取最适合你在组织中的角色的零信任文档集。

角色	文档集	帮助你...
IT 或安全团队的成员	概念信息和部署目标，用于提供技术领域的常规部署指导	应用与技术领域保持一致的零信任保护。
Microsoft 365 商业版的客户或合作伙伴	面向小型企业的零信任	将零信任原则应用于小型企业客户。
安全架构师 IT 实施者	零信任快速现代化计划 (RaMP)，用于提供项目管理指导和清单，从而让组织轻松获胜	快速实现零信任保护的关键层。
Microsoft 365 的 IT 或安全团队成员	Microsoft 365 的零信任部署计划，用于提供适用于 Microsoft 365 的分步详细设计和部署指导	将零信任保护应用于 Microsoft 365 租户。
Microsoft Copilots 的 IT 或安全团队成员	Microsoft Copilot 的零信任，用于提供分步详细设计和部署指导	将零信任保护应用于 Microsoft Copilot。
Azure 服务的 IT 或安全团队成员	适用于 Azure 服务的零信任，用于提供分步详细设计和部署指导	将零信任保护应用于 Azure 工作负载和服务。
合作伙伴开发人员或 IT 或安全团队成员	合作伙伴与零信任的集成，用于提供技术领域和专业资质的设计指导	将零信任保护应用于合作伙伴 Microsoft 云解决方案。
应用程序开发人员	使用零信任原则进行开发，用于提供应用程序开发设计指导和最佳做法	将零信任保护应用于应用程序。