解读 | 美国国防部零信任战略的第一个五年规划

国防部《零信任战略》提出了四大目标：

1. 推行零信任文化。培养零信任意识和文化，并通过零信任安全框架和思维方式指导美军零信任生态系统中信息技术的设计、开发、集成和部署。

2. 保护和防卫国防部信息系统。将零信任理念融入到国防部的网络安全实践中，增强国防部信息系统的整体弹性。

3. 技术加速。以不低于企业的进度部署零信任技术，以及时适应不断变化的威胁环境。

4. 零信任赋能。协调国防部及其所属机构的流程、政策和资金，以高度整合的方式实现无缝且协同的零信任执行落地。

为了实现上述战略目标，《零信任战略》提出了七大类主要安全能力要素，被称为“七大支柱”，分别为：用户，设备，应用和工作负载，数据，网络和环境，自动化和编排，可视化和分析。基于这七大支柱，《零信任战略》又将每个支柱具象化到对应的安全功能和基础能力，用于支撑这七大支柱。总计45项安全功能及基础能力，为想入局和已入局美国国防部零信任项目的厂商们提供可实现、可落地、可参考的产品规划指南，某种程度上也可能会成为一种具有美国特色的“控标参数”。

此次发布的《零信任战略》及与之配套的执行路线图相当务实，除了将多年来一直“阳春白雪”化的零信任战略具象为七大支柱、45项独立功能/能力、数百项分解动作外，还制定了相对具体实施时间表。

简而言之，国防部将从2023财年开始利用5年时间，到2027财年结束时完成《零信任战略》和路线图中阐述的零信任能力建设中的部分目标（国防部将其定义为“目标级别零信任”），然后再利用5年时间，啃掉剩余的“硬骨头”（国防部将这部分目标定义为“高级零信任”）。其中目标级别零信任是所有国防部机构都必须实现的水平，而高级零信任是特定的机构基于其系统和信息的敏感程度所需要达到的水平。还有一部分零信任功能和能力属性介于以上二者之间，因此被归类为了“目标级别与高级零信任二者兼有”，这给国防部各机构和参与建设的厂商留下了更多的选择余地。

《零信任战略》为美国国防部下一个五年乃至更长时间落地整体零信任安全勾勒了时间表和路线图，但正如《零信任战略》文末总结部分所述：“执行和实现国防部零信任战略的战略目标需要联合部队和整个防御生态系统的共同努力。国防部每个人都有责任确保零信任的成功。虽然保护数据是零信任的核心，但成功实施零信任框架需要整个部门理解和接受零信任文化。”