（圖片來源：攝圖網）

作者|凌石   來源|新眸(ID：xinmouls)

疫情加速催化了許多新事物的誕生，零信任便是其中之一。

去年2月，復工復產成為企業和上班族們的亟需，擁有7萬員工基數的騰訊自然也面臨大考。在只能在家“云辦公”的大前提下，“遠程辦公的難點在哪里”這一話題在知乎發酵，回答眾說紛紜，但鮮有人提及安全維度。

時間再往前推半個月，也就是大年初一，騰訊內部所有IT管理干部被突然拉進一個緊急項目組里，騰訊總辦下達死命令：做好準備，節后支持全員全尺寸遠程辦公。全尺寸辦公意味著滿足信息互通、收發郵件、流程審批、項目管理等只是基本，還要實現所有員工無差別訪問OA站點和內部系統，IT員工在家能像在公司一樣開發、運維。

兼具安全性、靈活性、穩定性，讓這場遠程辦公大考難度提到了最高級別。

一時間，集團內各 BG 的研發群、運維群紛紛忙碌起來：緊急上架服務器，擴容至能滿足6萬員工同時在線辦公并反復調試、優化；為解決非標設備所存在的安全隱患，近800個常用網站和資源站點需要逐個梳理……

這次團隊性協同戰役，騰訊用時8天半。時隔一年多，在零信任發展趨勢論壇上，騰訊方面回憶了這場猝不及防的戰役，當日多名高層談及“遠程辦公難點在哪”這個話題時，答案都紛紛指向“安全”，而支撐起騰訊整套安全體系的背后關鍵就是“零信任”。

基于此，本文新眸將從零信任出發，著重回答以下三個問題：

· 從概念角度來看，零信任究竟是什么？

· 從行業角度來看，我們該如何理解零信任的落地區間？

· 從商業化角度來看，零信任會成為新的風口嗎？

01

網絡安全的技術新奇點

10多年前，當我們談起互聯網安全時，總會聯想到在互聯網邊界豎起無堅不摧的防火墻。電影《黑客帝國》就有這么一段，尼克要進入母體矩陣時卻被困在火車站臺內，從火車站通往矩陣的軌道就像是網絡的防護墻，只要夠高、夠堅固，就可以隔絕所有外來攻擊，這是絕大部分人對互聯網安全的最初印象。

隨著互聯網的進化與迭代，“中心散發式”結構逐漸演變成一張盤根交錯的大網，“去中心化”使得每個節點都能向外延伸擴展，這就造成了傳統安全邊界的模糊不清，一旦邊界失守，企業所沿用的“好人放行、壞人攔截”的二元安全模型，就會完全失效。

在這種時代背景下，“零信任”應運而生。

稻盛和夫曾在《活法》一書中闡明，“越是錯綜復雜的問題，就越要根據簡單的原理和樸素的思想進行判斷和行動。”這種邏輯同樣也是適用于網絡安全領域。零信任最早由Forrester 分析師John Kindervag于2010年提出，它既不是一項技術，也不是一款產品，而是一種新理念，基本原則是“從不信任，總是驗證”。

簡單來說，就是用戶、設備或應用程序創建的每個會話，在允許通信之前必須經過身份驗證；無論來源哪里的訪問請求、無論從什么設備上發起的請求，都應該一視同仁采取最小特權的網絡訪問策略，進行嚴格的訪問授權。

這種原則為我們帶來了一種全新的企業安全防控模式，即傳統的內外網的天塹不復存在，企業甚至可以取消職場網絡，員工全部接入互聯網辦公，因而天然適配遠程工作場景。

“事實上，我們很早就關注到了零信任，在行業中也經常翻閱一些Google的實踐論文，并結合騰訊自身情況，在騰訊內部推出了遠程辦公零信任的解決方案，當時的效果非常好，于是我們在2018年底就將騰訊內部網絡和遠程辦公網絡用零信任方案重構了一遍。”騰訊企業IT部安全負責人蔡晨對新眸談到。

看到這里，你或許對零信任還是一頭霧水，接下來我們通過具體案例來解讀。就目前來看，業內普遍認為軟件定義邊界（SDP）、身份識別與訪問管理（IAM）、微隔離（MSG）是實現零信任的三大技術路徑，雖然名稱繞口，但是本質并不難理解。

圖：零信任三大關鍵技術（來源：《網絡安全先進技術與應用發展系列報告—零信任技術》）

SDP基于控制通道與數據通道分離的設計，構造了一個“暗黑網絡”，減少了企業業務在外網上的暴露面，只有通過特定客戶端發送攜帶授信的種子/口令，服務器通過后，才可以響應連接要求。

這就類似于在添加微信好友時，將微信號、手機號、群聊等好友添加通道關閉，只保留共同好友分享名片的添加方式，一方面減低了暴露程度，另一方面共同好友就像是授信種子，服務器可以默認信任。

僅具備授信種子還遠遠不夠，要知道用戶存在于互聯網是基于各種數字標簽的，身份管理的有效與否往往與權限訪問數據資產相掛鉤，流行的后臺實名制雖然能在一定程度上加強身份管理，卻不能保證訪問過程中的設備安全和行為安全。

這時候，通過IAM技術就可以決定訪問對象和訪問方式，而微隔離技術（MSG）的存在，可以將企業資源更加細粒度分割，將用戶在應用層面的訪問權限降到最小化，既能防范違規的“東西橫移”，又可以為“南北向”訪客精細分配資源。

三大技術協同完成“業務隱身”、“實時動態驗證”、“最小訪問權限”安全防護功能，重新定義了傳統互聯網安全防護的基本邏輯，這種迭代像是一個新奇點事件，恰巧印證了學者保羅·萊文森在其作品《新新媒介》中所寫的一段話：人類對于技術理念開發的歷史說明，發展趨勢是越來越人性化的，能更好地滿足人們所需才能被保留。

02

解構“零信任”落地區間

新理念從定義到體系構建，再到解決方案的具體落地，是一項長期且系統性的工程，零信任亦是如此。

“在騰訊內部，零信任被二分化，一塊是將理念融于對內的產品中去，一塊是基于零信任對外推出商業化產品或解決方案。”騰訊安全總經理王宇對新眸談到，“從商業化設施來看，眼下的最大問題還是人們對零信任的體系定義較為模糊，當你真正地去落地零信任，比如申報安全或者設備安全時，是否圍繞這你的建設目標顯得非常關鍵。”

造成這種局面的背后原因很簡單。

一方面，市面上基于零信任理念打造的商業產品或解決方案相對較少，國外方面，以谷歌為代表，雖然在零信任方面有先發優勢，但更多的也只是集中于理論層面，國內方面，騰訊算是一個樣板工程；另一方面，人們對于零信任存在成本誤區，零信任里面強調的是身份，并不是意味著將過去的安全防護體系全部替換掉，而是在現有的基礎上做對接，讓原有的系統在現在狀態下發揮它的作用。

因而，有的企業在構建零信任體系時，容易陷入急功近利的狀態，總想著把一切推倒重來，完全按照零信任體系做一遍，成本高企是必然的。在王宇看來，“想要落地零信任，第一步企業要對自己業務有一個清晰的了解和認知，不可能沒有目標憑空建設零信任體系；第二，零信任是實踐下的產物，要充分考慮IT體系所屬階段，用零信任體系補充和完善整個安全體系。”

舉個簡單的例子，在遠程辦公接入企業內網的場景中，人們總是會想到，零信任會不會淘汰或者取代VPN。實際上，兩者根本就不是同一個維度的物種，可以預見的是，在未來零信任解決方案將會替代傳統VPN，部分傳統VPN產品也可能會融入零信任體系，擴展升級成為零信任的核心組件，兩者是一個包含與被包含的關系。

從技術理念演進角度來看，零信任是網絡安全防護的最優解，也是終極目標，這意味著，當在線辦公漸趨主流，零信任將成為多數企業在構建網絡安全體系的必選項。

在這里需要提醒各位的是，零信任并不是一蹴而就的，以騰訊為例，從2016年開始在企業內部進行零信任實踐和落地，到后來可以和集團其它產品如企業微信進行深度整合，再到現在推出零信任商業版本，沿用的是循序漸進的部署方式。

在談及零信任商業落地場景時，王宇告訴新眸，“金融行業走在所有行業的安全最前沿，也是最有可能完成零信任落地的，另外就是在線教育領域，老師們辦公往往呈現高離散性，構建邊界防御式體系是不可取的，而零信任可以保證內網和外網得到相同的安全保障。”

03

“零信任”會成為新風口嗎？

互聯網從不缺風口，判斷零信任能不能成為新風口，首先要看風口的構成要素：1、解決了某個社會問題；2、這個社會性問題越來越明顯。

單從零信任定義出發的話，它的確解決了社會中的某個問題，即網絡安全防護，這一點，騰訊副總裁丁珂亦有所闡明，“零信任的互聯互通特征，取代了傳統彼此隔離的物理空間，是產業數字化和萬物互聯發展必須要面對的技術路徑。”

但關于第二點，根據 MarketsandMarkets 調研，全球零信任安全市場規模預計將從2020年的196 億美元增長到2026年的516億美元，從2020年到2026年的復合年增長率（CAGR）為 17.4％。客觀的說，相比于其他技術理念型風口，零信任現階段的表現顯然還未到爆發期。

另外，就全球范圍內來看，零信任在國外的成熟度會更高一些。

根據 Forrester 在 2020 年二季度對于零信任產業的統計數據，海外零信任已經進入規?；a業發展階段，這主要是因為海外零信任起步較早，由Google、Microsoft 等巨頭率先在企業內部實踐零信任，并推出了完整的解決方案，之后OKTA、Centrify等安全廠商先后入局。

反觀國內，雖然業內針對零信任提出了諸多解決方案和思路，但整體看零信任仍處于生態分散化野蠻生長中，不同主體對零信任的基本概念、技術路徑等認識差別較大。在野蠻生長時代，零信任亟需形成更多業內共識。

這也解釋了為什么騰訊會在去年6月聯合多家業界權威機構，共同發起國內首個零信任產業標準聯盟“零信任產業標準工作組”，和廠家做了零信任互任證，從技術標準、技術聯盟、技術白皮書繼續向下推進，契合場景開始對外輸出體系性解決方案。

由此可見，零信任是一個“銀彈”，有潛在價值挖掘空間，但這并不意味著它是低門檻的（人人都可參與），玩家想要出圈需要自身實力過硬。

編者按：本文轉載自微信公眾號：新眸(ID：xinmouls)，作者： 凌石