CISA零信任成熟模型2.0完整解读

功能

传统阶段

初始阶段

高级阶段

最佳阶段

身份认证

在静态访问授权中，使用密码或多因素认证（MFA）对实体身份进行认证。

使用MFA对身份进行验证，将密码作为MFA中的一种认证方式，并要求验证多个实体属性（例如场所或活动）。

使用抗钓鱼攻击的MFA和属性对所有身份进行身份验证，包括通过FIDO2或PIV实现的无密码MFA的最初实现。

持续使用抗钓鱼攻击的MFA对身份进行验证，而不仅仅是在最初授权时进行认证。

身份存储库

只使用自主管理的本地身份存储库（计划、部署和维护均由自行承担）。

同时使用自主管理的和托管（例如，云或其他机构）的身份存储库，存储库之间实现了较少的集成（例如，单点登录）。

开始合并和整合一些自主管理的和托管的身份存储库。

根据需要在所有合作伙伴和环境中安全地整合身份存储库。

风险评估

对身份风险进行有限的判断（即身份被窃取的可能性）。

使用手动方法和静态规则来确定身份风险，以支持可见性。

使用一些自动化分析和动态规则来确定身份风险，以支持访问决策和响应活动。

基于持续分析和动态规则，实时地确定身份风险，以提供持续性保护。

访问管理（新增）

永久性访问授权，并对特权和非特权账户进行周期性审核。

对访问（包括特权访问）进行授权，并通过自动审核使访问权限过期失效。

提供对基于需求和基于会话的访问（包括特权访问请求）授权，以适应不同操作和资源。

使用自动化来实现即时和适量的授权，以满足个人的操作和资源需求。

可见性和分析

收集用户和实体的活动日志（特别是特权凭据），并进行例行的手动分析。

收集用户和实体活动日志，进行例行的手动分析和部分自动分析，不同类型的日志仅实现了少量关联。

在某些类型的用户和实体活动日志上进行自动化分析，并增加收集范围以解决可见性缺口。

通过对用户活动日志（包括基于行为的分析）进行自动化分析，维护企业范围的全面可见性和态势感知。

自动化和编排

手动对自管理身份（用户和实体）进行编排（入职、离职），集成性较少，并定期进行审查。

手动对特权和外部身份进行编排，并自动编排非特权用户和自管理实体。

手动编排特权用户身份，并在所有环境中集成实现所有身份的自动编排。

基于行为、注册和部署需求，在所有环境中实现完全集成的所有身份自动编排。

治理

通过静态技术和人工审核实施身份策略（认证、凭证、访问、生命周期等）。

在企业范围内定义并实施具有少量自动化、并通过人工更新的身份策略。

在企业范围内实现自动化、并定期更新的身份策略。

在企业范围内，为所有用户和实体实现针对所有系统的自动化身份策略，能够实现持续的策略实施和动态更新。

功能

传统阶段

初始阶段

高级阶段

最佳阶段

策略实施和合规监控（新增）

在策略实施或管理软件、配置及漏洞方面，只有少量的方法，缺乏与设备合规相关的可见性。

能接收自报告的设备特征（例如，设备上的密钥、令牌、用户等），但其执行机制非常有限。机构已经初步建立了软件准入的基本流程，并能将更新和配置推送到设备上。

能够在初始使用设备时，对设备进行合规认证（即管理员可以检查和验证设备上的数据），并对大多数设备和虚拟资产实施合规策略。使用自动化方法来管理设备和虚拟资产、审批软件、识别漏洞和安装补丁。

在设备和虚拟资产的整个生命周期中，持续检查并执行合规策略。将设备、软件、配置和漏洞管理整合到所有机构环境中，包括虚拟资产。

资产和供应链风险管理（新增）

未以全企业或跨供应商的方式，跟踪物理或虚拟资产，而是采用临时性的方式对设备和服务供应链进行管理，对企业风险的认识非常有限。

跟踪所有物理和部分虚拟资产，并按照联邦建议，使用风险框架（例如NIST SCRM）建立策略和控制基线，来管理供应链风险。

通过自动化流程来开发全面的企业物理、虚拟资产视图，可跨多个供应商验证资产获取、跟踪开发周期，并提供第三方评估。

拥有全面、实时或接近实时的、跨供应商和服务提供商的资产视图，在适当情况下，自动化其供应链风险管理，建立能容忍供应链故障的操作，并融入最佳实践。

资源访问（原数据访问）

在访问资源时，未要求对设备或虚拟资产的可见性。

要求某些设备或虚拟资产报告其特征，然后利用这些信息授权资源访问。

在初始资源访问时考虑设备的验证情况或虚拟资产的可见性。

资源访问时考虑设备和虚拟资产内的实时风险分析。

设备威胁保护（新增）

对部分设备手动部署了威胁保护功能。

具有一些自动化流程，用于将威胁保护能力部署和更新到设备和虚拟资产中，并集成了少量的策略执行和合规监控。

将威胁保护能力整合到面向设备和虚拟资产的集中式解决方案中，并将其中的大部分能力与策略执行和合规监控集成。

为所有设备和虚拟资产部署了具有先进功能的集中式威胁保护安全解决方案，并采用统一方法解决设备威胁保护、策略实施和合规监控。

可见性和分析

使用物理标签清单和有限的软件监控，定期手动查看和分析设备信息。

使用数字标识符（例如接口地址、数字化标记）、手动清单和终端监控（若可用）来监测设备。部分设备和虚拟资产能通过自动化分析（例如软件扫描器），执行基于风险的异常检测。

实现清单的自动化采集（包括所有标准用户设备上的终端监控，例如台式机、笔记本电脑、手机、平板电脑及其虚拟资产）和异常检测（检测未授权设备）。

自动化采集所有可接入网络的设备和虚拟资产的状态，并与身份关联、执行端点监控和异常检测，为资源访问授权提供信息。跟踪虚拟资产的供应和销毁模式以监测异常。

自动化和编排

在企业范围内，手动完成设备供应、配置和注册。

使用工具和脚本来自动化处理流程，包括设备和虚拟资产的供应、配置、注册和销毁。

实施了监控和策略执行机制，能识别、手动断开或隔离不符合规定（易受攻击、未经验证的证书、未注册的mac地址）的设备和虚拟资产。

拥有全自动的流程，用以实现设备及虚拟资产的供应、注册、监控、隔离、修复和销毁。

治理

制定了针对传统外设的生命周期策略，但依赖人工流程来维护（例如更新、打补丁、杀毒）这些设备。

制定并实施了设备采购、非传统计算设备和虚拟资产的生命周期策略，并定期对设备进行监测和扫描。

为设备和虚拟资产制定了企业级的生命周期策略，包括设备枚举和问责，并实现了一些自动实施机制。

对企业范围内、所有可连接网络的设备和虚拟资产实现了自动化的生命周期策略。

功能

传统阶段

初始阶段

高级阶段

最佳阶段

网络分段

使用大边界/宏分段来定义网络架构，网段内的连通性基本不受约束。也可能依赖多服务互连（例如，不同流量按批量使用VPN隧道）的方案。

在网络架构对关键工作负载进行隔离，按最低权限原则限制连通性，并向特定服务互连的网络架构过渡。

在入向/出向微边界和特定服务互连框架中，扩展终端和基于应用程序概要的隔离机制。

网络架构由完全分布式的入向/出向微边界和基于应用程序概要的微分段组成，动态实现即时和适度连通性，以实现特定服务的互连。

网络流量管理（新增）

在服务提供过程中，人工实施静态网络规则和配置来管理流量，仅具有有限的监控能力（例如应用程序性能监控或异常检测），对关键业务应用的配置变更通过人工进行审计和审核。

建立具有不同流量管理特征的应用程序概述，并将所有应用程序映射到这些概述。将静态规则扩展应用程序到所有应用程序，并对应用程序概要进行定期手动审计。

实施动态网络规则和配置，以进行资源优化，这些规则和配置根据自动风险感知和具备风险响应的应用程序概述评估和监控，定期进行调整。

实施不断演变的动态网络规则和配置，以满足应用程序概述的需求，根据关键任务、风险等因素重新确定应用程序优先级。

流量加密（原加密）

对少量流量实施加密，并依靠手动或临时流程来管理和保护加密密钥。

对所有流向内部应用程序的流量进行加密，对外部应用的流量进行尽可能的加密，规范化密钥管理策略，并保护服务器/服务的加密密钥。

所有应用程序的内部和外部流量均使用协议加密，对密钥和证书的签发和更换实施管理，并引入密码敏捷实践。

持续根据需求加密流量，在企业范围执行最低权限原则，以保证密钥的安全管理，并尽可能广泛地采用密码敏捷实践。

网络弹性（新增）

根据单个应用程序的可用性需求，按个案配置网络能力，只能提供适用于非关键任务负载的有限弹性。

通过配置网络能力，管理其他应用程序的可用性要求，并扩展非关键任务负载的弹性机制。

网络功能的配置能动态管理大部分应用程序的可用性需求和弹性机制。

能感知所有工作负载的可用性需求变化，并集成全面的交付，提供相应的弹性机制。

可见性和分析

通过以网络边界为中心的有限监控和分析，开始开发集中式的态势感知。

采用基于已知入侵指标（包括网络枚举）的网络监控，在每个网络环境中开发态势感知，并将各种环境中的不同流量关联起来，进行分析和威胁检测。

通过基于异常的网络检测能力，在所有环境中开发态势感知，并将多来源的监测信息进行关联以进行分析，并采用自动化流程进行强大的威胁猎杀。

在启用企业范围态势感知和监控能力的同时，维持对所有网络和环境中的通信可见性，并自动对所有检测源的监测信息进行关联。

自动化和编排

使用手动流程来管理网络、环境的配置和资源生命周期，定期整合策略要求和态势感知。

使用自动化方法来管理某些网络、环境的配置和资源生命周期，并确保所有资源都基于策略和监测数据定义了生命周期。

使用自动化的变更管理方法（如CI/CD）来管理所有网络、环境的配置和资源生命周期，能够对感知到的风险进行响应、执行策略和保护。

网络和环境由基础设施即代码（IoC）来定义，并实现自动化的变更管理方法，包括自动的初始化和过期失效，以应对不断变化的需求。

治理

通过以边界保护为中心的方法，实施静态的网络策略（访问、协议、分段、警告和修复）。

针对每个网络分段和资源制定并实施相应的策略，并适当沿用企业级策略规则。

在实施个性化策略时引入了自动化，促进从聚焦边界的保护向未来过渡。

实施企业范围的网络策略，使基于应用和用户工作流的策略定制、局部控制、动态更新和安全外连成为可能。

功能

传统阶段

初始阶段

高级阶段

最佳阶段

应用访问（原访问授权）

主要基于静态属性对应用访问实施本地授权。

采用上下文信息（如身份、设备合规性和/或其他属性）实施对应用的每个访问请求进行授权，并设置授权的过期时间。

使用扩展的上下文信息自动化应用程序的访问决策，并依据最小特权原则设置相应的过期条件。

对应用程序实施持续的访问授权，并引入实时的风险分析和因素，如行为/使用模式等。

应用威胁保护（原威胁保护）

仅实现了威胁保护与应用工作流的少量集成，能针对已知威胁提供一般性防护。

将威胁保护集成到关键业务应用的工作流中，能针对已知威胁和一些特定应用的威胁提供保护。

将威胁保护集成到所有应用的工作流中，保护某些特定于应用程序和有针对性的威胁。

将高级威胁保护集成到所有应用工作流中，提供实时可见性和内容感知保护，以应对特定于应用程序的复杂攻击。

可访问应用（原可访问性）

关键应用仅在私有网络和带监控的安全公共网络连接（例如VPN）上可用。

根据需求，通过代理连接的方式，将部分适用的关键任务应用提供给授权用户在开放的公共网络中使用。

根据需要，把大部分适用的关键任务应用通过开放的公共网络连接提供给授权用户使用。

根据需要，把所有适用的应用通过开放的公共网络提供给授权用户和设备使用。

开发和部署工作流（新增）

使用非正式的开发、测试和生产环境，缺乏完善的代码部署机制。

采用具备规范的代码部署机制的基础架构来支持开发、测试和生产环境（包括自动化），通过CI/CD流水线和必要的访问控制来，来支持最小特权原则。

由不同团队完成开发、安全和运营，并取消开发人员在代码部署时对生产环境的访问权限。

在可行的情况下充分利用非可变工作负载，更改只能通过重新部署生效，并取消管理员对部署环境的访问权限，以支持自动化的代码部署流程。

应用安全测试（原应用安全）

在部署之前进行应用安全测试，主要通过手动测试方法。

在应用部署前的安全测试中，使用静态和动态（即应用程序正在执行）测试方法，包括手动的专家分析。

将应用安全测试整合到应用程序开发和部署流程中，包括使用周期性的动态测试方法。

在企业软件开发生命周期中全面整合应用程序安全测试，在已部署应用程序中进行例行自动化测试。

可见性和分析

对关键业务应用进行了一些性能和安全监控，但聚合和分析能力有限。

自动采集应用信息（例如状态、健康度和性能）和安全监控，以改进日志收集、集成和分析。

通过启发式技术，自动化地对大部分应用程序进行信息采集和安全监控，以识别应用程序特有的和企业整体的趋势，并逐步完善流程以填补可见性中存在的缺口。

在所有应用程序上执行持续、动态的监控，以保持企业范围内全面的可见性。

自动化和编排

通过手动方式，在应用资源分配阶段，设立静态的应用托管位置和访问权限，并进行有限维护和审查。

定期修改应用配置（包括位置和访问权限），以满足相关的安全和性能目标。

自动处理应用程序配置，以应对运营和环境变化。

自动处理应用程序配置，以持续优化安全性和性能。

治理

主要依靠手动执行策略来实现对应用访问、开发、部署、软件资产管理、安全测试和评估（ST＆E）的管理，包括技术插入、修补漏洞和跟踪软件依赖。

根据任务需求（例如，软件物料清单）来自动执行策略进行规范，通过自动化方式实现对应用程序开发、部署、软件资产管理、ST＆E，及技术插入、打补丁和跟踪软件依赖关系等方面的管理和监管。

为应用实施分层、定制的企业范围内的策略，覆盖开发和部署生命周期的所有方面，并尽可能利用自动化的策略执行。

完全自动化的应用开发和部署策略，包括通过CI/CD流程动态更新应用程序。

功能

传统阶段

初始阶段

高级阶段

最佳阶段

数据清单管理

人工识别部分数据（例如，关键业务数据），并为其建立清单。

采用自动化的数据清单流程，覆盖本地和云环境中的大部分数据，并引入防数据丢失的保护措施。

在企业范围内自动建立数据清单和跟踪，覆盖所有适用的机构数据，并采用基于静态属性和/或标签的数据防泄漏策略。

持续维护所有适用数据的清单，并采用强大的数据防泄漏策略，动态阻止可疑的数据泄露。

数据分类（新增）

采用了有限的、非正式的数据分类。

实现数据分类策略，具备明确的标签定义和手动执行机制。

以一致、分级、有针对性的方式自动化了一些数据分类和标记过程，并使用简单、结构化的格式和定期审查来管理。

通过强大的技术和机制，在企业范围内采用细粒度、结构化格式自动对所有数据执行分类和标记。

数据可用性（新增）

主要由本地数据库提供数据，同时提供了一些异地备份。

可以从冗余、高可用的数据存储库（例如，云）中提供一些数据，并为本地数据维护了异地备份。

主要从冗余、高可用的数据存储库中提供数据，并确保可以访问历史数据。

使用动态方法根据用户和实体的需求调整优化数据可用性，包括历史数据。

数据访问

通过静态访问控制，管理用户和实体的数据访问（例如，读取、写入、复制、授权他人访问等）权限。

开始部署自动化的数据访问控制，在企业范围内引入最低特权原则。

在自动化数据访问控制中，考虑采用各种属性，如身份、设备风险、应用程序、数据类别等，并在适当情况下进行时间限制。

在企业范围内自动执行即时（JIT）和恰到好处的数据访问控制，并持续审查权限。

数据加密

只对必要的数据进行最低限度的加密，包括数据存储和传输过程中的加密，并依赖手动或临时流程来管理和保护加密密钥。

对所有传输中的数据进行了加密，可行的话，还对数据存储（例如，关键业务数据和存储在外部环境中的数据）进行了加密，并开始规范密钥管理策略和强化加密密钥。

尽最大可能对企业范围内的所有存储、传输数据进行加密，开始采用密码敏捷性，并保护加密密钥（即，不使用硬编码密钥，并定期轮换）。

在必要时，对使用中的数据进行加密，在企业范围内执行最小权限原则以进行安全密钥管理，并尽可能使用最新的NIST标准和密码敏捷性来应用加密技术。

可见性和分析

对数据位置、访问和使用的可见性非常有限，主要依赖手动流程进行分析。

通过数据清单管理、分类、加密和访问尝试来获得可见性，还结合了一些自动化分析和相关性分析。

采用自动化分析和相关性分析，在企业范围内维护更全面的数据可见性，并开始采用预测分析。

能够全面跟踪数据生命周期，具备强大的分析能力，包括预测分析，支持全面的数据视图和持续的安全状况评估。

自动化和编排

通过手动和非正式的流程实施数据的生命周期管理和安全策略（例如，访问、使用、存储、加密、配置、保护、备份、分类、清洗）。

使用了一些自动流程来实施数据的生命周期管理和安全策略。

在企业范围内，以一致、分级、有针对性的自动化方式对大部分数据实施数据生命周期管理和安全策略。

在企业范围内，尽可能自动化地实施所有数据的生命周期管理和安全策略。

治理

手动实施非正式的数据治理策略（例如，保护、分类、访问、清单化、存储、恢复、清除等）。

定义高级的数据治理策略，主要依赖手动、分段实施。

在整个企业范围内集成数据生命周期的策略执行机制，实现数据治理策略的统一定义。

数据的生命周期策略尽可能统一一致，并在整个企业范围内动态执行。

功能

传统阶段

初始阶段

高级阶段

最佳阶段

可见性和分析

在企业范围内，手动收集有限的日志，日志质量较差，且仅进行了最基本的分析。

自动收集和分析关键业务的日志和事件，并定期评估可见性方面的缺口。

扩大了自动化日志和事件的收集范围（包括虚拟环境），以进行跨多个来源的集中式关联分析。

通过对日志和事件的集中、动态监控和高级分析，实现企业范围内的全面可见性。

自动化和编排

依靠静态和手动流程，来编排操作和响应活动，自动化程度有限。

自动化编排和响应活动，以支持关键任务功能。

在企业范围内，实现自动化编排和响应活动，并利用多源上下文信息来指导策略决策。

编排和响应活动能动态响应整个企业范围内的需求和环境变化。

治理

在整个企业中以非正式方式实施策略，主要通过手动流程或静态技术执行策略。

定义并实施适用于整个企业范围的策略，但缺乏自动化，需要手动更新。

实施分层和定制的企业级策略，并尽可能利用自动化技术来支持策略执行。访问控制策略的决策利用了多源上下文信息。

实施完全自动化的企业级策略，能通过持续的策略执行和动态更新，实现定制化的本地控制。