ICS 35.030 CCS L 80 中华人民共和国国家标准 GB/T XXXXX—XXXX ` 信息安全技术 零信任参考体系架构 Information security technology—Zero trust reference architecture (点击此处添加与国际标准一致性程度的标识) （征求意见稿） （本稿完成时间：2022 年 6 月 1 日） 在提交反馈意见时，请将您知道的相关专利连同支持性文件一并附上。 XXXX - XX - XX 发布 XXXX - XX - XX 实施 GB/T XXXXX—XXXX 目 次 前言 ................................................................................ III 1 范围 ............................................................................... 1 2 规范性引用文件 ..................................................................... 1 3 术语和定义 ......................................................................... 1 4 缩略语 ............................................................................. 1 5 概述 ............................................................................... 2 6 参考体系架构 ....................................................................... 3 组成 ........................................................................... 主体 ........................................................................... 资源 ........................................................................... 核心组件 ....................................................................... 支撑组件 ....................................................................... 组件间关系 ..................................................................... 3 3 4 4 6 7 附录 A（资料性） 典型工作流程 ......................................................... 8 A.1 主体访问资源 ................................................................... 8 A.2 动态调整访问策略 ............................................................... 8 参考文献 ............................................................................. 10 I GB/T XXXXX—XXXX II GB/T XXXXX—XXXX 前 言 本文件按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由全国信息安全标准化技术委员会（SAC/TC260）提出并归口。 本文件起草单位：奇安信网神信息技术（北京）股份有限公司、中国信息通信研究院、中国科学院 软件研究所、中国科学院大学、国家计算机网络应急技术处理协调中心、中国科学技术大学、飞天诚信 科技股份有限公司、国家信息技术安全研究中心、中国科学院信息工程研究所、北京天融信网络安全技 术有限公司、公安部第三研究所、北京数字认证股份有限公司、江苏易安联网络技术有限公司、国民认 证科技（北京）有限公司、启明星辰信息技术集团股份有限公司、深圳竹云科技股份有限公司、格尔软 件股份有限公司、海信集团控股股份有限公司、大唐高鸿信安（浙江）信息科技有限公司、北京奇虎科 技有限公司、上海派拉软件股份有限公司、杭州安恒信息技术股份有限公司、上海观安信息技术股份有 限公司、国网区块链科技（北京）有限公司、兴唐通信科技有限公司、厦门市美亚柏科信息股份有限公 司、北京百度网讯科技有限公司、北京远鉴信息技术有限公司、国家工业信息安全发展研究中心、中国 信息安全测评中心、国家信息中心、公安部第一研究所、成都卫士通信息产业股份有限公司、中能融合 智慧科技有限公司、北京信安世纪科技股份有限公司、长春吉大正元信息技术股份有限公司、中国科学 院数据与通信保护研究教育中心、中国移动通信集团公司、深圳市腾讯计算机系统有限公司、北京协和 医院、新华三技术有限公司、北京芯盾时代科技有限公司、北京神州绿盟科技有限公司、杭州海康威视 数字技术股份有限公司、华为技术有限公司、云从科技集团股份有限公司、深信服科技股份有限公司、 北京安博通科技股份有限公司。 本文件主要起草人：齐向东、吴云坤、张彬、刘勇、张泽洲、安锦程、荆继武、詹榜华、李新友、 张立武、左晓栋、邬怡、韩永刚、孟楠、赵泰、张严、刘丽敏、郭莉、陈亮、朱鹏飞、陆舟、王哲麟、 李海玲、姚叶鹏、韩冬旭、刘治平、王龑、陈妍、刘占斌、夏冰冰、秦益飞、杨正权、李俊、韩少波、 蒋蓉生、王文路、戴立伟、郑强、高雪松、何晨迪、郑驰、梅宗林，张睿、茆正华、黄铭恺、谢江、杨 珂、蔡子凡、许雪姣、程长高、朱红星、郑榕、孙岩、孙明亮、国强、黄卉、苏智睿、汪仕兵、周开宇、 李海宁、焦靖伟、索瑞军、李敏、于乐、赵蓓、蔡东赟、孟晓阳、万晓兰、尹晓东、鲁曈、陈加栋、王 雨晨、李军、訾然、种竹。 III GB/T XXXXX—XXXX 信息安全技术 零信任参考体系架构 1 范围 本文件给出了零信任参考体系架构，包括组件及组件之间的关系。 本文件适用于采用零信任参考体系架构的信息系统的规划、设计、开发、应用。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T 25069—2022 信息安全技术 术语 GB/T 18794.3—2003 信息技术 开放系统互连 开放系统安全框架 第3部分:访问控制框架 3 术语和定义 GB/T 25069—2022界定的以及下列术语和定义适用于本文件。 零信任 zero trust；ZT 一种以资源保护为核心的网络安全理念。认为对资源的访问，无论主体和资源是否可信，主体和资 源之间的信任关系都需要从零开始，通过持续环境感知与动态信任评估进行构建，从而实施访问控制。 零信任参考体系架构 zero trust reference architecture 依据零信任建立的参考体系架构，遵守最小权限原则，采用多属性动态访问策略，实现主体对资源 的端到端访问控制。 资源 resource 系统中可供访问的客体，例如：应用、系统、接口、服务、数据等。 控制层 control layer 控制和管理在主体到资源之间建立、维持或阻断数据访问信道的抽象层。 注： 零信任参考体系架构采用分层架构，隔离控制策略和数据。 数据层 data layer 在控制层的控制下，实施主体和资源之间数据传输的抽象层。 4 缩略语 下列缩略语适用于本文件。 PKI：公钥基础设施（Public Key Infrastructure） 1 GB/T XXXXX—XXXX URL：统一资源定位符（Uniform Resource Locator） 5 概述 零信任访问模型描述零信任参考体系架构下的主体访问资源过程，见图1。通过持续环境感知、动 态信任评估、最小权限访问的循环过程，进行零信任策略决定与执行，实现对资源的访问保护；同时， 主体和资源之间的传输需要加密。 图1 零信任访问模型 零信任访问模型具有以下基本构成。 a) 持续环境感知： 持续对主体环境、资源环境、网络环境等进行数据采集，感知安全威胁、脆弱性等安全态势。 注1：尽可能多地采集主体对资源访问过程中所有参与对象的信息，例如：通过设备管理系统采集和感知主体运行环 境的硬件、操作系统、软件配置、安全配置等信息；通过态势感知系统采集和感知网络环境和资源环境的安全 态势信息等；通过采集身份管理、资源管理等组件的系统运行日志，感知主体对资源的访问行为信息等。 注2：在零信任策略执行过程产生的运行数据，通过身份管理系统/设备、设备管理系统/设备、资源管理系统/设备、 态势感知系统/设备等最终汇集到零信任策略决定过程中。 b) 动态信任评估： 在主体访问资源之前，根据主体属性、资源属性、环境属性等进行信任评估，在访问过程中， 根据属性变化进行动态信任评估，维持或改变策略决定。 注3：主体属性包括主体自然属性（例如：用户自然属性包括用户身份识别码、岗位、职务等）、主体身份权威属性 （例如：属性权威机构颁发的属性证书、权威身份源等）、主体身份鉴别属性（包括身份鉴别方式、私有密钥、 口令等鉴别相关数据）、主体访问行为属性（包括账户状态、历史访问行为等）等；资源属性包括资源分级分 类属性（例如：数据敏感等级、资源归属分类等）、资源访问属性（包括资源共享、资源远程访问、资源访问 接口、资源访问策略等）、资源存储属性（包括资源存储位置，例如云存储、本地存储等，资源存储模式，如 直接存储、网络存储、集中存储等）等；环境属性包括主体环境属性（例如：主体地理位置、主体网络环境、 主体计算环境、主体代码签名等）、资源环境属性（例如：资源物理位置、资源网络环境、资源计算环境、资 源代码签名等）、安全态