ICS35.040 YD 中华人民共和国通信行业标准 YD/T[xxxxx]-[xxxx] [代替YD/T] 零信任安全技术参考框架 Zerotrustsecuritytechnologyreferenceframework 行业标准信息服务平台 （报批稿） [xxxx]-[xx]-[xx]发布 [xxxx]-[xx]-[xx]实施 中华人民共和国工业和信息化部 发布
YD/TXXXXX-XXXX 目次 前 言 1范.. 2规范性引用文件 3术语和定义 4零信任安全技术参考框架， 4.1基本原则 4.2技术框架 4.3工作过程 5零信任安全系统核心功能， 5.1概述.. 5.2安全控制中心模块 5.3安全代理模块 5.4系统自身安全. 附录A（资料性）零信任安全系统的技术实现参考方案 附录B（资料性）零信任的应用场景 参考文献 10 行业标准信息服务平台
YD/T XXXXX-XXXX 前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草.
请注意本文件的某些内容可能涉及专利.
本文件的发布机构不承担识别专利的责任.
本文件由中国通信标准化协会提出并归口.
本文件起草单位：深圳市腾讯计算机系统有限公司、国家计算机网络应急技术处理协调中心、北 京奇虎科技有限公司、数据通信科学技术研究所、中国移动通信集团设计院有限公司、奇安信科技集 团股份有限公司、北京天融信网络安全技术有限公司、公安部第三研究所、中兴通讯股份有限公司、 上海观安信息技术股份有限公司、恒安嘉新（北京）科技股份公司、深信服科技股份有限公司、北京 东方通网信科技有限公司、西安邮电大学、广州大学网络空间先进技术研究院、新华三技术有限公 司、杭州安恒信息技术股份有限公司、杭州迪普科技股份有限公司、北京山石网科信息技术有限公 司、北京京东尚科信息技术有限公司、长扬科技（北京）股份有限公司、郑州信大捷安信息技术股份 有限公司、北京神州绿盟科技有限公司、腾讯云计算（北京）有限责任公司、亚信科技（成都）有限 公司.
本文件主要起草人：黄超、蔡东赞、龙凡、张屹、刘治平、王卫东、张勇、张晨、张彬、陈妍、 王文磊、闫兆腾、周继华、谢江、崔婷婷、王、李蓉、叶润国、李然、汪义舟、赵华、李宇、陈霞 、黄铭恺、刘为华、廖正资、皆然、梁伟、仇俊杰、杨洪起、张亚京、吴强、鲁瞳、李凯、刘国平、 林海长、梅宗林、刘海涛、王菲飞、股丽华、姜政委、蔡晨、王宇、代威、李伟、张丽婷、常玲、谢 仪頔、岳炳词、周开字、张睿、张利民、付超、于道森、郝振武.
准信息服务平台 I1
YD/T XXXXX-XXXX 零信任安全技术参考框架 1范围 本文件给出了零信任安全技术参考框架，包括基本原则、技术框架、工作过程、核心功能模块等内 容.
本文件适用于零信任安全系统的设计、开发和使用.
2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.
其中，注日期的引用文件， 仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括的修改单）适用于本文 件.
GB/T25069一2010信息安全技术术语 3术语和定义 GB/T25069-2010界定的以及下列术语和定义适用于本文件.
3.1 访间主体access subject 能访间客体的主动实体.
[来源：GB/T29242-2012，3.7] 注：访问主体可以是发起访间的设备、用户、应用等.
3.2 资源resource 可通过网络访间的目标对象.
注：资源例如服务器、数据库、打印服务等.
3.3 零信任zerotrust 一组围绕资源访问控制的安全策略、技术与过程的统称.
从对访间主体的不信任开始，通过持续 的身份鉴别和监测评估、最小权限原则等，动态调整访间策略和权限，实施精细化的访问控制和安全 防护.
3. 4 零信任安全系统zerotrustsecuritysystem 参考零信任安全技术框架，实现了零信任核心能力的系统.
3.5 安全信道securechannel 具备交换消息保密性和真实性的通信信道.
[来源：ISO/IEC24745:2011 2.30]
YD/TXXXXX-XXXX 3.6 终端代理terminalproxy 实现对终端上访问流量的获取和转发等功能.
注：代理形式可以是在终端上部署代理软件或者基于浏览器等.
4零信任安全技术参考框架 4.1基本原则 零信任安全技术参考框架应遵循以下基本原则： a）任何访问主体，在访问任何资源前，都应经过身份认证和授权： b）访问主体对资源的访问权限是动态的： c）的通信传输使用加密等方式保障安全： d）对访问主体的权限分配遵循最小权限原则： e）确保要保护的资源都处在尽可能安全的状态.
4.2技术框架 零信任安全技术框架主要包括访间主体、零信任安全系统（零信任安全控制中心和零信任安全代 理）和资源.
零信任安全技术参考框架如图1所示，零信任安全系统的技术实现参考方案可参考附录A.
其中，控制平面实现授予或拒绝对资源的访问，用于控制访问主体到资源之间的通信路径数据平 面用于访问主体对资源的实际通信，直接处理访问主体到资源的流量.
访问主体通过零信任安全代理与资源通信.
零信任安全控制中心具备对整个访问过程的持续安全监测、信任评估和动态更新访问控制策略等功 能，零信任安全代理具备访问流量的重定向和访问控制策略执行、流量加密等功能.
访问主体能否对资 源进行访问，取决于零信任安全系统的持续安全监测、信任评估和授权决策.
零信任安全技术框架可适用于多种安全防护场景，其应用场景可参考附录B.
零信任安全系统 其 安全模块 他 零信任安全控制中心 控制平面 T 数据平面 访问流 零信任安全代理 访间流 访问主体 资源 注：其他安全模块为零信任安全系统核心模块之外的安全模块，提供如终端设备安全防护、威胁情报等功能.
图1零信任安全技术参考框架
