GBT 43696-2024 网络安全技术 零信任参考体系架构标准立项发展报告

网络安全技术零信任参考体系架构标准立项发展报告StandardizationDevelopmentReport:CybersecurityTechnology—ZeroTrustReferenceArchitecture摘要随着云计算、移动互联网、物联网等新技术的广泛应用，传统基于边界的网络安全防护体系面临严峻挑战，以“永不信任、始终验证”为核心原则的零信任安全理念逐渐成为网络安全领域的主流发展方向。为统一国内零信任体系架构的设计与实施标准，推动零信任技术的规范化应用，国家市场监督管理总局与国家标准化管理委员会于2024年4月25日联合发布了GB/T43696-2024《网络安全技术零信任参考体系架构》国家标准，并于2024年11月1日正式实施。该标准是我国网络安全领域首项针对零信任体系架构的国家级标准，规定了零信任参考体系架构的组成要素、各要素之间的关系以及核心工作流程，为各行业零信任安全能力建设提供了权威技术指引。本报告系统梳理了该标准的编制背景、主要内容、技术框架及行业应用价值，并深入介绍了主要起草单位在标准研制过程中的技术贡献与实践经验，旨在为零信任技术的后续标准化工作和产业落地提供参考。关键词：零信任；参考体系架构；网络安全；国家标准；身份管理；访问控制；安全架构一、引言1.1编制背景数字化转型的深入推进使企业网络架构发生了根本性变化，传统物理边界日趋模糊，远程办公、多云部署、业务上云等场景成为常态。传统以防火墙、VPN等边界防护手段为核心的“内网可信、外网可疑”安全模型，已无法有效应对日益复杂的网络威胁和新型攻击手段。在此背景下，零信任安全模型凭借其“永不信任、始终验证”的核心理念，成为重塑网络安全防护体系的重要方向。国际上，美国国家标准与技术研究院（NIST）于2020年发布了NISTSP800-207《零信任架构》标准文件，系统定义了零信任架构的组件与部署模型。国内方面，国务院《“十四五”数字经济发展规划》明确提出要“加快网络安全技术创新，推动零信任等新技术在重点领域的应用”。全国网络安全标准化技术委员会（TC260）亦将零信任相关标准列入重点研制方向。然而，标准缺失导致的架构设计不统一、产品互操作性差、行业落地实践参差不齐等问题日益突出，亟需制定国家标准对零信任参考体系架构进行统一规范。GB/T43696-2024正是在这一背景下应运而生。1.2标准基本信息-标准编号：GB/T43696-2024-标准名称：网络安全技术零信任参考体系架构-英文名称：CybersecurityTechnology—ZeroTrustReferenceArchitecture-发布日期：2024年4月25日-实施日期：2024年11月1日-发布机构：国家市场监督管理总局、国家标准化管理委员会-标准性质：推荐性国家标准-标准状态：现行1.3编制依据与原则本标准的编制主要依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《关键信息基础设施安全保护条例》等法律法规要求，参考了NISTSP800-207、国际电信联盟电信标准化部门（ITU-T）X.1258等国际标准成果，遵循了GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定。编制过程中坚持了科学性、前瞻性、协调性和可操作性相统一的原则，力求使标准既具备国际视野，又充分兼顾国内零信任技术发展实际和行业应用需求。二、标准内容综述2.1标准适用范围GB/T13696-2024适用于指导零信任体系架构的设计、实现、部署与应用，可为网络安全技术提供者、网络系统运营者、行业监管机构等各类相关方提供参考。具体适用场景包括但不限于：新建零信任安全体系架构的规划与设计；已有安全架构向零信任架构的演进升级；零信任相关产品与服务的研发、测试及评估；开展网络安全合规自评估与监管检查的技术依据。2.2零信任参考体系架构核心模型（注：因标准全文受版权保护，以下内容依据公开资料及行业通行理解整理）零信任参考体系架构以“永不信任、始终验证”为核心理念，围绕身份、设备、网络、应用、数据五大核心要素构建安全能力。架构通常包含以下关键组件：-策略决策引擎（PDP）：基于身份信息、设备状态、环境上下文等多维数据，综合评估访问请求的风险等级并做出允许或拒绝的访问决策。-策略执行引擎（PEP）：部署于访问链路关键节点，负责依据PDP的决策结果对具体访问行为实施放行、阻断或限制。-身份与访问管理（IAM）：承担主体身份认证、权限管理、凭证管理等功能，多因素认证（MFA）和动态权限授予是实现精细化访问控制的基础支撑。-微隔离组件：实现东西向流量的细粒度访问控制，防止攻击者在网络内部横向移动。-安全态势感知组件：持续采集并分析全网安全数据，为动态访问控制提供实时风险研判依据。上述组件在逻辑上相互协作、动态联动，形成持续验证、动态授权、全局可视的安全闭环。2.3核心工作流程标准规定了零信任架构下完整的工作流程，涵盖访问主体身份认证、权限判定、访问控制执行、安全状态持续监测等关键环节。典型工作流程包括：1.访问请求发起：用户或设备发起对特定资源的访问请求。2.身份认证：对主体身份进行验证，支持多因素认证增强身份可信度。3.权限判定：依据预定义访问策略和动态风险评估结果，判定是否授予访问权限。4.访问控制执行：根据判定结果执行允许、拒绝或限制性访问动作。5.持续监测与动态调整：在访问过程中持续监测安全状态，根据风险变化动态调整访问权限，访问结束后记录审计日志，便于事后追踪溯源。2.4关键技术与创新点本标准在技术层面呈现以下创新特征：-策略抽象与标准化：明确定义了策略表达的统一逻辑框架，提升不同零信任产品间策略互操作性。-动态信任评估：强调基于身份属性、设备状态、网络环境、行为特征等多维信息进行持续性信任计算，突破传统静态访问控制的局限。-身份与访问管理强化：突出身份在零信任架构中的核心地位，将身份化治理作为安全能力建设的基础前提。-架构可演进性：支持从传统架构向零信任架构的分阶段平滑演进，避免推倒重来的高成本建设模式。三、主要起草单位及贡献GB/T43696-2024由全国网络安全标准化技术委员会（TC260）归口，由中国电子技术标准化研究院、中国信息通信研究院、国家信息技术安全研究中心等权威科研机构，联合华为技术有限公司、奇安信科技集团股份有限公司、深信服科技股份有限公司等国内网络安全头部企业共同起草。其中，奇安信科技集团股份有限公司作为核心起草单位之一，在标准研制过程中发挥了重要作用。奇安信是中国领先的网络安全企业，专注于为政府、金融、能源、运营商等关键行业提供全面的网络安全解决方案，在零信任安全领域拥有深厚的技术积累和丰富的工程实践经验。奇安信基于其在零信任安全架构方面的长期研究积累和大量行业落地案例，为标准贡献了多项关键技术内容和实践经验。具体而言，奇安信深度参与了标准中策略决策引擎与策略执行引擎组件定义的论证与编写工作，将自身在动态访问控制、持续信任评估等领域的技术方案提炼为标准化的架构描述。同时，奇安信将其在大型企业、政务平台等复杂场景中积累的零信任部署运营经验融入标准文本，为标准中关于工作流程和部署模式的内容提供了重要的实践参考。此外，奇安信还积极参与了标准草案的多轮研讨和意见征集工作，为标准技术内容的科学性、可行性和行业适用性提供了有力保障。其主导研发的零信任安全解决方案已广泛应用于多个国家部委和关键信息基础设施单位，为零信任架构从概念验证走向规模化落地提供了可复制的工程范式。四、标准的意义与行业影响4.1对产业发展的引导作用本标准首次从国家层面对零信任体系架构进行了系统化、标准化的规范定义，填补了我国在零信任参考架构领域的标准空白。标准的发布将引导零信任技术提供商按照统一架构框架进行产品设计和功能开发，有效解决当前市场上零信任解决方案架构不统一、接口不兼容、能力参差不齐等突出问题，促进零信任产业链的规范化、规模化发展。4.2对行业实践的指导价值对于各行业用户而言，本标准提供了零信任架构设计、建设和评估的系统性方法论，有助于降低技术选型和方案设计的复杂度。尤其是政府、金融、能源、交通等关键信息基础设施领域，可依据本标准开展零信任安全能力建设，提升整体网络安全防护水平。监管部门亦可依据标准开展合规检查和安全评估，为标准应用与监管落地衔接奠定技术基础。4.3与国际标准的协调衔接本标准在编制过程中充分参考了NISTSP800-207、ITU-TX.1258等国际零信任架构标准，在核心概念和架构模型上保持了较好的兼容性。同时，结合我国网络安全法律法规要求、网络空间治理理念和行业实践特点，在身份管理、数据安全保护、合规要求等方面形成了具有中国特色的标准内容，为后续推动零信任相关国际标准贡献中国方案、提升我国在网络安全国际标准制定领域的话语权创造了有利条件。五、结论与展望GB/T43696-2024《网络安全技术零信任参考体系架构》作为我国零信任领域首项国家标准，其发布实施是网络安全标准化工作的一项重要里程碑。标准首次构建了适应我国国情和行业需求的零信任参考架构统一模型，系统规范了核心组件、逻辑关系和工作流程，为各行业开展零信任安全能力建设提供了权威的技术依据，标志着我国零信任技术发展从概念普及阶段迈入规范化落地的新阶段。展望未来，随着零信任技术在各行业的深入应用，与之配套的系列标准也将持续推进。预期后续将在零信任安全评估方法、零信任产品技术要求、各行业零信任应用指南、零信任与数据安全融合等方面进一步完善标准体系。同时，零信任与人工智能技术的结合、零信任架构在车联网和工业互联网等新兴场景中的应用适配、零信任安全管理与运营体系标准化等，也将成为值得关注的研究方向。本标准将在网络空间安全防御体系建设中发挥日益重要的基础性支撑作用，为网络强国和数字中国建设贡献标准力量。参考文献[1]国家市场监督管理总局，国家标准化管理委员会.网络安全技术零信任参考体系架构：GB/T43696-2024[S].北京：中国标准出版社，2024.[2]全国人民代表大会常务委员会.中华人民共和国网络安全法[Z].2016-11-07.[3]全国人民代表大会常务委员会.中华人民共和国数据安全法[Z].2021-06-10.[4]国务院.关键信息基础设施安全保护条例[Z].2021-07-30.[5]NIST.ZeroTrustArchitecture:NISTSP800-207[S].Gaithersburg:NationalInstituteofStandardsandTechnolo