Zero Trust Architecture Explained: The Seven Pillars and the Data Foundation for Organizational Success

零信任架构代表了一种从传统基于边界的防护到全面保护的范式转变，它假设任何系统、用户或网络组件都无固有信任可言。这种转变使组织能够安全、快速地在不同领域、部门和合作伙伴组织之间共享信息，满足现代运营的需求，同时维护保护敏感数据和操作完整性所必需的严格安全边界。

美国国防部和情报界在采用以数据为中心的零信任方面的领导作用表明，这种方法能满足最苛刻的安全要求，使其同样适用于处理敏感客户数据、知识产权或受监管信息的商业企业。

在这篇博客中，我们将概述零信任的基本原理，作为了解边界之外安全现实的入门知识。

核心原则：永不信任，始终验证

“零信任”这一术语最初由时任Forrester Research分析师的Jon Kindervag提出，它摒弃了“边界内部即是安全”的假设。相反，每个用户、设备和事务每次都必须证明其合法性：“永不信任，始终验证”。

有三个基本原则定义了零信任架构，并将其与传统安全方法区分开来：

持续验证： 无论位置、先前访问历史或组织隶属关系如何，每个访问请求都需经过实时身份验证和授权。这一原则确保即使在传统网络边界被破坏、不可用或在操作上无关紧要时，安全依然有效。

最小权限访问： 用户和系统仅获得执行特定任务所需的最低访问权限，权限根据需求、威胁条件和操作上下文动态调整。这种方法在保持操作灵活性的同时，最大限度地减少了潜在入侵的影响。

假设已失陷： 安全架构在假设对手已经获得对组织系统某种程度访问的前提下运行。这一原则推动安全设计限制横向移动、遏制潜在入侵，并在遭受网络攻击期间保持运营有效性。

运营整合：安全作为业务赋能者

这三个核心原则转化为三个关键的运营能力，将安全从约束转变为竞争优势。

跨边界运营： 零信任支持在不同敏感级别、组织边界和合作伙伴组织之间进行安全的信息共享，而无需依赖传统上造成运营瓶颈的复杂解决方案。信息自带保护机制和访问控制，允许快速共享，同时保持适当的安全边界——无论你是在管理机密情报、专有产品设计还是敏感客户数据。

远程和边缘集成： 现代运营要求从远程位置、移动平台和资源受限环境中安全地访问信息，这些地方传统的网络安全基础设施可能无法使用或易受攻击。对于国防组织，这意味着前沿部署的战术阵地；对于企业，则意味着分支机构、现场操作或远程工作者。零信任原则使安全运营成为可能，无论网络可靠性或基础设施可用性如何。

合作伙伴协作支持： 当今的运营——无论是国际军事联盟还是全球供应链——都需要能够保护敏感信息，同时支持与采用多样化技术平台和安全框架的合作伙伴进行协作的安全架构。零信任为跨组织和国界的安全信息共享提供了技术基础。

DoD的七大支柱架构：安全领导者的集成能力框架

美国国防部零信任参考架构定义了七个相互关联的能力，将安全从运营约束转变为业务赋能者。这一框架旨在满足国防和情报领域最苛刻的安全要求，为商业组织提供了一个可以放心采用的权威结构。

每个支柱都针对特定的运营挑战，同时为全面安全做出贡献，使其能够在多样化的环境中有效运行，从战术边缘网络和制造车间到云服务和合作伙伴系统。

支柱 1：用户 - 动态运营的身份管理

运营重点： 用户身份验证和授权必须支持多样化场景，包括合作伙伴协作、紧急访问程序，以及传统身份验证基础设施可能无法使用或已失陷的运营环境。 关键能力：

• 多因素身份验证：支持适用于运营环境和业务要求的多样化身份验证方法。
• 特权访问管理：为敏感操作提供更高的访问控制，同时维护全面的审计跟踪。
• 身份联合：支持跨组织边界和合作伙伴系统的安全身份验证。 实际应用： 联合军事行动需要跨组织边界进行无缝身份验证，同时保持适合不同密级的安全标准。同样，跨国企业需要为员工、承包商和合作伙伴跨不同业务部门、地理区域和敏感度层级提供安全访问。用户支柱的实施实现了快速协调，而不会损害安全边界或暴露敏感操作。

支柱 2：设备 - 全面的终端安全

运营重点： 设备安全必须确保多样化系统——从专用硬件到个人移动设备——能够安全访问关键信息，而不会影响运营有效性或组织灵活性。 关键能力：

• 设备注册与合规性：支持从加固的工业计算机到授权操作环境中使用的个人移动设备等多种设备类型。
• 证书管理：与现有PKI基础设施集成，同时支持动态需求和合作伙伴互操作性需求。
• 终端保护：提供适合从安全设施到分布式现场阵地等运营环境的安全防护。 实际应用： 国防行动需要在恶劣环境中通过加固的战术计算机进行安全访问。商业组织在野外服务技术人员、使用个人设备的远程员工或制造设施中的物联网传感器方面面临类似挑战。设备支柱的实施在保持适合不同威胁环境和操作上下文的安全标准的同时，实现了操作灵活性。

支柱 3：网络 - 自适应网络安全

运营重点： 网络安全必须在多样化的网络基础设施中有效运行，包括远程网络、合作伙伴系统、商业云服务以及传统网络控制可能无法使用的资源受限环境。 关键能力：

• 微分段：创建安全的网络区域，无需完全重新设计网络或中断运营。
• 软件定义边界：提供适应操作要求和条件的网络安全访问。
• 网络访问控制：确保适当的网络访问，同时支持关键操作和应急程序。 实际应用： 国防网络跨越安全设施、战术环境和具有不同安全架构的联盟伙伴系统。企业网络同样复杂，跨越总部、分支机构、云服务、远程工作者和第三方合作伙伴。网络支柱的实施提供了全面的安全，同时不限制运营灵活性或互操作性要求。

支柱 4：应用 - 任务关键型应用安全

运营重点： 应用安全必须保护关键软件和系统，同时支持快速部署、更新以及与多样化运营系统和合作伙伴应用的集成。 关键能力：

• 应用身份验证：为运营环境和业务要求提供安全的应用程序访问。
• 安全开发：在整个应用开发和部署过程中整合安全。
• 运行时保护：监控应用行为并在操作使用期间防范威胁。 实际应用： 国防和情报行动依赖于多样化的应用程序，从商业云服务到专门的战术系统。商业企业同样依赖于从SaaS平台和定制业务应用程序到遗留ERP系统和合作伙伴集成的所有东西。应用支柱的实施确保了全面的安全，同时不限制运营能力或技术选择。

支柱 5：数据 - 持久的信息保护

运营重点： 数据保护必须确保敏感信息无论位于何处、由何种系统处理或处于何种操作上下文中，都能保持适当的安全，同时支持成功所需的快速信息共享。 关键能力：

• 数据分类与标记：根据内容、上下文和操作要求自动识别和保护敏感信息。
• 加密与访问控制：提供持久的保护，随信息在系统和组织边界之间流转。
• 数据防泄露：防止未经授权的披露，同时支持授权的信息共享和运营协调。 实际应用： 国防行动需要跨密级、组织边界和联盟伙伴进行安全的信息共享。商业组织在与制造商共享产品设计、与服务合作伙伴共享客户数据或与审计师共享财务信息方面需要类似的能力。数据支柱的实施实现了快速的信息共享，同时保持了全面的保护和审计能力。

支柱 6：可见性与分析 - 运营安全情报

运营重点： 安全监控和分析必须提供既能增强网络安全运营又能提升业务有效性的运营情报，而不会损害运营安全或暴露敏感的操作模式。 关键能力：

• 全面日志记录：跟踪所有系统和组织边界的安全事件和运营活动，同时保护运营安全。
• 威胁情报集成：整合威胁信息以增强安全，而不会泄露运营能力或意图。
• 行为分析：识别安全威胁和运营异常，同时区分合法的运营需求和潜在的安全违规。 实际应用： 军事行动需要既能增强网络安全又能提高任务效能的安全监控，而不会向对手暴露操作模式。企业安全团队面临类似的挑战，需要检测威胁而不妨碍合法的业务运营或暴露竞争情报。可见性支柱的实施提供了全面的安全情报，同时保护了运营敏感信息。

支柱 7：自动化与编排 - 自适应安全运营

运营重点： 安全自动化必须通过减少手动安全任务来增强运营有效性，同时为关键操作和敏感决策过程保持适当的人工监督。 关键能力：

• 自动响应：对安全威胁提供快速响应，同时对关键决策保持适当的人工监督。
• 策略编排：跨所有支柱和运营环境协调安全策略。
• 集成协调：跨所有支柱协调安全控制，在不增加运营复杂性的情况下提供全面保护。 实际应用： 军事行动需要能够根据变化的使命要求、威胁条件和操作上下文自动适应的安全机制。商业组织需要类似的适应性，以支持业务速度、季节性需求波动和市场动态。自动化支柱的实施实现了能够增强而非限制运营节奏的安全操作，同时保持全面的保护标准。

聚焦：数据支柱——所有其他支柱的基础

虽然所有七个支柱对于全面实施零信任都至关重要，但数据支柱作为基础能力，或称“承重支柱”，增强并赋能了其他每一个组件。通过将分类、可发布性和细粒度访问策略直接绑定到每个数据对象，数据支柱实现了“网络融合”——将曾经独立的网络（按任务、密级或合作伙伴关系组织）安全地整合到一个单一的传输层中。

这种对象级保护消除了重复建设隔离区的需求，实现了无缝的跨边界操作、更紧密的合作伙伴协作以及当代运营所要求的无摩擦信息共享。

通过数据保护实现的运营赋能

以数据为中心的安全特别提供了三种基于边界的方法无法实现的变革性能力。

最终资产保护： 无论是在国防背景下保护情报产品和作战计划，还是在商业环境中保护客户数据和知识产权，数据都是最终需要保护的资产。当信息本身带有安全策略和访问控制时，无论数据流向何处、由谁访问或由何种系统处理，运营效率都会提高，同时安全风险降低。

跨边界运营： 现代运营跨越多种环境。对于国防组织，这意味着多个密级和联盟网络；对于企业，则意味着不同的业务部门、云环境和合作伙伴生态系统。当数据通过嵌入式加密和访问控制得到保护时，它可以在不同环境中安全移动，而无需依赖会降低运营速度的复杂网关解决方案或广泛的双边协议。

合作伙伴关系赋能： 安全协作——无论是与军事联盟中的盟国，还是与全球供应链中的供应商——都需要独立于合作伙伴技术基础设施和不同安全架构运行的数据保护。以数据为中心的保护以运营速度实现信息共享，同时尊重披露政策和主权要求。

基础安全：数据保护如何赋能其他支柱

数据支柱不仅仅与其他零信任能力共存。它提供了基础安全，使所有其他支柱更有效、更具运营实用性。具体如下：

用户： 身份和认证系统依赖于受保护的凭证数据、访问策略和授权信息。当这些基础数据被泄露时，整个身份系统就变得不可靠。数据保护确保即使在身份基础设施遭受攻击时，认证决策仍然可信。

设备： 设备管理需要安全的配置数据、证书和合规性信息。数据保护确保设备策略和安全配置保持完整且可执行，无论设备所有权或管理状态如何——这对于涉及个人设备、承包商设备或合作伙伴系统的环境至关重要。

应用： 关键应用依赖于受保护的应用数据、安全的代码库和配置信息。数据保护支持在不同操作环境中安全运行应用，而无需为每个部署场景配置专门的安全设置。

网络： 网络安全依赖于加密的数据流、安全的路由信息和受保护的通信协议。数据保护提供独立于网络基础设施质量或所有权的安全——对于在不受信任、由合作伙伴管理或可能已失陷的网络上的操作至关重要。

自动化： 安全自动化需要受保护的策略数据、安全的编排指令和可信的配置信息。数据保护确保自动化安全操作保持可靠，且不会因基础设施篡改或策略操纵而受损。

可见性： 安全分析需要安全的日志数据、受保护的监控信息和可信的情报源。数据保护确保安全可见性保持准确，且不会因日志操纵或虚假信息注入而受损。

策略持久性与运营保证

以数据为中心的保护提供了三种基础设施安全无法提供的关键韧性能力。

基础设施无关的安全： 与可能被绕过、配置错误或成为攻击目标的基于边界的控制不同，以数据为中心的保护与信息本身共存。无论系统故障、网络失陷或基础设施成为攻击目标，访问策略、加密和审计跟踪都持续存在，为高威胁环境中的运营提供了保证。

动态适应： 数据保护支持能够自动适应不断变化的操作上下文、业务需求和威胁状况的安全策略，无需手动安全管理或基础设施修改。这种适应性对于业务状况或战术形势快速变化的需求而言至关重要。

运营连续性： 当其他安全层因攻击、配置错误或操作限制而失效时，数据保护提供了持续的安全，实现了运营连续性。这种韧性在传统基础设施安全可能不可用或已失陷的受对抗环境中至关重要，对于基础设施故障或灾难恢复场景下的业务连续性同样宝贵。

忽视数据层的风险

没有充分优先考虑数据保护而实施零信任的组织会面临几个直接影响运营有效性的关键漏洞。

失陷影响放大： 当身份、网络或设备控制失效时，未受保护的数据会立即被攻击者访问。从机密情报泄露到大规模客户数据暴露等高调事件，往往是由于对手绕过复杂的边界控制，访问了包含关键信息的未加密、管控不善的数据存储所致。

内部威胁暴露： 传统访问控制通常无法阻止授权用户在获得对系统或网络的合法访问后滥用数据。如果没有数据级保护，内部威胁可以未经检测就外泄或滥用敏感信息，可能会损害运营、竞争地位或客户信任。

配置漂移漏洞： 随着运营系统的扩展和演变，访问控制配置错误变得越来越普遍。当数据缺乏固有保护时，这些配置错误可能将敏感信息暴露给未经授权的人员，损害运营安全，或导致未经授权的外部披露。

运营保证缺口： 在网络拓扑、系统配置和运营需求快速变化的动态运营环境中，仅依赖基于基础设施的控制会形成单点故障。当运营条件意外变化时，这些缺口可能阻碍关键信息的共享或暴露敏感数据。

跨边界协作壁垒： 如果没有强大的数据保护，组织通常会建立信息孤岛以维持安全边界。这种方法阻碍了信息在部门、业务单位和合作伙伴组织之间的快速共享——这种协作是现代威胁环境和运营复杂性所要求的。

数据支柱在零信任架构中的基础作用直接实现了国防和商业组织所需的优势：快速信息共享、跨边界操作、合作伙伴互操作性以及高威胁环境下的运营韧性。认识到并优先考虑这种基础关系的组织在保持全面安全的同时，实现了卓越的运营有效性。

集成运营架构

跨支柱运营协同

理解各个支柱至关重要，但要充分发挥零信任的潜力，需要认识到这些能力如何协同工作，创造出大于各部分之和的安全性。具体如下：

集成运营： 有效的零信任实施认识到，运营成功依赖于所有七个支柱的无缝集成，而不是将它们视为孤立的技术领域。身份验证实现安全的设备访问，设备访问支持安全的应用程序使用，促进跨可能不受信任或已失陷的网络的安全数据共享，同时提供全面的可见性和自动化管理。

运营上下文适应： 零信任策略必须考虑动态的运营因素，包括运营任务、威胁状况、合作伙伴要求和业务速度。静态的安全配置无法支持访问要求、操作上下文和优先级根据不断变化的条件和战略目标而快速变化的运营。

通过冗余实现运营保证： 集成架构提供了重叠的安全能力，即使在单个支柱出现故障、配置错误或遭受恶意攻击时，也能保持运营有效性。这种韧性在传统安全基础设施可能成为目标、已被破坏或因运营限制或对手行动而不可用的高威胁环境中至关重要。

动态运营支持

自适应安全策略： 零信任实施必须支持根据运营阶段、威胁级别、任务和合作伙伴状态而变化的运营要求。能够自动适应这些变化上下文的安全策略在保持针对不同场景的适当保护级别的同时，实现了运营灵活性。

跨域协调： 复杂的运营需要跨多个领域的安全协调——对于国防而言，这涵盖陆、海、空、天和网络作战；对于企业而言，则涵盖业务部门、地理区域、云环境和合作伙伴生态系统。零信任架构通过提供跨领域边界有效运行的安全控制来实现这种协调，同时在每个领域内保持运营有效性。

合作伙伴互操作性： 协作运营——无论是与盟国进行的联合军事行动，还是与制造伙伴进行的全球供应链协作——都需要能够适应多样化合作伙伴安全要求，同时实现有效运营协调的安全架构。零信任原则通过尊重合作伙伴要求并促进关键协作的策略，为实现这种平衡提供了框架。

策略对齐与战略实施

行政命令整合

零信任的实施并非孤立进行——它与影响组织安全优先级的法规要求、战略指令和合规框架相互作用。

联邦要求对齐： 对于政府组织而言，关于零信任架构的行政命令14028要求与对安全、快速信息共享能力的运营需求相契合。成功的组织不是将政策合规视为行政负担，而是利用强制性的安全改进来增强运营有效性，同时满足监管要求。

国防部战略领导： 美国国防部对全面实施零信任的战略强调，支持包括联合全域指挥控制、情报界整合和联盟互操作性在内的关键倡议。这种领导为商业组织提供了一个在最苛刻的安全要求下制定的成熟框架，适用于处理敏感信息的各行各业。

法规与合规效益： 零信任架构为满足多样化的法规要求提供了全面的框架——从国防承包领域的CMMC和ITAR到商业领域的GDPR、HIPAA和PCI DSS。以数据为中心的方法通过将控制嵌入信息本身而非仅仅依赖边界防御，简化了合规性。

以运营为导向的实施策略

成功的零信任采用需要一种平衡安全目标与运营现实的战略实施方法。

运营增强聚焦： 零信任实施应优先考虑能够直接增强运营有效性同时改善安全态势的能力。这种方法确保安全投资能带来即时的运营回报，同时为长期安全和运营能力改进奠定基础。

渐进式部署： 组织可以在不同的运营领域和用户群体中逐步实施零信任能力，从而实现分阶段部署策略，最大限度地降低运营风险，同时构建全面的保护能力。这种方法使组织能够在企业范围内部署之前，对安全策略进行运营验证和优化。

基于标准的集成： 强调开放标准和厂商中立技术的实施策略提供了长期的灵活性，同时防止技术锁定。这对于需要在长期的运营时间跨度和多样化的运营要求中确保访问安全能力的组织至关重要。

为未来需求奠定基础

零信任架构不仅仅是解决今天的安全挑战——它提供了满足新兴威胁和运营需求所需的适应性基础。

新兴威胁适应： 威胁环境持续演变，出现更复杂的网络攻击、信息战、勒索软件和模糊传统安全边界的供应链攻击。零信任架构提供了必要的适应性基础，使组织在适应这些新兴威胁的同时保持运营有效性。

技术演进支持： 对基于标准的零信任实施进行投资，使组织能够从技术进步和社区创新中受益，同时保持与现有运营能力和既定工作流程的兼容性。

战略合作伙伴关系增强： 全面的零信任能力通过消除信息共享和协作运营的技术壁垒，实现了更深层次、更有效的合作伙伴关系——无论是军事联盟中的盟国关系，还是商业生态系统中的供应商和客户关系。这种增强直接支持加强合作伙伴关系和分担运营负担的战略目标。

零信任架构为实现跨国防、情报和商业领域的现代运营所必需的安全、快速信息共享提供了一个全面的框架。成功需要理解所有七个支柱如何协同工作以实现组织目标，同时认识到数据保护是使零信任原则在运营上切实可行的基础能力。

这篇博客是关于在联邦和企业商业领域通过以数据为中心的安全实施零信任的系列文章中的第一篇。