产学研用专家代表齐聚圆桌，解读零信任产业标准最新趋势( 二 ) 端午节前夕的一场线上发布

腾讯安全总经理王宇表示，作为零信任产业标准工作组的发起单位，腾讯将秉持合作共赢理念，开放自身在零信任领域的能力和资源积累，与“零信任产业标准工作组”合作伙伴共建产业标准生态，推动行业标准研制、测试评价、市场活动与成果转化，为客户提供高质量的零信任产品和服务，促进零信任产业规模化发展。

毫无疑问，零信任产业标准工作组的成立为零信任真正融入企业、走进场景提供了框架式的规范。在腾讯安全管理部标准中心副总监黄超看来，零信任目前已经展现出了良好落地实践效果，包括远程安全办公场景、混合云安全运维管理场景以及服务端之间安全访问场景。但同时，黄超也提出，从技术维度上看，零信任在真正落地时，需要适配更多的终端和通信协议;通过一些技术手段去打造智能化、自动化的目标;通过零信任来实现细粒度的、动态的安全和访问控制;平衡用户体验、用户实际使用之间的矛盾;以及零信任这种新的理念和架构，如何和已有安全产品和服务兼容和集成，都需要产业上下游携手探索和优化。

零信任的“腾讯实践”如何炼成？

在推动零信任标准建立的过程中，腾讯还收获了更多零信任的实践成果。腾讯安全高级产品经理王丹在发布会上，首次介绍了腾讯基于领先技术和最佳安全实践打造的腾讯iOA(5.0版本) 。腾讯iOA打破了传统基于区域的授信控制方式，采用基于可信身份(Trustedidentity)、可信设备(Trusteddevice)、可信应用(Trustedapplication)和可信链路(Trustedlink)的“4T原则”授予访问权限，并强制所有访问都必须经过认证、授权和加密，真正实践了“零信任”设计理念，保障无论员工位于何处、何时使用何设备都可安全访问企业资源。基于自研技术成果和内部安全实践检验，全新升级的腾讯iOA ，成功打造了员工位于何处(Anywhere)、何时(Anytime)使用何设备(Anydevice)都可安全地访问授权资源以处理任何业务(Anywork)的4A新型办公方式。

“腾讯从2015年开始研发基于零信任的iOA版本，把整个办公路径分解为人、设备、运用、资源等核心元素。在这个过程中，腾讯内部提供了很好的战场，有大量的应用场景和用户。 ”腾讯企业IT安全研发负责人蒙俊伸表示，经过10多年实践的积累跟研究，腾讯建立起了一套安全、稳定、高效的一个零信任工作环境。目前，腾讯iOA服务了内网近10万终端，覆盖Windows、MAC、linux三大办公平台。

腾讯iOA在安全上的表现，蒙俊伸还分享了一个案例——腾讯iOA在终端环境上通过可信身份、可信设备和可信应用保障整体办公环境的安全。其中在可信应用上，可以实现对每个应用及API的校验。正是依托于这种深度分析能力，在18年某安全运维工具被攻击时，腾讯比行业提前两周发现并及时阻止了风险。

腾讯游戏也基于零信任的理念，摸索出了支撑海量游戏服务集群的经验。据腾讯IEG技术运营部基础安全产品负责人龙凡介绍，针对腾讯游戏面临的多云跨云服务器访问管理等需求，零信任的落地有两个核心点，第一是以身份为基础的可信接入;第二是在具备持续风险评估的基础上动态访问控制能力。腾讯TEG在实践过程中的特色还在于，以iOA校验过的身份为基础，结合在服务器访问过程当中的风险评估再次发起身份挑战，旨在实现从服务器端到用户终端的联动，实现基于身份的安全访问控制。