零信任与数据访问控制第02页：法律与制度基座深度解读

01 · 美国制度基座：从标准到强制命令

1.1 技术锚点：NIST SP 800-207（2020年8月）

NIST SP 800-207《Zero Trust Architecture》是零信任领域被引用最广的权威文件，其核心价值在于三点：其一，明确ZTA不以网络位置作为信任判据，所有数据源与计算服务均视为受保护资源；其二，定义了策略决策点（PDP）＝策略引擎（PE）＋策略执行点（PA）的逻辑架构，以及信任算法的输入输出；其三，给出设备代理/资源门户、飞地网关、资源门户、设备应用沙箱四种部署变体（第3页详解）。NIST本身不具强制力，但其后续被行政令与备忘录引用后即转化为合规义务。

1.2 法律推手：EO 14028（2021年5月12日）

《改善国家网络安全》行政令（第14028号，2021年5月12日签署）是零信任上升为国家政策的关键节点。其第3节"现代化联邦政府网络安全"要求各联邦机构向零信任架构迁移，并授权NIST制定相关指南；同时要求政府范围内部署多因素认证与加密（静态与传输中数据）。该行政令的出台背景直接关联SolarWinds供应链事件（2020年12月披露）与Colonial Pipeline勒索事件（2021年5月）。2025年1月16日第14144号行政令（EO 14144，Strengthening and Promoting Innovation in the Nation's Cybersecurity）延续并扩展了软件供应链安全与联邦加密现代化条款；2025年6月6日第14306号行政令（EO 14306，Sustaining Select Efforts to Strengthen the Nation's Cybersecurity and Amending Executive Order 13694 and Executive Order 14144，90 FR 24723）撤销了EO 14144的多项规定（包括CISA对软件供应商自我证明表的集中验证机制、以及第3节联邦机构实施抗钓鱼认证指令），但明确保留OMB M-22-09联邦零信任战略及其抗钓鱼MFA要求——零信任由此成为跨党派延续的少数网络安全政策之一。

1.3 实施抓手：OMB M-22-09（2022年1月26日）与CISA ZTMM v2.0（2023年4月）

• M-22-09《Moving the U.S. Government Toward Zero Trust Cybersecurity Principles》：适用于联邦文职行政部门（FCEB），以五大支柱设定FY2024财年目标，其中身份支柱明确要求"抗钓鱼多因素认证"（phishing-resistant MFA）覆盖全体员工与承包商、并在应用层而非网络层执行访问决策；网络支柱要求加密DNS（DoH）、分段与强化的内部加密；数据支柱要求基于使用场景的数据访问控制与敏感数据标记。国防部同步发布零信任战略（2022年11月）设定FY2027目标。
• CISA《零信任成熟度模型》2.0版（2023年4月）：将五支柱演进划分为"传统（Traditional）→初始（Initial）→进阶（Advanced）→最优（Optimal）"四阶段，并以"治理（Governance）""可见性与分析（Visibility & Analytics）""自动化与编排（Automation & Orchestration）"三项横向能力贯穿各支柱——它既是联邦机构的自评标尺，也被全球企业广泛用作零信任路线图（第6、8页展开）。
• 工程化补充：NIST SP 800-207A（2023年9月发布、2025年2月更新）面向云原生多环境给出网络层+身份层双层策略模型与服务网格落地方式；NIST NCCoE SP 1800-35（2025年6月）给出基于商用产品的19个零信任实施示例；CISA于2025年7月发布《微隔离实施指南（第一部分）》细化网络支柱的关键技术。

02 · 欧盟制度参照：三个侧面的访问控制义务

欧盟路径的特点是"不喊零信任口号，但条条指向零信任"：以风险相称性（risk-based approach）为原则，将MFA、最小权限、加密、审计分解到行业条例的强制性条款中。对中国在欧经营机构（尤其是金融与关键基础设施供应商），NIS2/DORA条款已具实际约束力。

03 · 中国制度基座：系统级防护＋密码级信任＋数据级管控

3.1 系统级基线：《网络安全法》与等级保护制度

《网络安全法》（2017年6月1日施行）第21条确立网络安全等级保护制度，要求网络运营者履行"制定内部安全管理制度和操作规程、采取防范计算机病毒与攻击等技术措施、采取数据分类、重要数据备份和加密等措施、留存相关的网络日志不少于六个月"等义务。GB/T 22239-2019《网络安全等级保护基本要求》（等保2.0）将上述义务细化为可测评的控制项：第三级及以上系统在"安全计算环境—身份鉴别"（控制项8.1.4.1）中要求"应采用两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用动态口令、密码技术或生物技术来实现"；在访问控制（8.1.4.2）中要求基于角色/用户组/安全策略的访问控制粒度、对重要主体设置敏感标记并实施强制访问控制；在安全审计（8.1.4.3）中要求审计重要用户行为与安全事件并保护审计记录。这些控制项构成了中国版"零信任身份支柱"的法定底座。

3.2 密码级信任：《密码法》与商用密码应用安全性评估

• 《密码法》（2020年1月1日施行）：确立商用密码在关键信息基础设施中的强制应用方向；核心密码、普通密码用于保护国家秘密信息，商用密码用于保护不属于国家秘密的信息。
• 《商用密码管理条例》（国务院令第760号，2023年7月1日施行修订版）：规定法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当自行或者委托商用密码检测机构开展商用密码应用安全性评估（密评）；涉密信息系统按国家保密规定执行。
• 《商用密码应用安全性评估管理办法》（国家密码管理局令第3号，2023年11月1日施行）：将密评制度操作化：关键信息基础设施运营者每年至少开展一次密评，密评报告报所在地区省级密码管理部门备案（报送时限为报告形成后30日内），评估档案保存不少于6年；未按规定开展密评的，由密码管理部门责令改正并可处警告及罚款（办法设定了相应法律责任条款）。
• 技术标准锚点：GB/T 39786-2021《信息系统密码应用基本要求》从物理和环境、网络和通信、设备和计算、应用和数据四个层面规定密码应用技术要求与管理要求，是密评测评的直接依据——零信任架构中的mTLS、令牌签名、数据加密、密钥管理均应对标该标准选型。
• 2025年新规：《关键信息基础设施商用密码使用管理规定》（国家密码管理局、国家网信办、公安部令第5号，2025年6月11日公布，2025年8月1日施行）将"关基每年至少一次密评"从行政法规层面进一步细化到部门规章：运营者应遵循"同步规划、同步建设、同步运行"原则建设商用密码保障系统（第5条），建成运行后每年至少开展一次密评、未通过的须改造并保障运行安全（第13条），并于每年1月31日前向保护工作部门报告上一年度商用密码使用及密评开展情况（第5条）；罚则方面，未按"三同步"建设密码保障系统、方案未评、运行前未评等七类情形可处10万—100万元罚款（第19条）。零信任改造中的密码应用建设情况已正式纳入关基年度报告的法定内容。

3.3 数据级管控：《数据安全法》与《网数条例》

• 《数据安全法》第27条：开展数据处理活动应在网络安全等级保护制度的基础上履行数据安全保护义务——明确等保是数据安全的系统级前提；第21条分类分级保护制度（子课题01）、第30条重要数据处理者风险评估报送义务，均需访问控制与审计体系提供运行证据。
• 《网络数据安全管理条例》（国务院令第790号，2024年9月24日公布，2025年1月1日施行）：细化网络数据处理者的义务：重要数据识别申报与保护、个人信息保护（含权限最小化与访问控制）、数据安全事件处置等；其访问控制义务与子课题01的分级结果联动执行。
• 《关键信息基础设施安全保护条例》（国务院令第745号，2021年9月1日施行）：运营者专项责任（安全管理机构、年度检测评估、供应链安全审查），其身份鉴别、访问授权与日志审计要求与等保三级及以上控制项叠加。

04 · 义务—控制映射总表（跨法域对照）

下表将三大法域的核心义务映射为零信任控制项与可审计的落地证据，供合规自查与测评应答使用。

05 · 罚则与执法要点

本节参考来源（第2页）