01 · 策略矩阵：数据级别×主体×设备×行为
策略矩阵是零信任策略库的"总控台"。行轴取数据分级（核心/重要/一般，来自子课题01的GB/T 43697-2024坐标），列轴取上下文维度（主体身份、设备姿态、行为风险），单元格定义操作权限与附加条件。参考模板：
| 数据级别 | 受管设备＋低风险会话 | 受管设备＋中风险会话 | 非受管/BYOD | 特权操作 |
|---|---|---|---|---|
| 核心数据 | 按需审批＋step-up认证＋全程录屏 | step-up认证＋只读＋禁下载 | 原则禁止；特殊场景经审批＋沙箱（变体④）＋水印 | JIT提权＋双人复核＋会话录屏 |
| 重要数据 | 角色授权＋水印＋外发审批 | 只读＋降权 | 门户模式（变体③）＋禁下载＋水印 | JIT提权＋录屏 |
| 一般数据 | 角色授权 | 放行＋监测 | 门户模式＋监测 | PAM通道 |
| 标签缺失 | 默认按"重要数据"管控并触发补标流程 | 不允许例外放行——标签治理的强制性来源（第3页"最严标签优先"规则） | ||
设计纪律：①矩阵应在策略即代码平台中实现，禁止在各网关节点手工维护"影子策略"；②每行策略必须指定责任人（数据Owner）与复审周期（建议与权限复核同步，季度级）；③矩阵本身属于安全敏感文档，其访问纳入审计——策略库是攻击者的高价值目标。
02 · 微隔离技术深度解析
2.1 定义与价值
微隔离（Microsegmentation）将数据中心与云环境切分为细粒度隔离区，强制工作负载间通信经身份与策略校验，使"单个失陷点"无法横向触及全网。CISA于2025年7月29日发布《The Journey to Zero Trust: Microsegmentation in Zero Trust, Part One: Introduction and Planning》，将其列为零信任网络支柱的关键控制，并强调与传统VLAN/防火墙分区相比，微隔离以工作负载身份与工作负载属性（而非IP地址）作为策略主体——这正是准则T2（无论网络位置，一视同仁）的技术表达。
2.2 技术路径与选型维度
| 路径 | 原理 | 优势 | 局限 |
|---|---|---|---|
| 主机代理 | 工作负载上部署代理，执行L3—L7策略 | 粒度最细、覆盖东西向与南北向、与身份系统集成紧密 | 代理兼容性与资源占用；异构环境（容器/裸金属/国产OS）适配 |
| 网络虚拟化/覆盖网络 | 基于SDN/覆盖网络实施分布式策略执行 | 对宿主机无代理、与云平台集成好 | 跨云一致性挑战；覆盖网络自身可用性依赖 |
| 基于第三方设备的策略 | 防火墙/交换机策略下发 | 利用既有网络设备投资 | 粒度粗、策略易腐化、IP漂移问题——更接近"宏隔离"而非微隔离 |
- 实施要点：遵循CISA《Journey to Zero Trust》微隔离指南（2025年7月29日发布）的四阶段方法——①识别候选分段资源（按关键性、安全需求与迁移难度排序）；②识别资源依赖关系（应用、工作流、数据、环境四类依赖）；③确定分段策略（在安全效果、实施难度与长期可维护性间权衡，并让用户参与评估对业务流的影响）；④部署与验证（先在宽松模式"只记录不阻断"下测试，确认无遗漏依赖后再全量执行并配齐监测）。执行层面从"可视化（仅观测）→告警→阻断"渐进，先建立东西向流量地图再执行阻断，避免误伤业务；默认拒绝（default-deny）规则按服务依赖白名单逐批开放。
- 国密衔接：隔离区边界网关的通信加密采用国密SSL（SM2证书＋SM4会话加密＋SM3完整性），满足密评对"网络和通信安全"层面的要求。
03 · ZTNA/SDP与远程接入改造
ZTNA相对传统VPN的架构差异是零信任最广为人知的改造点：
| 维度 | 传统VPN | ZTNA |
|---|---|---|
| 信任粒度 | 连接即信任整段网络（三层可达） | 按用户+设备身份授权到具体应用（七层代理，最小可见面） |
| 暴露面 | 网关长期暴露公网，暴力破解与漏洞利用的固定靶标 | SPA类技术连接前不开放端口；网关默认隐身 |
| 体验 | 全量隧道、回传集中、卡顿率高 | 按需连接、就近接入、应用级加速 |
| 会话控制 | 会话长期有效，设备丢失后风险延续 | 会话绑定设备姿态与风险评分，可实时吊销（准则T3/T5） |
选型评估维度：身份源集成深度（IdP联邦/条件访问API）、设备姿态信号丰富度、私有应用协议覆盖（含运维协议RDP/SSH/数据库）、高可用与容灾架构、国密支持（SM系列套件）、日志开放性（供第7页SIEM/UEBA消费）。迁移原则：ZTNA与VPN并行期应明确"例外清单＋到期日"，防止VPN通道成为永久后门；运维类访问优先纳入（攻击面价值最高）。
04 · DLP数据防泄漏技术体系
4.1 内容识别技术谱系（误报率与覆盖面的权衡）
| 技术 | 原理 | 适用 | 局限 |
|---|---|---|---|
| 关键字/正则 | 模式匹配（身份证号、银行卡号规则等） | 结构化标识符、合规基线 | 高误报（如连续数字误判）、无法识语义 |
| 数据指纹（EDM） | 对受保护数据集计算指纹，比对泄露内容片段 | 高价值文档库（合同、图纸、代码）精确外发管控 | 需维护指纹库；格式转换后识别率下降 |
| 精确数据匹配（IDM） | 结构化字段（数据库行）级匹配 | 个人信息、财务数据的批量外发检测 | 依赖源数据质量与更新时效 |
| OCR | 图像/扫描件文字识别后检测 | 截图、扫描件、拍照外发 | 计算开销大；识别准确率随质量波动 |
| NLP/文档分类 | 语义与主题分类（合同/病历/源码等） | 非结构化数据广谱发现 | 需训练与调优；领域迁移衰减 |
| 分级标签消费 | 直接读取子课题01打标结果执行策略 | 已治理数据的低成本高一致管控 | 标签覆盖率决定实效——与打标工具链联动 |
4.2 通道覆盖与响应动作
- 通道矩阵：终端外设/剪贴板/截屏、网络出口、邮件网关、SaaS与云存储（API级CASB能力）、Web上传——重要数据通道须全覆盖，单通道强管控只会驱离泄露路径。
- 响应分级：放行＋审计→告警→阻断→加密/水印后放行→外发审批流转；响应动作应与会话风险联动（中风险会话的DLP阈值更严），并与UEBA共享事件（第7页）。
- 运营纪律：DLP策略上线必经"影子模式（只告警）→阈值调优→执行"流程；定期复盘误报工单——DLP失败的首要原因通常是运营放弃而非技术失效。
05 · 加密与密钥管理（零信任准则×密评要求一体化）
5.1 加密体系的分层设计
- 传输加密：南北向TLS 1.3（RFC 8446，2018年发布）；东西向mTLS；国内场景采用国密SSL（SM2密钥交换/证书、SM4加密、SM3完整性）。等保与密评均要求"通信保密性与完整性"。
- 存储加密：磁盘/卷级（TDE透明加密）＋列级/字段级加密（重要/敏感字段）；数据库TDE满足"基线"，列级加密满足"增强"——子课题01的分级标签决定加密到哪一层。
- 使用环节：可信执行环境（TEE）与多方安全计算的"使用中保护"属子课题04范畴，本子课题仅消费其接口。
5.2 密钥管理架构
| 机制 | 内容 | 合规要点 |
|---|---|---|
| KMS（密钥管理服务） | 密钥生成、分发、轮换、吊销全生命周期托管 | 密钥分级（主密钥/数据密钥分离）；与访问策略联动 |
| HSM（硬件安全模块） | 密钥在硬件边界内生成与运算，私钥不可导出 | 密评对关键密钥的物理与逻辑保护要求；国密HSM须具备商用密码产品认证 |
| 信封加密 | 数据密钥加密数据、主密钥加密数据密钥的两级体系 | 主密钥集中管控（HSM），数据密钥可分布式存储——兼顾安全与性能 |
| BYOK/HYOK | 用户自带/自持密钥（云服务场景） | 跨境与多云场景的数据主权控制手段（与子课题03衔接） |
| 证书生命周期 | 签发、轮换、吊销（CRL/OCSP）、短周期化 | 机器身份密钥的短周期与自动轮换（第4页） |
密评一体化设计清单（GB/T 39786-2021四层视角）：①物理和环境——机房与密码设备部署；②网络和通信——国密SSL/IPSec通道、VPN网关；③设备和计算——服务器/终端密码模块、固件与镜像签名；④应用和数据——应用层密码服务调用、存储加密、密钥管理。零信任改造涉及的每一条加密链路都应落入密评技术框架的对应层面，避免"零信任一套密码、密评另一套密码"的双重成本。
06 · 脱敏与数据库访问安全
- 静态脱敏：生产→测试/开发/分析环境的数据交付前脱敏（屏蔽、泛化、置换、加密、标记化），杜绝测试环境成为泄露重灾区；脱敏规则应与数据分级联动（重要数据字段强制不可逆脱敏）；去标识化的技术与过程管理可参照GB/T 37964-2019《信息安全技术 个人信息去标识化指南》。
- 动态脱敏：按访问者身份实时遮蔽返回字段（客服只见尾号、分析师见全量需审批）——ABAC策略在数据层的直接执行形态，与策略矩阵（本节§1）同一策略源。
- 数据库访问安全：数据库防火墙（SQL注入与高危操作拦截）、数据库审计（覆盖直连与绕应用访问）、运维堡垒机（数据库运维的PAM延伸，命令级审计与审批）；影子数据库与副本纳入同等管控。
本节参考来源（第5页）
CISA《The Journey to Zero Trust: Microsegmentation in Zero Trust, Part One: Introduction and Planning》（2025年7月29日发布）：CISA官网发布页。
RFC 8446《TLS 1.3》（2018年8月）：RFC Editor。
GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》；GB/T 22239-2019：国家标准全文公开系统；国密算法标准（SM2/SM3/SM4等）：国家密码管理局。
Gartner关于SASE（2019年提出）与SSE（2021年）的概念框架：Gartner官网（概念性引用，非完整报告）。
GB/T 37964-2019《信息安全技术 个人信息去标识化指南》（脱敏与去标识化技术依据）：国家标准全文公开系统。