01 · CISA成熟度模型：5支柱×4阶段×3能力
1.1 四阶段特征（ZTMM v2.0）
| 阶段 | 总体特征 | 身份支柱示例特征 |
|---|---|---|
| 传统 Traditional | 静态/手动管控；依赖边界防御；最小可见性；系统隔离 | 身份验证仅限基本MFA（或缺失）；手工生命周期管理 |
| 初始 Initial | 部分自动化；开始整合安全能力；部分可见性 | MFA扩展至远程与部分内部访问；开始引入自适应策略 |
| 进阶 Advanced | 跨支柱自动化；集中管理；较全面的遥测 | 抗钓鱼MFA主流化；属性与上下文驱动的授权；风险感知 |
| 最优 Optimal | 全面自动化与编排；动态策略；实时跨支柱响应 | 持续验证与再认证；会话级动态降权/吊销完全自动化 |
1.2 三项横向能力与推进原则
- 治理：跨支柱的策略、角色与流程统一治理——避免"网络组做完微隔离、身份组做完MFA、数据组做完分级，互不联动"的支柱孤岛；治理机制应纳入安全委员会与年度规划。
- 可见性与分析：贯穿五支柱的遥测与统一分析平台——可视性是前提：看不到的东西无法管控，ZTMM要求每个支柱的每阶段都回答"我们能看到什么"。
- 自动化与编排：策略分发、响应处置、例外管理的自动化程度——最优阶段的标志是"检测→决策→处置"分钟级闭环（第7页SOAR）。
关键原则：各支柱可以不同步。CISA明确组织可按自身风险状况在不同支柱上处于不同阶段（例如身份已达"进阶"、数据仍处"初始"）；路线图设计应遵循"风险优先"而非"整齐划一"。
02 · Forrester五步法实施框架
Forrester零信任实施五步法（操作化解释）
每一步的输出物作为下一步的输入；可与ZTMM阶段对齐推进
来源：Forrester零信任实施方法论公开框架；操作化解释为本课题整理。
与NIST路线图的对应：NIST NCCoE SP 1800-35（2025年6月发布）以"通用ZTA构建模块＋19个商用产品组合示例"的方式验证了五步法各环节的工程可行性——其示例架构涵盖身份与访问管理、设备态势、策略决策与执行、遥测分析等模块，由24家技术合作方以商用现成产品构建19个示例实现（含多云、分支机构、公共Wi-Fi远程接入等场景），可作为POC设计的对照蓝本。DoD零信任战略（2022年11月）则以FY2027目标设定展示了超大规模组织（数百个四级目标）的分阶段推进法。
03 · 迁移路径：从VPN替换到全面ZTA
| 阶段 | 范围 | 里程碑判据 |
|---|---|---|
| 阶段0：基线 | 资产与数据盘点、身份源整合、日志集中（M-21-31式日志能力是通用前提） | 保护面清单覆盖≥90%关键业务；单一身份源上线 |
| 阶段1：远程接入改造 | VPN→ZTNA切换（办公应用优先），抗钓鱼MFA全员覆盖 | 远程访问100%经ZTNA；VPN例外清单清零或有到期日 |
| 阶段2：内部应用与运维通道 | 内网应用经ZTNA/门户化；运维通道经PAM；微隔离试点（核心数据中心） | 运维直连清零；核心区域东西向默认拒绝 |
| 阶段3：数据与工作负载 | 分级标签接入策略引擎；微隔离扩展至全云环境；工作负载身份落地 | 重要数据访问策略引擎裁决率100%；机器身份覆盖率≥95% |
| 阶段4：持续运营 | UEBA＋SOAR自动化处置；条件访问全员全场景；成熟度自评进入"进阶" | 失陷账号自动处置分钟级；策略例外全部带到期日 |
- 试点设计：试点域选择遵循"高价值、可回退、可度量"三原则——优先选攻击面价值高（如运维通道、含重要数据的系统）、具备完整回退方案、且能以量化指标验收（异常拦截率、用户摩擦度、故障恢复时长等）的场景；试点周期建议6—12周，成功标准事先书面化并经业务Owner签字确认，避免"以试点之名行永久例外之实"。
- 例外管理纪律：所有例外必须登记（对象、理由、风险接受人、到期日）；到期未复核自动恢复默认策略。例外台账是审计与成熟度评估的核心证据。
- 遗留系统策略：无法改造的老旧系统纳入"飞地网关"（第3页变体②）统一防护；对既无法改造也无法纳管的，明确隔离边界与补偿控制并限期退役。
- 业务连续性预案：PE/PA故障的降级策略（fail-open/fail-close）按业务分级预定义并每半年演练——零信任最忌"安全面单点故障导致业务全停"。
04 · 组织变革与策略即代码
- 协作模式变革：零信任要求网络团队（微隔离/网关）、身份团队（IdP/MFA/IGA）、安全团队（策略/检测）、业务Owner（数据与流程）四方共担策略责任——治理机制上建议设立"零信任策略委员会"，以策略评审会取代"各管一段"的工单流转。
- 技能转型：网络工程师向"策略工程师"转型（策略语言、自动化测试）；安全运营从"告警响应"转向"信任评估运营"（调参、误报治理、例外裁决）。
- 策略即代码（PaC）：策略以声明式语言集中托管，经仿真测试、评审、灰度后分发至各PA；策略变更与代码变更同走CI/CD——变更可审计、可回滚、可复现，这是"治理"横向能力的工程基础。
- 供应商管理：ZTNA/SASE服务商本身成为信任链关键节点——合同应明确数据主权、日志归属、退出机制与子处理者清单（与子课题03出境合规衔接）。
05 · 常见失败模式与规避
| 失败模式 | 典型症状 | 规避要点 |
|---|---|---|
| ① 大跃进式改造 | 一次性全网上线，业务大面积故障，项目回退 | 试点→灰度→推广；每阶段设回退点；从低峰业务开始 |
| ② 产品采购替代体系建设 | 网关买了、MFA上了，但共享账号、权限膨胀依旧 | 身份治理与PAM先行；ZTMM五支柱均衡自评（第8页） |
| ③ 策略过严逼出影子通道 | 员工改用个人网盘/邮箱传文件，泄露面反而扩大 | 策略与DLP、审批流配套；给业务"合规的便捷通道" |
| ④ 忽视遗留与例外 | 例外清单膨胀成"永久后门"；老旧系统成横向跳板 | 例外到期强制复核；飞地纳管+补偿控制+退役计划 |
| ⑤ 无指标运营 | 项目验收后无人运营，策略腐化、日志无人看 | 从建设期即定义KRI/KPI（第8页）；运营预算立项 |
06 · ZTNA产品选型评估清单（评估维度模板）
| 评估维度 | 关键问题 | 权重建议 |
|---|---|---|
| 身份集成 | 是否原生支持OIDC/SAML联邦与条件访问API？能否消费外部风险评分？ | 高 |
| 设备态势 | 对接哪些MDM/EDR信号？BYOD场景的降级管控能力？ | 高 |
| 协议与应用覆盖 | Web、TCP（SSH/RDP/数据库）全覆盖？私有协议与遗留客户端兼容方案？ | 高 |
| 国密合规 | 是否支持国密SSL套件与SM2证书？有无商用密码产品认证？ | 高（国内场景） |
| 高可用架构 | 网关多活？PDP故障降级策略？与业务连续性要求的匹配度？ | 中高 |
| 日志开放性 | 决策日志六要素是否完整？标准格式输出（CEF/Syslog/API）供SIEM消费？ | 中高 |
| 性能与体验 | 首包延迟、大文件传输吞吐、移动端耗电量？就近接入节点覆盖？ | 中 |
| 供应商治理 | 数据主权与日志归属、退出与迁移机制、子处理者透明度？ | 中 |
注：本清单为评估维度模板，不构成对任何具体产品的推荐或背书；POC应使用真实业务流量验证。
本节参考来源（第6页）
[1]
CISA《Zero Trust Maturity Model》v2.0（2023.4）：CISA官网。
[2]
NIST NCCoE SP 1800-35《Implementing a Zero Trust Architecture》（2025.6）：NCCoE项目页。
[3]
美国国防部《Department of Defense Zero Trust Strategy》（2022.11）：美国国防部官网。
[4]
Forrester Research零信任实施方法论公开框架（John Kindervag, 2010—2022系列出版物）：Forrester官网。
[5]
OMB M-21-31（2021.10，日志记录要求）：白宫OMB（国家档案馆藏）。