01 · 成熟度评估总体框架
1.1 双模型对齐：CISA ZTMM × DSMM
组织可建立"国际坐标＋本土坐标"的双模型评估：CISA ZTMM v2.0提供五支柱×四阶段的成熟度量表（第6页已述），适合对标国际最佳实践与跨国集团统一汇报；GB/T 36073-2018（DSMM）则以30个过程域评价数据安全能力成熟度（非正式执行→计划跟踪→充分定义→量化控制→持续优化五级），其访问控制、审计、身份管理等过程域与国内等保、密评、数据安全审计的本土语境直接对应。双模型的交叉校验可暴露"国际分高、本土分低"的口径偏差（典型如密评未覆盖而ZTMM网络支柱自评偏乐观）。
| 评估维度 | CISA ZTMM锚点 | DSMM锚点（示例） | 评估方法 |
|---|---|---|---|
| 身份与访问 | 身份支柱四阶段 | 访问控制、鉴别与认证过程域 | 问卷＋配置抽查＋MFA覆盖率报表 |
| 数据管控 | 数据支柱四阶段 | 数据分类分级、数据安全审计过程域 | 分级台账核验＋策略引擎裁决率统计 |
| 密码应用 | 网络/设备支柱相关项 | （密评体系）GB/T 39786四层要求 | 密评报告＋密码应用方案核查 |
| 运营响应 | 自动化与编排横向能力 | 安全事件管理、应急演练过程域 | SOAR剧本演练记录＋MTTD统计 |
1.2 评估组织与节奏
- 评估主体：自评由零信任策略委员会组织、各支柱责任人填报，安全审计岗复核——避免"自己评自己全优"。
- 评估节奏：年度全面自评＋季度支柱快报（仅更新有变化项）；重大变更（并购、核心系统上线、组织调整）触发专项重评。
- 结果呈现：五支柱雷达图＋四阶段定位＋TOP差距清单，向管理层汇报时附预算与人力需求映射。
02 · 自评问卷示例（摘要）
以下为问卷节选示例（完整版为本课题交付物之一），每题按0—3分评分（0=无，1=部分，2=基本，3=完全），并与ZTMM阶段对应：
| 支柱 | 问卷条目（示例） | 3分对应阶段 |
|---|---|---|
| 身份 | ①抗钓鱼MFA是否覆盖全体员工与特权访问？②授权是否以属性策略（ABAC/PBAC）实现会话级最小权限？③离职权限是否当日全渠道吊销并有自动化验证？ | 进阶—最优 |
| 设备 | ④受管设备是否实时上报态势至策略引擎？⑤不合规设备访问重要数据是否被默认拒绝？ | 进阶—最优 |
| 网络 | ⑥东西向流量是否默认拒绝并按身份白名单开放？⑦微隔离是否覆盖核心数据中心与全部云环境？ | 进阶—最优 |
| 应用与工作负载 | ⑧服务间通信是否以mTLS＋工作负载身份鉴权？⑨非人身份是否全量登记并可问责到人？ | 初始—进阶 |
| 数据 | ⑩重要数据访问是否100%经策略引擎裁决？⑪外发通道是否全通道DLP覆盖且标签缺失降级管控？ | 进阶—最优 |
评分纪律：问卷答案须有证据支撑（配置截图、系统报表、演练记录），无证据不得计分；抽样复核发现的虚报在委员会通报并扣减该支柱总分——评分的公信力是成熟度体系的生命线。
03 · KRI/KPI指标体系
| 类型 | 指标 | 定义与目标方向 |
|---|---|---|
| KRI 风险指标 | 失陷会话存活时长 | 从UEBA触发到处置完成的耗时；目标：持续缩短 |
| 特权账号例外率 | 未走PAM的特权会话占比；目标：趋零 | |
| 重要数据无标签访问率 | 未经策略引擎裁决的重要数据访问占比；目标：趋零 | |
| 过期未复核例外数 | 例外台账中超过到期日的条目；目标：零 | |
| KPI 能力指标 | 抗钓鱼MFA覆盖率 | 已启用FIDO2/证书认证的账号占比；目标：100% |
| 六要素日志覆盖率 | 关键系统接入审计平台的占比；目标：100% | |
| 策略引擎裁决率 | 数据访问经PDP动态裁决的占比；目标：重要数据100% | |
| ZTMM阶段推进数 | 年度内完成阶段跃迁的支柱数；目标：每支柱至少一级/三年 |
04 · 三年实施路线图（六阶段）
- 推进闸门：每阶段结束以里程碑判据验收，未达标不得启动下一阶段资源投入——避免"烂尾式跃进"。
- 预算结构：建议首年建设:运营≈7:3，第三年至5:5——零信任的长期成本主体在运营（策略治理、日志分析、演练）。
- 人员配置：明确专职岗位（零信任架构师、策略工程师、信任评估运营）；中小组织可采用"一专多能＋外部托管检测"的轻量模式。
05 · 内部与外部审计要点
5.1 内部审计（年度）
- 策略有效性测试：抽样验证策略矩阵（第5页§1）的执行一致性——同一请求在不同PA的执行结果是否一致；标签缺失降级规则是否真实生效。
- 例外与变更审计：例外台账全量复核（到期、风险接受人、补偿控制）；策略变更走查（评审、测试、灰度、回滚记录）。
- 剧本与演练审计：SOAR剧本半年演练的执行质量、误处置复盘；钓鱼演练与条件访问联动效果。
5.2 外部衔接（等保/密评/合规审计）
| 外部程序 | 衔接要点 |
|---|---|
| 等级保护测评 | 将零信任控制映射至GB/T 22239-2019对应控制项（第2页映射表），作为"增强措施"在测评中说明；不替代、不冲突 |
| 商用密码应用安全性评估 | 零信任加密链路全部纳入密评四层框架（第5页§5清单）；关基运营者按密评办法每年至少一次并30日内备案 |
| 个人信息保护合规审计 | 员工监控与访问日志处理纳入审计范围（第7页§6）；《个人信息保护合规审计管理办法》（国家网信办令第18号，2025.5.1施行）要求处理超1000万人个人信息的处理者每两年至少审计一次（办法第4条） |
| 第三方/供应商审计 | ZTNA/SASE服务商的SOC 2/ISO 27001报告核验、子处理者清单、渗透测试摘要；数据主权与退出机制条款复核（第6页） |
06 · 全课题总结与交付物回顾
研究闭环：本子课题以"制度基座（第2页）→架构模型（第3页）→身份体系（第4页）→技术落地（第5页）→实施迁移（第6页）→审计运营（第7页）→度量路线（第8页）"的八页链条，完成了零信任与数据访问控制从"为什么"到"怎么做、怎么证"的完整研究。三个关键研究问题的应答落点：KQ-1（制度衔接）由第2页映射总表与第8页外部审计要点回答；KQ-2（策略引擎的数据语境）由第3页"最严标签优先"规则与第5页策略矩阵回答；KQ-3（持续评估可信度）由第7页置信度分级处置与第8页KRI/KPI体系回答。
| 页码 | 交付物 |
|---|---|
| 第1页 | 研究框架与关键研究问题（KQ-1/2/3） |
| 第2页 | 中美欧义务—控制—证据映射总表＋罚则要点清单 |
| 第3页 | 七准则架构评审清单＋四变体部署决策表 |
| 第4页 | 抗钓鱼MFA路线图＋授权模型演进方案＋身份能力地图（三层九项） |
| 第5页 | 策略矩阵模板＋五技术选型评估维度＋密评一体化设计清单 |
| 第6页 | 四阶段迁移路径＋失败模式规避清单＋ZTNA选型清单 |
| 第7页 | 审计六要素模型＋UEBA场景库＋SOAR剧本模板 |
| 第8页 | 成熟度自评问卷＋KRI/KPI指标卡＋三年六阶段路线图 |
与课题总体系的关系：零信任与数据访问控制是数据安全专题的"执行引擎"——它消费子课题01的分级标签、承载子课题02/03的合规义务、支撑子课题04的可信流通、为子课题06提供溯源证据；同时通过反钓鱼工作组的情报与演练体系，将"人的要素"这一最大风险面（DBIR 2024：68%的泄露涉及人的要素）纳入持续评估闭环。本课题的研究将持续跟踪NIST、CISA与国家密码管理局的后续发布滚动更新。
本节参考来源（第8页）
CISA《Zero Trust Maturity Model》v2.0（2023.4）：CISA官网。
GB/T 36073-2018《信息安全技术 数据安全能力成熟度模型》；GB/T 39786-2021：国家标准全文公开系统。
《个人信息保护合规审计管理办法》（国家网信办令第18号，2025.2.12公布、2025.5.1施行；处理超1000万人个人信息的处理者每两年至少审计一次，办法第4条）：中国网信网（办法全文）。
《商用密码应用安全性评估管理办法》（2023.11.1施行，关基运营者每年至少一次密评、30日备案）：国家密码管理局官网。