文章总结： NSA发布两份《零信任实施指南》，指导政府及国防机构落实零信任架构以应对高级威胁。指南详述七大支柱与实施阶段，发现阶段重点盘点用户设备数据资产并评估风险，提供具体任务流程，为构建动态防御体系提供系统性建议。 综合评分： 85 文章分类： 安全建设,解决方案,网络安全,技术标准,政策法规

美国国家安全局发布两份《零信任实施指南》

原创

计算机与网络安全 计算机与网络安全

计算机与网络安全

2026年1月20日 07:58 山东

2026年1月14日，美国国家安全局（NSA）发布两份《零信任实施指南》。

第一份

零信任实施指南：入门

《零信任实施指南入门》是美国国家安全局（NSA）于2026年1月发布的一份网络安全技术报告，旨在为零信任（Zero Trust, ZT）架构的实施提供全面、系统的指导。该文件不仅是零信任概念的入门介绍，更是一套结构化、分阶段的实施方案，帮助组织—特别是美国国防部（DoW）、国防工业基础（DIB）、国家安全系统（NSS）及相关机构—将零信任原则融入其运营流程，以应对日益复杂和高级的网络威胁。零信任代表了一种根本性的网络安全范式转变，其核心在于摒弃传统的基于边界的“信任但验证”模型，转而采用“从不信任，始终验证”和“假设已被入侵”的原则。这意味着，无论用户、设备或应用位于网络内部还是外部，每次访问请求都必须经过严格的、持续的认证和授权，确保只有合法且合规的实体才能访问特定资源。

该指南的编制背景源于美国总统行政命令（EO）14028《改善国家网络安全》的授权，该命令要求联邦政府机构采纳零信任架构。特别是针对国家安全系统，国家安全管理备忘录8号（NSM-8）进一步细化和强化了这些网络安全要求。这些政策指令的共同目标是推动国家网络安全态势的现代化，通过加强数字基础设施、应对关键漏洞、强化网络安全实践以及促进公共和私营部门之间的合作，来应对不断演变的威胁环境。零信任思维的采纳要求组织从根本上重新评估和反思其网络安全方法。它并非取代传统的边界安全模型，而是对其进行增强，创造一种更动态的防御姿态，即默认不信任任何实体，并持续验证其安全状态。

零信任的指导原则，如NIST特别出版物800-207所概述，是零信任架构的核心。这些原则包括“从不信任，始终验证”，即将每个用户/人员实体（PE）、设备/非人员实体（NPE）、应用/工作负载和数据流都视为不可信，并基于最小权限原则动态认证和显式批准所有活动；“假设已被入侵”，即在运营和防御资源时，假设对手已存在于环境内部，并为此制定默认拒绝策略，严格审查所有用户、设备、数据流和请求，同时持续记录、检查和监控所有配置更改、资源访问和环境流量以发现可疑活动；“显式验证”，即使用多个属性（动态和静态）安全、一致地验证对所有资源的访问，以便为基于上下文的访问决策提供置信度。

在设计零信任架构时，需要关注几个关键概念。首先是定义任务成果，即从组织特定的任务需求出发，识别关键的数据、应用、资产和服务（DAAS），并以此为基础构建零信任架构。其次是由内而外进行架构设计，优先保护关键DAAS，然后确保所有访问DAAS的路径的安全。接着是确定谁/什么需要访问DAAS以创建访问控制策略，这些安全策略应在所有环境（如局域网、广域网、端点、边界、移动环境等）中一致应用。最后是在行动前检查和记录所有流量，建立从端点到环境的全面、完整的活动可见性，以支持能够检测、追踪和理解可疑活动的分析能力。

零信任远不止是一种信息技术解决方案，它是一种整体的网络安全方法。虽然零信任可能利用特定技术或产品，但它本身并非单一的能力或设备。采纳零信任是一段旅程，需要整合能力、技术、解决方案、流程和使能因素。这段旅程需要利益相关者的参与以确保一致性和认同，需要优先级划分方案以有效集中资源，还需要一个持续的反馈循环以进行持续改进和适应。为了支持这种整体方法，国防部零信任战略概述了适用于任何组件或企业的四个高层战略目标：零信任文化采用、安全和防御的信息系统、技术加速以及零信任使能。这些目标涵盖了推动零信任成功实施的支持功能，并解决了支持成功零信任架构所需的使能因素和治理问题。这些支持功能在零信任实施指南中均有讨论，但政策和培训除外，这两者不在ZIG的范围内，仅在此简要提及。

政策和培训是零信任成功的关键支柱。政策对于确保国防部零信任框架在企业范围内得到统一应用和完全互操作至关重要。可能需要根据零信任原则和方法，在适用的组件之间制定、重新定义和同步企业级的流程、政策和资源。培训方面，培养企业范围内的零信任思维模式至关重要。这种思维模式指导整个企业的IT设计、开发、集成和部署，并需要建立一种所有人员都意识到、理解、承诺并接受培训以拥抱零信任的文化。应开发一种培训模型，分析企业完成使命和/或业务需求所需的技能。充足的培训是零信任过程的基础，应解决各种培训需求，包括意识培训（将零信任概念纳入持续的安全和隐私素养培训，涵盖核心零信任原则、益处及其对日常工作的实际影响）、基于角色的培训（识别需要零信任角色培训的具体角色，这种培训根据分配的职责量身定制，可以是技术性或管理性的）以及开发人员提供的培训（要求环境内的任何系统开发人员、系统组件或系统服务提供关于正确使用和操作已实施的安全功能或机制的培训，以确保在操作使用期间维护零信任原则）。

本入门文件的目的是概述并链接国防部、网络安全和基础设施安全局（CISA）以及国家标准与技术研究院（NIST）为实现目标级零信任架构所提供的总体指导。它为使用零信任实施指南提供方向和指导，这些指南概述了实施技术和流程的步骤，以实现国防部零信任框架定义的目标级零信任能力、活动和预期成果。最后，本入门文件描述了用于进一步分解零信任活动的方法论，以便系统所有者和从业者深入了解如何最好地利用ZIG。本入门文件是ZIG的配套文件，ZIG与国防部定义的目标级零信任实施相对应。文件中的图2描绘了通过零信任阶段（发现、第一阶段、第二阶段、第三阶段、第四阶段）、级别（目标级、高级）以及每个文档中包含的相关能力和活动，展示了国防部零信任框架与ZIG的对齐关系。

发现阶段ZIG内的活动目的是收集组织环境的信息，例如DAAS、用户/PE/NPE等。第一阶段的活动在组件环境的基础上进行或进一步细化，以建立支持零信任能力的安全基础。第二阶段的活动标志着在组件环境内开始集成不同的零信任基本解决方案。针对高级别（第三阶段和第四阶段）的ZIG可能会在未来开发。ZIG旨在供熟练的从业者、个人、利益相关者和负责实施零信任技术和战略方面的团队使用。它们可在国防部、国防工业基础、国家安全系统、工业界、学术界和附属组织中使用。目标受众包括技术实施者/熟练从业者（管理零信任使能技术和配置的技术实施的人员）、企业环境所有者（负责维护和保护大规模IT基础设施的利益相关者）、网络安全领导者（负责设计、监督和优化网络安全措施的专业人员）以及外部合作伙伴和供应商（提供技术、服务和/或专业知识以支持零信任工作的合作者）。

本入门文件及相关ZIG旨在通过提供实用、可操作的建议来促进零信任实施，从而指导和支持各种环境中的组织。这些指南解释了指导零信任架构开发的历史背景和授权，为使用相关ZIG提供方向和指导，并描述用于定义ZIG内相关活动和实施过程的方法论。与当前国防部零信任框架保持一致，ZIG最适用于IT企业环境。未来的更新可能会涉及其他上下文环境，包括操作技术（OT）、国防关键基础设施（DCI）和/或战术/武器系统。随着能力和技术的进步，ZIG将持续修改。需要明确的是，本入门文件及相关ZIG并非规定性或强制性的，组织应确定自己的起点，并根据具体需求定制能力和活动；它们不是一刀切或逐步顺序实施零信任的指南；也不是供应商特定的，能力部分列出的技术仅供参考，可能未包含所有可能的技术，且是供应商无关的；它们并非旨在取代、影响或改变任何现有权力、法律或政策。

ZIG的编制基于若干假设。ZIG并非设计或意图设定固定的实施起点或终点。组织可以灵活选择起点，并根据其特定环境定制指南。活动可以并发实施。读者需具备网络安全架构、原则及其组织关键基础设施和关键资源的基础理解。读者需在身份和访问管理（IAM）、端点安全、网络安全和安全分析等领域具备技术专长。实施组织应熟悉零信任、其架构以及国防部零信任框架。人员需具备必要的技能和培训，以实施软件定义网络（SDN）、开发安全运维（DevSecOps）实践、人工智能/机器学习解决方案、数据保护能力以及安全编排，包括自动化与编排（A&O）和持续集成/持续交付（或部署）流水线。这包括能够利用基于云的解决方案（如平台即服务、软件即服务、基础设施即服务、一切即服务等）进行零信任实施。未来的ZIG将涉及零信任高级别及后续阶段（第三和第四阶段）。

为了充分利用ZIG，从业者应熟悉以下权威参考资料：NIST SP 800-207《零信任架构》（2020年8月）、NIST SP 800-53《信息系统和组织的安全和隐私控制》（2020年9月）、NSA/CSS CSI：《拥抱零信任安全模型》1.0版（2021年2月）、CISA《零信任成熟度模型》2.0版（2022年1月）、国防部《零信任参考架构》2.0版（2022年7月）、国防部《零信任战略》1.0版（2022年10月），以及NSA/CSS自2023年至2024年发布的关于用户、设备、网络与环境、数据、可见性与分析、应用与工作负载、自动化与编排等七大支柱的零信任成熟度系列指南。随着这些参考资料被更新或废止，实施工作应重新评估和修订，以符合最新的法律、政策和行业最佳实践。

ZIG的设计方法论细化了国防部零信任框架为零信任架构实施提供的指导。它紧密遵循国防部零信任框架的结构，从每个阶段内的支柱级别开始。国防部零信任框架定义的能力和相关活动被进一步分解为每个活动的实施过程。ZIG方法论专注于框架的活动级别（作为最低级别元素），指导熟练的从业者构建和定制他们的实施方法。每个活动都被结构化为离散的任务，这些任务被进一步分解为推荐的过程和行动，以满足活动的意图。国防部零信任框架使用支柱和能力来定义实施零信任架构的“是什么”和“为什么”。活动则描述了实现这些目标的“为什么”和“如何做”。ZIG被有意设计为包含一些重复内容，以确保每个能力和活动都可以作为独立的参考。缩略语在各个部分中始终被拼写出来，以提高清晰度和模块化。活动名称在整个文档中均以斜体显示，以增强可见性和易于识别。

ZIG的结构如下：首先是支柱部分，介绍国防部零信任框架每个阶段所涉及的支柱。零信任支柱通过强调持续验证、验证、严格的访问控制和数据保护，为保护现代IT系统提供了一个框架。其次是能力部分，介绍与国防部零信任框架每个阶段相关的每个能力。能力部分先于相关活动，描述了国防部定义的每个零信任能力。它以类似于图4的表格开始，该表格映射到适用的支柱和能力描述。图4中显示的支柱和能力描述取自国防部首席信息官指导文件，特别是《国防部零信任执行路线图v1.1数据表》。它们被逐字收录，未作任何更改。在能力表之后是与该能力相关的场景、积极影响和技术子部分。场景子部分说明了实际应用，突出了支撑每个能力的技术如何解决特定挑战或机遇。这些场景并非详尽无遗，也不用于评估系统的零信任实施情况。它们提供了实际应用和考量的示例，帮助利益相关者理解采纳一项能力的价值和影响。这种方法支持明智的决策制定，并使能力与组织目标保持一致。积极影响子部分提供了组织从实施该能力中可能获得的潜在益处的示例。技术子部分包括一个使能该能力的代表性技术列表，并非组织可以考虑的所有技术的详尽列表。

接着是活动部分，介绍与国防部零信任框架每个阶段相关的活动。活动部分以活动表开始，该表包含的信息来源于国防部首席信息官图书馆发布的关于零信任能力和活动的最新更新（截至本文件发布日期）。图5展示了一个示例活动表，表1详细说明了该表格各节信息的来源。术语“企业”和“组件”在整个活动中使用。“企业”指组织架构内任何规模、复杂性或定位的实体（例如，联邦机构，或其适当的任何运营元素等）。企业负责向其管辖范围内的组件提供政策和指导。“组件”指实施零信任的组织。

此外，指南还包含考量、实施、总结和结论等部分。考量子部分清晰解释了可能影响每个活动成功实施的先决条件、挑战和经验教训。它强调了适用的流程和文档，并概述了可能影响特定活动执行的任何限制或依赖关系。通过解决这些考量，该部分旨在为从业者和决策者提供有效规划并根据其独特的组织环境调整所提供指导所需的洞察力。实施子部分提供了一个可操作的路线图，指导从业者完成每项任务的实际执行，确保与整体零信任目标保持一致，并促进可衡量的实施进展。它定义了从国防部零信任框架中概述的活动描述、预期成果和最终状态衍生出的高层任务和过程步骤。总结子部分提供了成功实施每项活动的关键考量和预期成果的高层概述，这些信息以工作流程图的形式呈现，包括就绪性评估（强调在实施零信任活动前需要考虑的关键零信任就绪性问题，侧重于组织就绪性）、战略洞察（概述实施活动后期望达成的预期结果和益处的高层概述）以及预期成果（预期成果在国防部零信任框架中定义，为达成预期成果，组织应使其执行计划与国防部零信任战略保持一致）。结论部分重申了零信任的基本理念，并总结了本指南的价值和持续演进的特性。

文件的附录部分非常详尽，提供了术语定义、缩写列表、参考文献以及活动实施任务图。附录A包含了所有零信任实施指南中使用的术语和定义，从API标准化到零信任架构，涵盖了实施零信任所需了解的几乎所有专业术语。附录B提供了所有零信任实施指南中使用的缩写词和首字母缩略词的完整列表。附录C列出了编制本指南所参考的权威文献和资源。附录D则包含了所有阶段的活动实施任务图，提供了零信任活动实施的视觉表示。这些图显示了活动之间的前后关系，以及每个活动中的具体任务。这为实施者提供了一个清晰的路线图，帮助他们理解如何执行每个活动，并确保与整体零信任目标一致。

总之，这份《零信任实施指南入门》文件是美国国家安全局为零信任架构实施提供的一份全面、系统且极具操作性的权威指南。它不仅阐述了零信任的核心概念、原则和战略背景，更重要的是，它通过结构化的实施指南（ZIG）、分阶段的路线图、详细的能力与活动分解、丰富的术语定义以及可视化的任务图，为组织—特别是国防和安全相关机构—提供了从规划到落地的完整框架。该指南强调零信任不仅仅是一组技术控制，而是一种需要组织文化转变、持续努力和跨领域协作的网络安全范式。它承认实施过程的复杂性和长期性，提供了模块化、可定制的指导，而非一刀切的处方。随着网络威胁环境的不断演变，该指南也承诺将持续更新，以反映最新的最佳实践和技术进展，确保其作为帮助组织构建强大、动态且适应性强的零信任安全态势的宝贵资源。

第二份

零信任实施指南：发现阶段

《零信任实施指南：发现阶段》是美国国家安全局于2026年1月发布的一份网络安全技术报告，版本为1.0，报告编号为U/OO/103058-26 PP-25-3989。该文件是美国政府为响应行政命令14028《提升国家网络安全》而制定的系列零信任实施指南之一，旨在协助美国国防部、国防工业基础、国家安全系统及相关组织将零信任原则融入其运营流程，以实现目标级别的零信任架构。零信任代表了一种网络安全范式的根本性转变，其核心理念是“永不信任，始终验证”和“假设已入侵”，它摒弃了传统的依赖网络边界的防御模式，强调对每一个用户、设备、应用程序和数据流的持续认证和授权。本指南专门聚焦于零信任实施旅程的初始阶段——发现阶段，该阶段的核心任务是全面收集关于组织环境的信息，为后续构建和实施零信任控制措施奠定坚实基础。

文件开篇提供了文档变更历史、免责声明、编写目的、致谢、作者及联系信息。免责声明明确指出，文件中包含的信息和观点按“原样”提供，不附带任何形式的担保，其中提及的任何特定商业产品、流程或服务并不构成或暗示美国政府的认可、推荐或青睐。文件的编写目的是为了推进NSA的网络安全使命，包括其识别和传播威胁、为国家安全系统制定和发布网络安全规范与缓解措施的责任。NSA与国防部首席信息官零信任组合管理办公室紧密合作，将国防部零信任战略中包含的152项零信任活动组织为五个阶段（发现阶段、第一阶段、第二阶段为目标级别，第三阶段、第四阶段为高级级别）。本发现阶段实施指南是系列指南的一部分，该系列还包括一个入门指南以及针对第一阶段和第二阶段的指南，而针对高级别第三、第四阶段的指南可能在未来发布。

指南的执行摘要部分强调了零信任作为应对日益复杂网络威胁的关键方法的重要性。它概述了零信任的核心理念，并列举了支持零信任战略的关键基础文件，包括美国国家标准与技术研究院的《零信任架构特别出版物800-207》、网络安全和基础设施安全局的《零信任成熟度模型2.0版》、国防部的《零信任参考架构2.0版》以及《国防部零信任战略1.0版》。NSA利用其网络安全权限和作为国家安全系统国家管理者的角色，借鉴NIST和国防部的指导，制定了零信任实施指南，旨在帮助相关组织实现国防部零信任框架中描述的目标级别零信任。发现阶段ZIG涵盖了支持发现阶段13项能力的14项活动，其主要目的是收集关于组件环境的信息，例如数据、应用程序、资产和服务，以及用户/人员实体/非人员实体等。

文件的背景部分详细说明了推动零信任采用的强制要求，特别是行政命令14028和国家安全备忘录8号，这些指令旨在通过加强数字基础设施、解决关键漏洞、增强网络安全实践以及促进公私合作来现代化国家的网络安全态势。采用零信任心态意味着从根本上重新评估和重新思考组织内部的网络安全方法，它增强了传统的基于边界的模型，创造了一种更动态的方法，即默认不信任任何实体，无论其位于环境内部还是外部。零信任的指导原则包括：永不信任，始终验证；假设已入侵；以及明确验证。设计零信任架构时需要解决的关键概念包括：定义任务成果；从内到外进行架构设计；确定谁/什么需要访问数据、应用程序、资产和服务以创建访问控制策略；以及在行动前检查和记录所有流量。

指南明确了其目标受众为负责实施零信任技术和战略方面的熟练从业者、个人、利益相关者和团队，包括技术实施者、企业环境所有者、网络安全领导者以及外部合作伙伴和供应商。其范围限定为最适用于信息技术企业环境，未来更新可能涉及其他环境，如运营技术、国防关键基础设施和战术/武器系统。文件强调，本指南及其相关文件不是规定性或强制性的，不是一刀切或循序渐进的步骤指南，也不是供应商特定的，且不旨在取代、影响或改变任何现有权力、法律或政策。实施假设包括组织有灵活性选择起点并调整指南、活动可以并发实施、读者具备网络安全架构和原则的基础理解以及特定领域的技术专长等。

指南的设计方法论紧密遵循国防部零信任框架的结构，从支柱级别开始，将框架定义的能力和相关活动进一步分解为每个活动的实施过程。ZIG方法论聚焦于框架的活动级别，将其作为最低级别的元素，指导熟练从业者构建和定制他们的实施方法。每个活动被结构化为离散的任务，并进一步分解为建议的过程和行动以满足活动的意图。ZIG的结构依次包括支柱、能力、活动、考虑因素、实施和摘要几个主要部分。支柱部分介绍了与国防部零信任框架发现阶段相关的每个支柱，这些支柱通过强调持续验证、严格访问控制和数据保护，为保护现代IT系统提供了一个框架。能力部分引入了与国防部零信任框架相关的每个发现阶段能力，包括场景、积极影响和技术子部分。活动部分则详细介绍了与发现阶段框架相关的活动，每个活动都从活动表开始，其中包含从国防部首席信息官图书馆发布的关于零信任能力和活动的最新信息。

文件的主体部分按照七大支柱详细阐述了发现阶段的具体活动。第一是用户支柱，其核心能力是用户清单管理，旨在识别和整合常规用户和特权用户到支持定期修改的清单中。活动1.1.1“库存用户”要求组件利用企业权威身份源，或建立/增强本地权威源，明确识别IT特权用户，并连接到身份生命周期管理流程。实施任务包括从所有认证源编目非特权用户和特权用户，识别使用自身账户管理的应用程序，并确保所有身份信息都得到权威管理和验证。

第二是设备支柱，包含设备清单和设备授权与实时检查等能力。能力2.1“设备清单”要求组件建立和维护所有授权访问网络的设备的批准清单，并在网络连接前注册所有设备，设备属性包括公钥基础设施机器证书、设备对象、补丁/漏洞状态等。活动2.1.1“设备健康工具差距分析”涉及对环境中的所有物理和虚拟设备进行清点，并部署监控和评估设备健康的有效解决方案。能力2.3“设备授权与实时检查”则强调集成下一代防病毒工具、应用程序控制、文件完整性监控等，以更好地了解风险状况，并集成公钥基础设施和实体活动监控。活动2.3.4“集成下一代防病毒工具与合规连接”着重于采购和实施端点保护平台，并将其与合规连接或端点检测与响应解决方案进行编排，以进行基线状态检查。

第三是应用和工作负载支柱，核心能力是应用清单。能力3.1“应用清单”确保系统所有者识别和清点所有应用程序和应用程序组件，只有经过相应授权官员批准的应用和组件才能在系统所有者管辖范围内使用。活动3.1.1“应用和代码识别”要求组件创建正在使用的批准应用程序和代码的清单，包括开源、商业和内部开发的软件，并跟踪可支持性、托管位置等重要数据。

第四是数据支柱，涵盖数据目录风险对齐和数据监控与感知等能力。能力4.1“数据目录风险对齐”要求数据所有者确保数据被识别和清点，并自动检测数据环境的变化，同时审查数据环境以识别与数据丢失、攻击或任何其他未经授权的更改和/或访问相关的潜在风险。活动4.1.1“数据分析”涉及开发算法以映射数据用于标记和标签，并建立监督机构。能力4.4“数据监控与感知”则要求数据所有者捕获包括关于其数据资产的访问、共享、转换和使用信息的活动元数据，并进行数据丢失防护和数据权限管理执行点分析以确定工具部署位置。活动4.4.1“数据丢失防护执行点日志记录和分析”及活动4.4.2“数据权限管理执行点日志记录和分析”分别侧重于建立管理DLP和DRM执行点的业务规则，并与网络运营协调以支持标准化日志记录。

第五是网络和环境支柱，主要包括数据流映射和软件定义网络能力。能力5.1“数据流映射”要求组件通过收集、映射和可视化网络流量数据流和模式来协调数据流，以确保对网络和数据、应用程序、资产和服务资源的授权访问和保护。活动5.1.1“定义细粒度控制访问规则和政策第一部分”涉及企业与组件合作创建细粒度的网络访问规则和政策，并开发相关的行动概念。能力5.2“软件定义网络”强调定义API决策点并实施SDN可编程基础设施，以分离控制平面和数据平面，并集中管理和控制数据平面中的元素。活动5.2.1“定义软件定义网络应用编程接口”则要求定义支持SDN或替代网络方法功能所需的API和其他编程接口。

第六是自动化和编排支柱，涉及策略决策点与策略编排、关键流程自动化、安全编排自动化与响应以及API标准化等能力。能力6.1“策略决策点与策略编排”要求组件最初收集并记录所有基于规则的策略，以在整个安全堆栈中进行编排，以实现有效的自动化。活动6.1.1“策略清单和开发”涉及对现有网络安全策略和标准进行编目和清点，并根据需要进行更新和创建，以满足关键的零信任目标级别功能。能力6.2“关键流程自动化”关注使用如机器人流程自动化等方法处理重复性、可预测的任务。活动6.2.1“任务自动化分析”要求识别和枚举所有可以手动和自动执行的任务活动。能力6.5“安全编排、自动化与响应”旨在实现安全技术的初始运营能力，以编排和自动化策略和规则集。活动6.5.1“响应自动化分析”则识别和枚举所有手动和自动执行的响应活动。能力6.6“应用程序编程接口标准化”强调建立和执行企业范围内的编程接口标准。活动6.6.1“工具合规性分析”根据国防部企业API机器可读模式和协议，分析自动化和编排工具及解决方案的合规性和能力。

第七是可见性和分析支柱，核心能力是记录所有流量。能力7.1“记录所有流量”要求组件收集和处理所有日志，包括网络、数据、应用程序、设备和用户日志，并使这些日志可供适当的计算机网络防御服务提供商或安全运营中心使用。活动7.1.1“规模考虑”涉及进行分析以确定当前和未来的监控、检测和响应扩展需求，并制定与组件业务/任务考虑因素及相关风险对齐的优先级计划。

文件的附录部分提供了丰富的支持材料。附录A是术语和定义，详细解释了报告中使用的关键术语，如访问控制、身份管理、警报、分析、应用程序编程接口、人工智能、基于属性的访问控制、身份验证、自动化、可用性、行为、业务连续性计划、能力、证书、挑战、首席信息官、代码、商业现成品、利益共同体、合规连接、组件、行动概念、配置、配置管理、持续、持续身份验证、持续监控、受控非机密信息、对策、凭据、网络威胁情报、网络安全服务提供商、数据目录、数据治理、数据丢失防护、数据平面、数据权限管理、国防工业基础、开发安全运营、设备、灾难恢复计划、动态、飞地、加密、端点、端点保护平台、企业、企业身份提供商、行政命令、联邦信息处理标准、文件完整性监控、健康保险携带和责任法案、识别和身份验证、身份、身份生命周期管理、身份管理、身份提供商、身份和访问管理、身份凭证和访问管理、事件响应、入侵指标、基础设施即服务、完整性、互联网协议、互联网协议安全、物联网、入侵防御系统、库存、即时、密钥、最小权限、日志、机器学习、维护、元数据、微分割、微服务、移动设备管理、多因素身份验证、国家安全系统、网络访问控制、下一代防火墙、非人员实体、操作系统、运营技术、权限、人员实体、个人可识别信息、支柱、平台即服务、策略、策略决策点、策略执行点、特权用户、公钥基础设施、参考架构、资源、风险评估、基于角色的访问控制、安全外壳、安全套接字层、安全信息和事件管理器、安全编排自动化和响应、职责分离、服务提供商、简单对象访问协议、软件定义网络、供应链风险管理、系统、系统所有者、剪裁、遥测、传输控制协议、传输层安全、可信自动化情报信息交换、零信任、零信任架构等。这些定义大多来源于NIST计算机安全资源中心术语表和国防部零信任参考架构等权威来源。

附录B是缩写和首字母缩写词列表，提供了报告中使用的所有缩写和 acronym 的完整列表，例如ABAC（基于属性的访问控制）、AI（人工智能）、API（应用程序编程接口）、C2C（合规连接）、CIO（首席信息官）、CISA（网络安全和基础设施安全局）、CMDB（配置管理数据库）、COI（利益共同体）、CONOPS（行动概念）、COTS（商业现成品）、CSI（网络安全信息表）、CTI（网络威胁情报）、CUI（受控非机密信息）、DAAS（数据、应用程序、资产和服务）、DLP（数据丢失防护）、DIB（国防工业基础）、DoD（国防部）、DoW（战争部）、DRM（数据权限管理）、DRP（灾难恢复计划）、EDR（端点检测和响应）、EO（行政命令）、EPP（端点保护平台）、FIM（文件完整性监控）、FIPS（联邦信息处理标准）、GDPR（通用数据保护条例）、GRC（治理、风险和合规）、HIPAA（健康保险携带和责任法案）、IAM（身份和访问管理）、ICAM（身份、凭证和访问管理）、IdP（身份提供商）、IoT（物联网）、IP（互联网协议）、IR（事件响应）、IT（信息技术）、ITAM（信息技术资产管理）、JIT（即时）、LAN（局域网）、MDM（移动设备管理）、ML（机器学习）、NAC（网络访问控制）、NextGen AV（下一代防病毒）、NIST（国家标准与技术研究院）、NPE（非人员实体）、NSS（国家安全系统）、OT（运营技术）、PaaS（平台即服务）、PCI DSS（支付卡行业数据安全标准）、PDP（策略决策点）、PE（人员实体）、PEP（策略执行点）、PHI（受保护的健康信息）、PII（个人可识别信息）、PKI（公钥基础设施）、RBAC（基于角色的访问控制）、SaaS（软件即服务）、SCM（源代码管理）、SDN（软件定义网络）、SIEM（安全信息和事件管理）、SOAR（安全编排自动化和响应）、SSL（安全套接字层）、TCP（传输控制协议）、TLS（传输层安全）、UEM（统一端点管理）、VAULTIS（可见、可访问、可理解、链接、可信、互操作、安全）、WAN（广域网）、XaaS（一切即服务）、XDR（扩展检测和响应）、ZT（零信任）、ZTA（零信任架构）、ZIG（零信任实施指南）等。

附录C是参考文献列表，引用了报告中提及的所有关键文档，包括国防部的零信任参考架构、零信任战略、零信任能力和活动文档，NSA发布的关于各支柱的网络安全信息表，NIST的各种特别出版物和术语表，以及其他相关指南、标准和出版物，如国防部数据战略、零信任执行路线图、微软学习文档、行业书籍等，为读者提供了深入学习和研究的权威资料来源。

附录D是活动任务图，以可视化形式展示了发现阶段关键活动的实施任务流程。国防部零信任框架定义了152项活动，这些活动之间的实施关系通过国防部为每项活动定义的前驱和后继活动来标识。ZIG为国防部定义的零信任活动提供了一套实施任务，以实现预期结果和能力意图。由于活动中包含多项任务，且具有多个前驱和后继关系，导致实施过程复杂。活动任务图提供了非线性的、示例性的可视化表示，从左边的任何已定义前驱开始，接着是适用活动中概述的活动任务，最后以右边已定义的后继结束。图表提供了标准化的视觉表示，用于导航实施过程。该附录从按支柱和阶段展示支柱和活动的线性图形开始，作为后续活动任务图的参考指南。具体图示了活动1.1.1（库存用户）、活动2.1.1（设备健康工具差距分析）、活动2.3.4（集成下一代防病毒工具与合规连接）、活动3.1.1（应用和代码识别）、活动4.1.1（数据分析）、活动4.4.1（数据丢失防护执行点日志记录和分析）、活动4.4.2（数据权限管理执行点日志记录和分析）、活动5.1.1（定义细粒度控制访问规则和政策第一部分）、活动5.2.1（定义软件定义网络应用编程接口）、活动6.1.1（策略清单和开发）、活动6.2.1（任务自动化分析）、活动6.5.1（响应自动化分析）、活动6.6.1（工具合规性分析）以及活动7.1.1（规模考虑）的实施任务流程图。

这份《零信任实施指南：发现阶段》文件是一份极为详尽和结构化的操作手册，它系统地将零信任的宏大理念分解为在发现阶段具体可执行的活动、任务和步骤。它不仅是美国国防体系和国家安全领域实施零信任的权威指导，也为更广泛的行业和组织提供了宝贵的框架和方法论参考。文件强调零信任不仅是一套技术解决方案，更是一种全面的网络安全方法和文化转变，需要利益相关者的参与、有效的优先级排序以及持续的反馈与改进循环。通过遵循本指南，组织可以系统性地盘点其数字资产、理解其数据流和环境交互，为构建一个以身份为中心、动态且弹性的安全架构打下坚实的数据基础，从而更好地应对现代动态威胁环境。

本文完整文档已上传至星球

点这里自助下载

2026零信任实施指南：入门.pdf

2026零信任实施指南：发现阶段.pdf

加好友进群

–

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：计算机与网络安全 计算机与网络安全 计算机与网络安全《美国国家安全局发布两份《零信任实施指南》》