实力认证！腾讯主导确立全球首个零信任安全国际标准

2019年9月上旬，在瑞士日内瓦举办的ITU-T(国际电信联盟通信标准化组织) SG17安全研究组全体会议上，由腾讯主导的“服务访问过程持续保护参考框架”国际标准成功立项，成为国际上首个零信任安全技术标准。此项标准对促进全球网络安全产业健康发展，加快零信任技术和服务快速发展与普及具有重要深远的意义。

零信任安全，是以身份为中心，进行网络动态访问控制，其核心思想是不信任网络内外部任何人/设备/系统，需要基于认证和授权重构访问控制的信任基础。在当前基于边界的企业安全防护体系正在消弭的背景下，零信任安全已成为下一代主流安全技术路线，此次腾讯牵头联合国家互联网应急响应中心（CNCERT）、中国移动通信集团设计院、赛门铁克公司提出的立项议题《Reference framework for continuous protection of service access process 》（服务访问过程持续保护参考框架）是零信任安全技术参考框架的核心组成部分，重在识别企业用户中在网络访问过程中受到的安全威胁，指定访问过程中的持续保护措施，实时检测网络异常的访问行为，引入授权增强机制。

当前网络访问环境在不断变化，传统边界防御随着企业数据的分散化与访问方式的多样化而不再有效，来自任何区域、设备和员工的访问都可能造成安全风险，严格的动态访问控制和安全检测至关重要，尤其是针对网络访问过程中设备和资源的持续安全保护，访问控制策略的持续优化，异常访问行为的持续检测精准都成为亟待提升的技术关键点。因此，分析网络访问过程的安全挑战，保持访问行为的合理性，保证访问过程的安全性和效率，提供有关控制技术管理的标准化指导，定义网络访问过程的持续防护参考框架成为当前安全标准化亟待填补的空白。

作为中国互联网企业代表，腾讯于2016年率先在国内将零信任网络架构完整落地，其摸索提炼的最佳实践准则亦在生产环境中得到有效验证，而结合腾讯十多年终端安全管理实践与零信任理念推出的“腾讯终端无边界访问控制系统iOA（https://cloud.tencent.com/product/ioa），就旨在为用户打造统一、安全和高效的无边界网络访问入口，实现基于按需、动态的实时访问控制策略，以可信终端、可信身份、可信应用三大核心能力，把身份安全、终端安全与链路安全形成完整闭环，同时结合全球杀软横评排名第一的“腾讯御点”，实时拦截病毒木马攻击且高效修复漏洞，确保用户在任意网络环境中都可以安全、稳定、高效地访问企业资源，再结合腾讯游戏运营在混合云服务器访问管理的零信任实践，从而构建起全方位、一站式的零信任安全体系，实现安全管理升级。

在输出自身安全管理能力的同时，腾讯一直积极推动零信任安全技术标准的业界共识，自今年7月《零信任安全技术-参考框架》在CCSA成功立项后，又在8月持续发力争取国际标准话语权。ITU作为联合国标准化组织，要平衡各成员国立场形成标准绝非易事，本次会议152个新提案中仅有25个提案获得标准立项，成功率不足20%。零信任安全作为当今各国安全界的重点关注领域，不仅有竞争激烈的各巨头环伺，更涉及不同国家的政策法规及市场环境，在持续两周的时间里与40多个国家200多名专家多轮艰苦谈判后，最终在中国代表团的共同努力下，腾讯凭借自身零信任安全领域的优秀实践和国际标准化能力成功立项。

一举拿下ITU-T 国际标准，标志着以腾讯公司为代表的中国互联网企业在国际标准组织制定中已开始扮演越来越重要的角色，成为规则的制定者和引领者，体现了中国力量在国际网络安全领域的技术领导力和话语权，更有力推动了零信任安全技术在全球范围规模商用的进程。

产业互联网时代正面临前所未有的安全挑战，市场亟待新一代安全技术标准的指导准则和参考框架，腾讯将与中外各方合作伙伴一起，携手推动零信任安全技术标准化建设和在全面落地，为用户构建新一代网络安全体系、为全球网络安全的健康发展做出贡献。

附：

ITU-T（国际电信联盟）成立于1865年，是联合国中历史最长的专门机构，也是联合国的15个专门机构之一，其成员包括190多个国家、700多个公司和学术机构，第17研究组（ITU-T SG17）主要负责安全领域的标准研究与制定。由于ITU作为国际组织的长期性和作为联合国特别机构的特殊地位，ITU发布的标准比其他同级别技术规范制定组织拥有更高的国际认同度。