| name | implementing-cisa-zero-trust-maturity-model |
| description | 在身份、设备、网络、应用程序和数据五大支柱上实施 CISA 零信任成熟度模型 v2.0，逐步提升组织零信任成熟度水平。 |
| domain | cybersecurity |
| subdomain | zero-trust-architecture |
| tags | ["zero-trust","cisa","maturity-model","federal-compliance","governance","nist-800-207","identity","devices","networks","applications","data-security"] |
| version | 1.0 |
| author | mahipal |
| license | Apache-2.0 |
实施 CISA 零信任成熟度模型
概述
2023 年 4 月发布的 CISA 零信任成熟度模型（ZTMM）2.0 版，为联邦机构和组织提供了采用零信任架构的结构化路线图。该模型定义了五个核心支柱——身份、设备、网络、应用程序与工作负载，以及数据——每个支柱都经历四个成熟度阶段：传统阶段、初始阶段、高级阶段和最优阶段。三项跨领域能力（可见性与分析、自动化与编排，以及治理）贯穿所有支柱。本技能涵盖所有支柱和成熟度级别的评估、差距分析和渐进式实施。
前置条件
- 熟悉 NIST SP 800-207 零信任架构
- 了解联邦网络安全指令（EO 14028、OMB M-22-09）
- 获取组织 IT 资产清单和网络架构文档
- 了解身份和访问管理（IAM）基础知识
- 了解网络分段和微分段概念
CISA ZTMM 五大支柱
支柱 1：身份
身份指唯一描述机构用户或实体的属性，包括非人员实体（NPE），如服务账号和机器身份。
传统阶段：
- 基于密码的认证
- 有限的身份验证
- 手动配置和取消配置
初始阶段：
- 为特权用户部署 MFA
- 启动身份治理
- 基本身份生命周期管理
高级阶段：
- 为所有用户部署抗钓鱼 MFA（FIDO2/WebAuthn）
- 持续身份验证
- 与人力资源系统关联的自动化配置
- 身份威胁检测和响应（ITDR）
最优阶段：
- 持续的实时身份验证
- 跨所有系统的无密码认证
- AI 驱动的身份行为异常检测
- 将身份信号完全整合到访问决策中
支柱 2：设备
设备包括连接到网络的任何硬件、软件或固件资产——服务器、笔记本电脑、手机、物联网设备和网络设备。
传统阶段：
- 有限的设备清单
- 基本端点保护（防病毒）
- 无设备合规检查
初始阶段：
- 全面的设备清单
- 部署端点检测与响应（EDR）
- 网络访问前的基本设备健康检查
高级阶段：
- 实时设备态势评估
- 自动化合规执行
- 用于机器身份的设备证书
- 将漏洞扫描集成到访问决策中
最优阶段：
- 持续设备信任评分
- 对不合规设备的自动化修复
- 完整设备生命周期管理与零信任策略集成
- 固件完整性验证
支柱 3：网络
网络涵盖所有通信媒介，包括内部网络、无线网络和互联网。
传统阶段：
- 基于边界的安全（防火墙、VPN）
- 扁平内部网络
- 极少的东西向流量检查
初始阶段：
- 初始网络分段
- 加密 DNS 和内部流量
- 基本网络监控和日志记录
高级阶段：
- 关键资产微分段
- 用于动态策略执行的软件定义网络（SDN）
- 所有内部通信采用完整 TLS 加密
- 网络检测与响应（NDR）
最优阶段：
- 完全软件定义、策略驱动的网络
- 零隐式信任区域
- AI 驱动的网络异常检测
- 与网络控制集成的自动化威胁响应
支柱 4：应用程序和工作负载
应用程序和工作负载包括在本地、移动设备和云环境中运行的机构系统、程序和服务。
传统阶段：
- 边界保护应用程序
- 手动漏洞修补
- 有限的应用层日志记录
初始阶段：
- 应用层访问控制
- Web 应用防火墙（WAF）
- 定期漏洞扫描
- 建立应用程序清单
高级阶段：
- 持续集成安全测试（SAST/DAST）
- 应用感知微分段
- API 安全网关
- 不可变基础设施模式
最优阶段：
- 运行时应用程序自我保护（RASP）
- 自动化应用程序安全编排
- 完整 DevSecOps 流水线集成
- 应用程序访问的零常设特权
支柱 5：数据
数据涵盖所有结构化和非结构化信息，包括静态、传输中和使用中的数据。
传统阶段：
初始阶段：
- 实施数据分类方案
- 敏感数据的 DLP 策略
- 传输数据加密（TLS 1.2+）
- 基本数据清单
高级阶段：
- 自动化数据分类
- 精细化数据访问控制
- 数据活动监控
- 敏感文档的权限管理
最优阶段：
- 实时数据流分析
- AI 驱动的数据分类和保护
- 对数据泄露尝试的自动化响应
- 基于零信任原则的完整数据生命周期治理
跨领域能力
可见性与分析
成熟度进展：
传统阶段 -> 手动日志审查，有限的 SIEM
初始阶段 -> 集中式日志记录，基本 SIEM 关联
高级阶段 -> UEBA，自动化威胁检测，数据湖分析
最优阶段 -> AI/ML 驱动的持续监控，预测分析
自动化与编排
成熟度进展：
传统阶段 -> 手动事件响应，临时脚本
初始阶段 -> 基本 SOAR 剧本，自动化告警
高级阶段 -> 集成多支柱编排的 SOAR
最优阶段 -> 完全自主响应，自愈基础设施
治理
成熟度进展：
传统阶段 -> 临时策略，手动合规检查
初始阶段 -> 记录零信任战略，基本策略框架
高级阶段 -> 策略即代码，持续合规监控
最优阶段 -> 动态策略引擎，实时治理决策
实施流程
第 1 阶段：评估和基线
- 清点五大支柱的所有资产
- 将当前能力映射到 ZTMM 成熟度阶段
- 对当前状态和目标状态进行差距分析
- 识别从传统阶段快速迁移到初始阶段的捷径
- 记录支柱间的依赖关系
class ZTMMAssessment:
PILLARS = ['Identity', 'Devices', 'Networks', 'Applications', 'Data']
STAGES = ['Traditional', 'Initial', 'Advanced', 'Optimal']
CROSS_CUTTING = ['Visibility_Analytics', 'Automation_Orchestration', 'Governance']
def __init__(self):
self.scores = {}
def assess_pillar(self, pillar, capabilities):
"""
根据 ZTMM 标准评估支柱。
capabilities: dict，键为能力名称，值为成熟度阶段
"""
stage_values = {stage: i for i, stage in enumerate(self.STAGES)}
scores = [stage_values.get(stage, 0) for stage in capabilities.values()]
avg_score = sum(scores) / len(scores) if scores else 0
overall_stage = self.STAGES[int(avg_score)]
self.scores[pillar] = {
'capabilities': capabilities,
'average_score': avg_score,
'overall_stage': overall_stage
}
return self.scores[pillar]
def generate_roadmap():
roadmap = []
pillar, data .scores.items():
capability, stage data[].items():
stage_idx = .STAGES.index(stage)
stage_idx < :
next_stage = .STAGES[stage_idx + ]
roadmap.append({
: pillar,
: capability,
: stage,
: next_stage,
: - stage_idx
})
(roadmap, key= x: x[], reverse=)
第 2 阶段：身份基础
- 部署抗钓鱼 MFA（FIDO2/WebAuthn）
- 实施身份治理和管理（IGA）
- 建立持续身份验证
- 将身份提供商与所有应用程序集成
- 部署身份威胁检测和响应
第 3 阶段：设备信任
- 通过自动化发现完成资产清单
- 在所有端点部署 EDR
- 实施设备合规检查
- 建立设备证书基础设施
- 创建设备信任评分机制
第 4 阶段：网络转型
- 实施网络分段策略
- 对关键资产部署微分段
- 启用加密 DNS（DoH/DoT）
- 为所有内部通信强制执行 TLS 1.3
- 部署 NDR 能力
第 5 阶段：应用程序安全
- 实施应用层访问控制
- 部署 WAF 和 API 安全网关
- 将安全测试集成到 CI/CD 流水线
- 建立应用程序清单和分类
- 实施运行时保护
第 6 阶段：数据保护
- 实施数据分类框架
- 在端点和网络上部署 DLP
- 启用数据活动监控
- 实施权限管理
- 建立数据生命周期治理
合规映射
| CISA ZTMM 支柱 | OMB M-22-09 要求 | NIST 800-207 章节 |
|---|
| 身份 | 机构员工的 MFA | 3.1.1 |
| 设备 | 联邦端点的 EDR | 3.1.2 |
| 网络 | 加密 DNS 流量 | 3.1.3 |
| 应用程序 | 应用程序安全测试 | 3.1.4 |
| 数据 | 数据分类 | 3.1.5 |
指标和 KPI
- 身份支柱：使用抗钓鱼 MFA 的用户百分比
- 设备支柱：具有实时态势评估的设备百分比
- 网络支柱：已微分段的网络段百分比
- 应用程序支柱：具有零信任访问控制的应用程序百分比
- 数据支柱：已分类和保护的敏感数据百分比
- 总体：每个支柱达到的 ZTMM 阶段（目标：至少高级阶段）
参考资料
