2. 零信任成熟度模型与工程路线图

零信任不是一次性采购或某个产品的部署结果，而是一项持续演进的安全工程。要让零信任从理念落到可执行的工程计划，必须回答三个问题：组织现在处于什么水平、目标状态是什么、按什么顺序推进。CISA（美国网络安全和基础设施安全局）发布的零信任成熟度模型（Zero Trust Maturity Model, ZTMM）正是为回答这些问题而设计的评估与规划框架。

CISA 零信任成熟度模型的四层结构

CISA ZTMM 的核心是“五大支柱 + 三项跨领域能力 + 四个成熟度阶段”的矩阵结构。五大支柱分别是身份（Identity）、设备（Devices）、网络（Networks）、应用与工作负载（Applications & Workloads）、数据（Data）。三项跨领域能力是可见性与分析（Visibility & Analytics）、自动化与编排（Automation & Orchestration）、治理（Governance）。它们不是并列的第六、第七、第八支柱，而是贯穿所有支柱的横向能力。

成熟度分为四个阶段：传统（Traditional）、初始（Initial）、进阶（Advanced）、最优（Optimal）。传统阶段以静态边界防护和手工配置为主；初始阶段开始引入部分自动化与集中策略；进阶阶段实现跨支柱的联动与动态决策；最优阶段则达到持续验证、自适应策略和全自动响应。需要强调的是，成熟度不是“越高越好”的线性竞赛，而是与业务风险、合规要求和投入能力相匹配的渐进过程。一个中等规模企业可能在身份支柱达到进阶，而在数据支柱仍处于初始，这是完全正常的。

分阶段实施路径与能力优先级排序

拿到成熟度评估结果后，下一步是制定分阶段路线图。CISA 建议的推进逻辑是“先打基础、再建联动、后求自适应”。具体来说，第一阶段（0–6 个月）聚焦身份与设备的可见性和基础控制：建立统一身份目录、强制 MFA、完成资产清单盘点、部署 EDR 并确保覆盖率超过 90%。这一阶段的目标不是“先进”，而是“看得见、管得住”。

第二阶段（6–18 个月）进入策略联动期：将身份、设备、网络三个支柱的策略打通，实现基于用户身份和设备健康状态的条件访问。例如，当设备合规检查失败时，自动将其网络访问权限降级到仅能访问修复服务器。这一阶段的关键是建立策略决策点（PDP）与策略执行点（PEP）之间的标准化接口。

第三阶段（18–36 个月）追求自适应与自动化：引入持续风险评估、行为分析和自动响应编排。此时数据支柱的成熟度也应同步提升，实现数据分类分级与访问控制的联动。整个过程中，可见性与分析、自动化与编排、治理三项跨领域能力需要与支柱建设同步投入，否则会出现“有策略无数据、有工具无流程”的断层。

能力优先级排序不能只看技术先进性，而应使用“风险暴露 × 业务影响 × 实施成本”的三维评估。一个常见的误区是优先采购最热门的微隔离产品，却忽略了身份目录尚未统一、设备清单不完整。没有准确的身份和设备上下文，微隔离策略只能基于 IP 地址，无法实现真正的零信任。因此，身份和设备的可见性通常应排在前列。

组织现状评估与差距分析方法

现状评估的核心是“逐支柱、逐能力项打分”。CISA ZTMM 为每个支柱在每个成熟度阶段都定义了具体的评估标准。实际操作中，可以将其转化为一份评估表，对每个能力项按 1–4 分打分（对应传统、初始、进阶、最优），并记录证据来源。

以下是一份简化的评估表样例，用于演示打分与差距识别方法。表中数据为教学示例，不代表任何真实组织的评估结果。

打分时需要注意两点。第一，证据必须可验证，不能凭感觉打分。例如“MFA 覆盖率”应直接取自 IAM 系统的统计报表，而不是询问管理员“大概有多少人用了”。第二，差距分析要区分“能力缺失”和“能力存在但未覆盖”。前者需要新建能力，后者需要扩大覆盖范围，两者的实施成本和时间差异很大。

完成评估后，将差距按“风险暴露 × 业务影响 × 实施成本”排序，形成优先级列表。通常建议每个阶段聚焦 2–3 个高优先级差距，避免同时推进过多项目导致资源分散。每个阶段结束时，重新评估相关能力项的得分，验证是否达到预期成熟度，并据此调整下一阶段的计划。零信任成熟度建设是一个“评估—规划—实施—再评估”的循环，而不是一张一次性画完的蓝图。