零信任架构 新身份安全：ISC2018身份安全论坛

9月5日，ISC2018互联网安全大会——身份安全论坛在北京国家会议中心举行。作为ISC2018的特色论坛，身份安全论坛以“零信任架构，新身份安全”为主题，吸引国内外多名网络安全专家学者围绕论坛主题，探讨身份领域的最新技术、行业态势、应用实践和发展趋势。

在身份安全论坛中，中国科学院控股有限公司副总经理、全国信安标委工作组鉴别与授权工作组组长荆继武，《零信任网络》作者Evan Gilman，360企业安全身份安全产品负责人张泽洲，智能物联网信息安全技术湖南省工程研究中心副主任徐雪松等嘉宾，从专业研究及企业应用实践两个领域出发，共同讨论在零信任架构下，如何使用新的身份安全服务更敏捷、智能、可靠地解决数据泄露风险，确保企业安全。

目前，物联网技术、人工智能技术、云计算等技术崛起，为网络空间发展建设带来更多机遇，网络安全也遇到了前所未有的威胁与挑战。尤其对于企业而言，越来越多的业务应用开始依托云端构建，使得云端平台储存的数据资源变得日益庞大，价值也不断攀升。一旦储存的数据泄露或遭到攻击，将对一家甚至多家企业造成难以估量的损失。

而数据泄露的源头可能是内部员工有意或无心的操作，也可能是来自外部攻击。在此种环境下，零信任概念应运而生。在零信任网络结构下，任何人、事、物想要进入访问网络，都需要经过全面严密的身份验证，构建网络安全的第一道屏障。

不过，传统的身份验证体系已经难以满足日新月异的网络发展，更难以确保访问者身份的安全性，因此，构建新型身份安全理念、架构，优化身份安全验证体系势在必行。这也是参与身份安全论坛嘉宾分享讨论的重点。

来自中国科学院信息工程研究所的荆继武副所长，在身份安全论坛一开始，发表了题为《从电子认证走向身份服务》的演讲。他认为，网络身份数据资源已经成为互联网企业核心竞争力和国家网络治理重要支撑。因此，身份电子认证技术急需迈上新台阶，电子认证2.0时代已经来临。荆继武呼吁建立和完善鉴别与授权标准体系，利用标准规范网络空间行为，为产业的网络实体身份可信管理提供标准支撑，推进网络经济健康发展。

360企业安全身份安全产品负责人张泽洲，360信息安全中心网络安全部负责人张睿，基于360在零信任安全的研究与实践方面的经验，共同带来题为《基于零信任的身份安全理念、架构及实践》演讲。两位负责人先以360公司为例，讲述零信任安全建设的动机，随后又从零信任安全的理念和通用架构两方面展开，为与会者介绍零信任架构这种“以身份为中心”的安全防护理念，势必推动未来企业安全体系的全新变革。

在华为首席安全专家李雨航带来的《消费者与移动终端身份认证》演讲中，他先是对身份认证领域面临的威胁和挑战进行阐述，然后论述华为、谷歌、微信等企业所做出的安全实践举措，进而延展至产业和标准联盟的相关工作，建议各大企业迅速建立起各自的身份认证安全体系。

知人科技创始人兼CEO李德辉着重讲述了身份管理的现代化技术，他的演讲题目为《现代化身份管理与访问控制》。李德辉强调，访问控制非常重要，但身份管理也同样重要，因为身份管理是访问控制的基础。在新型技术的带动下，身份管理场景、权限关系、归属关系、映射关系都更为复杂，现代化IAM架构中，现代化身份管理技术将起到至关重要的作用。

芯盾时代联合创始人兼CTO 孙悦向与会者介绍，芯盾时代在新网络形态下，以“零信任模型”基础，以“数字身份”为新的安全边界，所探索出的“以人为核心的业务安全”路线。他认为，保护好网络中数字化的“人”，才能做好网络安全防御。

互联网金融身份认证联盟IFAA副秘书长黄冕站在行业角度，希望与更多伙伴分享互联网金融身份认证联盟IFAA，在IoT时代下，以生态共建的方式推进身份认证基础设施的建设。联合众企业力量，共同提升全行业身份认证的水平。

智能物联网信息安全技术湖南省工程研究中心副主任徐雪松，将目光汇集在时下最热的物联网技术方面，多次强调物联网安全问题的严峻形势。物联网安全风险主要来自于其感知层安全风险，想要预防此种风险，需从身份假冒、非法访问、数据安全等三个方面入手，建立可信物联嵌入式芯片证书技术体系，可信物联身份鉴权及访问控制安全服务平台。如此，才可为工业互联网、智慧城市、智能制造设备等场景，带来安全保障。

锦佰安科技创始人兼CEO冯继强，探讨的则是当下另一热点技术——人工智能技术，对现有身份认证技术的挑战。他认为，人工智能技术为现有网络身份验证、识别技术带来突破性创新，但机遇伴随着挑战，主流身份认证技术也需采用创新性的对抗防御手段。

ISC2018相较于往年互联网安全大会，会议规模、参会国家、论坛数量俱有提升。在33个分论坛中，身份安全论坛为网络安全发展带来了创新探索，在大会现场吸引了大量嘉宾、客户、及业内同仁的关注。在论坛亮相的嘉宾多为企业、行业中身份安全模式创新实践的先行者，颇具参考价值的演讲内容，必将为各大企业网络信息安全体系建设带来指引。

来源  360企业安全