围绕待保护对象，供应侧持续提升零信任产品能力。

保障核心资产是当前企业实施零信任的主要驱动。

2024 年零信任供应侧企业服务的用户，使用零信任主要保护的对象包括四大类别：

（一）数据，数据是企业的核心资产，有 91.7%的用户使用零信任保护数据资产，利用数据分类分级结果，对不同敏感程度数据进行分等级保护，以实现最小权限授权。

（二）应用，应用是企业业务的支撑，有 86.1%的用户使用零信任保护应用程序，

零信任使得所有应用的访问都通过其网关进行转发，不用对外暴露实际 P 地址。

（三）基础设施和工作负载，基础设施和工作负载是业务运行的根基，41.7%的用户使用零信任保护基础设施和工作负载，通过划分细粒度的网络分段，在工作负载间实现细粒度的访问控制，确保每个工作负载之间的通信都经过严格的身份验证和授权。

（四）API，API 是服务间通信的纽带，有 22.2%的用户使用零信任保护面向公众提供的 API，有 33.3%的用户使用零信任保护企业内部的 API。对于面向公众提供的 API，零信任策略聚焦于构建严格的边界访问控制；对于内部的 API 调用，零信任策略则侧重于服务调用合理性管理，通过对历史调用行为的学习精细化权限管理，满足服务调用需求并防止未经授权的调用。

零信任供应侧提供服务时的对象选择情况

超八成用户使用零信任保护办公环境，开发测试和生产环境紧随其后占比七成左右。

中国信通院调研了 2024 年零信任供应侧企业服务的用户应用零信任时的环境选择情况。

一方面，将零信任应用于办公环境的安全防护仍然是用户的主流选择。当前有 86.1%的用户应用零信任于应用于办公环境，办公环境对于新技术的接受度较高，主要原因是办公环境较为简单，其目的是实现内部应用的访问控制，通常实现身份认证和应用隐身即可完成主要防护。

另一方面，零信任正在积极应对在开发测试环境和生产环境落地的挑战。有 69.4%的用户应用零信任于开发测试环境，开发测试环境中数据高频流动，精细化访问控制较难。零信任正积极与 SAST 等工具联动，协同判定提交代码的安全性。有 72.2%的用户应用零信任于生产环境，生产环境对业务连续性要求高，提升零信任部署难度。许多零信任供应侧企业积极与用户开展试点，通过小范围试点或开展科技项目与用户环境中的设备进行适配，力求降低对用户业务连续性的影响。

零信任应用环境的用户选择情况

零信任在新场景的应用展现独特优势 

零信任在一些跨领域场景实现了安全防护，如物联网、5G 等。有 75%的零信任供应侧企业支持使用零信任赋能物联网安全，有 47.2%的企业支持使用零信任赋能 5G 安全。零信任的跨领域赋能，不仅促进了技术间的深度融合与创新，还提升了复杂应用场景下安全防护能力，展现出显著增值效益。

零信任供应侧的跨领域结合情况

零信任强化物联网设备运维和数据交互的安全

当前，物联网广泛应用于各行各业，包括能源行业的智能电网、汽车行业的无人驾驶、农业的土壤监测、制造业的工业自动化等。零信任的应用能够帮助企业更好地应对物联网场景下的安全挑战，如电力和汽车行业：

（一）电力行业使用零信任应对弱信息化设备运维时风险。

电力行业大量二次设备属于近线设备，各厂家私有化运维，存在信息泄露、病毒入侵、误操作等风险。通过将零信任网关和控制中心整合至一台便携式终端，由地市班组操作授权、现场监督，提高各厂家巡检操作的安全性。

（二）汽车行业使用零信任应对智能联网汽车不同组件间数据交互时的风险

自动驾驶汽车高度依赖网络通信，指令库存在被恶意访问与控制的风险。零信任对各组件分配合理权限，对组件间的每次数据交互进行访问控制，有效地保护汽车内部应用免受来自非授权用户的连接。

零信任赋能 5GC 网络实现内在的安全。

有 47.2%的零信任供应侧企业支持使用零信任赋能 5G 安全。3GPP 为 5GC(核心网)制定的安全设计与零信任原则存在一定程度的非严格映射关系，在 5GC 实现零信任理念可以考虑从以下几方面改进：

1 是暴露面收敛：在 5GC SBA 中，NF 提供者默认被防火墙隐藏，仅在 NF 消费者通过 NRF 进行 SPA 预认证后，才会通知 NF 提供者为该消费者开启安全策略并允许连接从而减少暴露面。

2 是多源评估：在 5GC SBA 中，通过标准化接口通信的不同运营商的 NF 需持续监控和信任评估，涵盖位置、软件能力、历史执行及配置合规性，以动态访问控制策略确保 NF 的安全性。

3 是安全传输：NF 之间的通信利用行业标准安全协议进行保护，确保所有通信无论网络位置均保持安全。

4 是最小授权：3GPP 安全设计要求 NF 仅提供规定的 AP 服务，以此最小化潜在攻击面。

AI 赋能零信任应对更复杂的安全威胁

随着 AI 的蓬勃发展，AI 在网络安全领域也发挥了重要作用，其中，零信任+AI 引起业界广泛关注。2024 年中国信通院调研结果显示近七成零信任供应侧企业已经将 AI 技术应用于零信任中，主要是以下四个方面：

1 是 AI 令访问主体综合评估更加全面，有 61.1%的企业应用 AI 在访问主体的综合评分，利用 AI 对数据的处理能力，引入更多评估源，对访问主体的静态属性和动态行为进行综合评估；

2 是 AI 能扩大威胁检测的范围，有 47.2%的企业应用在 AI 驱动的威胁检测，AI 能将访问主体的属性，与流量和访问行为数据进行关联，能够处理更复杂的、无规则的信息理，精准识别潜在恶意访问；

3 是 AI 强化威胁预测的能力，有 30.6%的企业应用在 AI 的预测性威胁建模，AI 能依据过往的历史攻击数据和威胁行为构建预测模型，提前识别威胁，并结合零信任实时检测异常流量，识别潜在的攻击；

4 是 AI 提高安全分析和决策的效率，有 22.2%的企业利用自然语言处理进行安全分析，系统能识别人类语言意图，自行处理威胁并生成安全报告，给出分析和安全决策建议。

零信任供应侧的AI 赋能情况