CZTP 2.0 零信任认证专家 | 在现实世界中实现零信任的四个思维转变
“零信任”已成为网络安全领域最常被误解的流行术语之一。理论上，它的核心原则是简单明了的：永不信任，始终验证。然而，在实践中，它常常被简化为一种形式化的产品部署，或被某些厂商宣传为可“一站式解决”的方案。
然而，零信任并非一种可以购买、部署、完成后即可置之不理的技术，而是一段需要持续演进的旅程。
零信任是一种安全战略模型，要求组织重新思考其对“信任”的定义方式、控制机制的执行方式以及对风险的管理方式。它不是灵丹妙药，而是一种持续的安全治理方法论。当该模型被正确实施时，将从根本上重塑安全团队的运作方式
在与众多组织合作并见证零信任理念从概念走向全球广泛应用的过程中，笔者总结出安全管理者普遍忽视的四项关键认知，以及他们应当采取的替代策略：
一、零信任安全的起点是“可见性”，而非“假设”
每一套零信任安全策略的开端，皆应源于一个简单却常被忽略的问题：我们究竟要保护的是什么？
许多组织往往基于已有的集中式身份管理工具（如身份与访问管理系统 IAM、身份治理与管理系统 IGA）便自认为对环境了如指掌。然而，仅仅实施访问控制并不意味着具备全面的可见性。这些工具只能识别其所能集成的应用程序——这通常排除了组织环境中相当比例的资产。
因此，零信任的实施首先应建立在对“可见性”的追求之上——只有在明确知晓系统中实际存在的资产后，安全控制才具备实施基础。
构建这种可见性需以“保护面”（Protect Surface）的识别为起点，即明确定义最需优先防护的数据、应用、资产与服务（DAAS）。这一识别过程构成了零信任安全架构的核心基础。
身份安全解决方案可以为组织提供洞察环境的重要视角——但前提是相关应用已成功集成。事实上，许多遗留系统、现代化的 SaaS 应用以及由业务部门自管的工具，常常游离于身份管理系统的边界之外。这类“未连接的应用程序”不在身份提供者（IdP）的可控范围内，因而处于“不可见”“不可控”“未受保护”的状态。
这类现象并非个例，而是广泛存在，且构成了组织实际的攻击面的一部分。
未联邦化或未集成的应用所造成的“可见性缺口”让安全团队面临“看不见、管不了”的局面。安全策略无法作用于不可见的对象，而未知的资产恰恰是网络安全事件的高发根源——并非其本身具备更高风险，而是因其处于管理盲区。
在构建“保护面”的过程中，识别这类“盲区”至关重要：即尚未集成 IAM 或 IGA 工具的应用系统。部分现代身份安全平台已具备针对这类应用的集成功能，即便缺乏标准 API 或协议支持，亦可将其纳入集中管理，从而在整个环境中统一实施零信任策略，实现全面的可视性与控制能力。
二、手动化的安全流程是隐藏的脆弱点
手动安全流程在初期往往是出于现实所迫的临时权宜之计。但随着时间推移，这类流程不仅带来了操作上的不一致，还会拖慢效率、提升风险。对于少数用户而言或许尚可行，但对于现代企业而言，这种模式并不具备可扩展性。
更严重的是，这类流程反映了一种根植于组织文化的犹豫与回避。当安全策略执行过于复杂或过度依赖人工操作时，团队成员往往倾向于避免主动防护。于是，风险在无声中不断积累——并非因为人员不尽责，而是因为系统本身的运作方式阻碍了安全行动的落地。这种积累最终演变为“安全债务”。
多数网络入侵事件并非源于“零日漏洞”，而是源自一系列可以预防的小失误：如用户未及时注销、重复使用弱密码、SaaS 工具未纳入统一管理等。而当安全职责被下放给终端用户——期望其自行更换凭证、配置多重身份验证（MFA）或发现潜在风险时，结果往往是不稳定、不可持续的。
零信任的有效实施依赖于自动化机制。缺乏自动化，就意味着安全策略的执行变得“可有可无”，而“可有可无”的执行实则形同虚设。
唯有将安全负担从终端用户及 IT 运行维护人员身上剥离，方可构建真正可扩展的零信任体系。消除人工操作环节，意味着消除人为不一致性的根源。这正是部分现代身份安全平台所致力解决的问题：通过自动化执行安全控制，使策略得以一致、无缝地实施。其结果是：更强的防护能力、更低的风险水平，以及具备规模化能力的身份安全基础。
三、安全自动化与人工智能并非锦上添花，
而是实现零信任的唯一路径
零信任模型中最常被忽视的一环，是第五步：“持续监测与维护”。这一阶段正是人工智能（AI）与自动化真正释放潜力的关键，不仅能显著降低运维负担，更能持续强化防御能力。
人工智能可以发现人类无法察觉的异常：揭示可疑行为模式、标记配置错误、并根据行为变化调整策略。而自动化则能够基于这些洞察迅速采取行动——以“机器速度”执行安全措施。两者协同构成了一个反馈闭环，使得零信任体系保持动态性与韧性。
值得注意的是，在防御方仍对 AI 犹豫不决之时，攻击者早已广泛应用 AI 来大规模自动化钓鱼、权限提升与会话劫持等攻击行为。人工作业的响应速度远无法与“机器级”攻击对抗。
随着组织系统日益复杂，自动化与 AI 的应用必须延伸至每一层防护面——包括那些传统安全工具难以覆盖的领域：如无 API、无统一身份标准、无集中控制的应用系统。
四、最有效的零信任安全模型，
不是冗长的28步清单，而是五步精做到位
复杂性是阻碍零信任战略推进的首要因素。笔者曾目睹众多厂商将零信任安全原则“学术化”：28个步骤、数十种框架、繁复的模型图表。
然而，实践中的零信任路径仅需五个核心步骤：
- 定义保护面（Protect Surface）
- 绘制交易流（Map Transaction Flows）
- 构建系统架构（Architect the Environment）
- 制定零信任策略（Create Zero Trust Policy）
- 持续监测与维护（Monitor and Maintain）
从小处着手，在过程中逐步建立信任。零信任的实现并非“全盘同时推进”，而是围绕当前可控范围有序推进，逐步扩展控制边界。
这意味着，需要将那些“未连接的应用”纳入统一管理。部分现代身份与访问管理平台（IAM）已经能够整合全部应用系统，使其融入安全的零信任体系，从而填补可见性与控制的空白，实现真正的统一保护
作者：John Kindervag,零信任之父
审校：吴满，CSA大中华区专家
国际云安全联盟CSA是零信任的实践者和标准制定者，于2020年发布零信任CZTP教育与认证计划，经过2年的发展，零信任课程再度刷新升级。2023年11月，第三届国际零信任峰会升级发布CZTP 2.0计划，保持课程知识内容的系统性、新颖性及最具有实践价值。CZTP 2.0将与政府、高校、产业界强强联合，把零信任人才培养做到实处，输出或强化具有安全战略思想、架构思维与实战能力的安全专业从业者，从而夯实数字安全的能力与升级。
CZTP 2.0
零信任认证专家
CZTP（Certified Zero Trust Professional）零信任认证专家由国际云安全联盟CSA于2020年发布，是零信任领域首个面向从业人员的安全认证，涵盖最新的国际零信任架构技术与系统的实践知识，旨在为网络信息安全从业人员在数字化时代下提供零信任全面的安全知识，培养零信任安全思维与实战能力，为企业守护核心数字资产。
课程价值
- 能力证明：证明持证人员在零信任领域上的能力
- 就业机会增加：安全职业生涯提供更多选择的可能
- 能力提升：获得全球顶尖的系统的零信任知识，可以全面掌握全球先进的零信任理论知识，SDP、IAM、微隔离等核心的技术及部署实践知识
- 持续学习：获取宝贵的职业提升资源，包括交流想法、工具和与同龄人建立联系，并且在国际社区中持续学习
课程对象
云供应商、网络服务提供商（运营商）、网络安全服务商、云服务用户、大中小型企业用户、信息化咨询服务、数字化转型服务提供商等组织的安全管理（信息部门主管或 IT 负责人、CIO、CTO、企业信息系统管理人员）、架构产品、技术开发（云计算、网络工程、安全）、咨询、运维服务等人员参与学习。
课程大纲
| 知识域 | 知识点 |
| 为什么是零信任 | 安全现状 |
| 零信任架构的发展历程 | |
| 零信任的安全定义 | |
| 基本原则与战略 | |
| 零信任安全基本概念 | 架构概述 |
| 身份管理与访问控制技术 | |
| 软件定义边界技术 | |
| 微隔离技术 | |
| 辨别零信任产品 | |
| IAM身份管理与访问控制 | IAM基本概念 |
| 身份管理 | |
| 登录认证 | |
| 访问控制 | |
| 审计风控 | |
| IAM发展趋势展望 | |
| SDP软件定义边界 | SDP的技术演进 |
| SDP的基本架构与核心技术 | |
| SDP的部署方式 | |
| SDP主要功能和应用场景 | |
| SDP替换VPN场景 | |
| SDP与十二大安全威胁 | |
| SDP与传统产品的关系 | |
| MSG微隔离 | 微隔离基本概念介绍 |
| 微隔离的价值 | |
| 微隔离的技术路线及趋势 | |
| 微隔离的优势 | |
| 微隔离如何实施及其业界 | |
| 最佳实践 | |
| 零信任安全的应用场景及案例 | 企业内部的安全访问场景 |
| 企业与外部的协作场景 | |
| 系统间的安全访问 | |
| 物联网安全连接 | |
| 安全与合规要求 | |
| 敏感数据的零信任方案 | |
| 零信任安全的战略规划与实施 | 零信任安全战略综述 |
| 确立零信任战略实施愿景 | |
| 制定零信任战略行动计划 | |
| 零信任战略实现一部署迁移 | |
| 零信任实施问题及解决思路 | |
| 规划与实践案例-谷歌BeyondCorp | |
| SASE安全访问服务边缘 | SASE的基本概念 |
| SASE系统架构 | |
| SASE核心特征 | |
| SASE核心技术 | |
| SASE现状与应用 | |
| SASE技术总结 | |
| 零信任行业评估标准及认证 | 零信任安全专家认证CZTP |
| 零信任成熟度模型CZTM | |
| 零信任实践案例 | 政企行业实践案例 |
| 金融行业实践案例 | |
| 运营商行业实践案例 | |
| 制造行业实践案例 | |
| 能源行业实践案例 | |
| 医疗行业实践案例 | |
| 互联网行业实践案例 | |
| 零信任安全总结与展望 | 网络安全技术的演进历程 |
| 零信任安全理念以及技术 | |
| 零信任架构的潜在威胁 | |
| 网络安全技术未来的发展展望 |
考试说明
CZTP是线上限时考试，题型为单选题和判断题，共60道题，必须在90分钟内完成，考生获得80%以上的成绩才能通过考试。
| 考试知识点 | 考试权重 |
| 零信任的基本概念 | 6.7% |
| 实践架构 | 13.3% |
| 身份管理与访问控制 | 13.3% |
| 软件定义边界 | 13.3% |
| 微隔离 | 13.3% |
| 应用场景及实践案例 | 26.7% |
| 战略规划与部署 | 13.3% |
证书样例
