一、案例背景：

在数字转型战略推动下，5G、云计算、移动办公等技术广泛应用，传统的网络安全防护技术无法有效提供安全保护，数字转型业务面临严重的网络安全挑战，中讯邮电咨询设计院有限公司（以下简称“中讯设计院”）作为联通集团主要技术支撑单位，着眼于当前数字转型、多云应用、跨网访问等新的业务场景，提出面向下一代的网络安全防护技术—零信任安全技术研究，更好的为中讯设计院网络安全、集团业务创新、数

二、案例概述：

随着系统上云后，多云模式下安全边界愈发模糊，终端接入方式愈加复杂，传统的静态接入访问控制已不能满足新的安全需求，在移动化和云化的大背景下，越来越多的企业用户开始使用云应用、使用移动设备进行移动办公，企业IT基础设施及用户办公的内外边界逐步模糊，系统暴露面缩减的诉求也愈发迫切。同时，新技术态势下的网络安全威胁和风险不断涌现，基于传统边界安全解决方案难以应对。基于已有安全接入能力，需以零信任理念融合重构现有能力，打造云网安全泛终端一体化接入新模式，构建基于零信任的网络隐身安全接入防护服务产品，其有如下必要性：

数字转型必要性：集团数字转型过程中基于5G、云计算、移动办公、大数据、人工智能等新技术应用，使传统安全防护技术的防护能力、灵活性、可持续性都不具备，需要引入零信任安全技术，支持和促进数字转型，同时在数字转型过程中实现安全技术服务的数字转型（安全服务交付）。
 

云安全防护必要性：云计算是联通集团及各省未来主要的业务发展方向，SDP技术是CSA（国际云安全联盟）定义的云计算南北向安全技术，因此，采用SDP对联通各单位的云计算环境安全防护，既可解决传统网络中面临的网络安全威胁，同时也能更好的降低云计算环境下的新安全威胁，为云计算环境保驾护航。
 

安全防护体系必要性：当前的网络安全体系是以网络边界安全为核心的防护体系，该安全体系在计算机病毒、黑客、恶意代码、APT、DDOS、漏洞攻击等方面安全防护能力有限，同时“先连接、再认证”的TCP/IP协议使安全防护体系建立在缺陷基础之上，因此，传统安全防护体系需要新升和替换，已解决当前面临的各类痛点问题。
 

终端安全接入必要性：终端安全是网络安全防护中的重要组成部分，对终端安全管理与控制在当前也面临各类安全挑战，基于零信任打造云网安全泛终端一体化接入技术十分必要，既可解决终端安全问题，同时也能更好的解决终端管理问题。
 

安全合规必要性：当前各类网络安全合规要求、各类安全监督检查等使安全网络管理面临巨大的压力，需要引入新的安全技术，降低各单位面临的网络安全合规风险。

三、安全技术应用情况：

在数字转型、业务云化、万物互联的背景下网络安全防护理念与技术发生的巨大的变化，中讯设计院依据联通集团数字化变革过程中对网络安全提出的新要求，新技术，以零信任理念为基础，开展零信任组件安全研发。具体建设目标如下：

Ø 引入新的网络安全理念，研究零信任技术（下一代网络安全防护架构技术），为网络安全新防护体系提供技术储备与输入，支持单位在网络安全方面新技术的发展，为单位的网络安全体系的升级或重构提供技术储备，确保单位网络安全技术与国际同步。

Ø 解决云计算、移动办公等新技术对传统网络安全防护体系的挑战，解决边界模糊、网络隐式信任、安全漏洞与攻击无处不在等网络安全问题，提升网络安全防护能力。

Ø 为单位内各类跨省、跨云、跨网的业务提供有效的安全防护技术，建立各类业务系统的南北向安全防护体系，实现人员可信、终端可信、网络可信、业务可信，解决在新环境条件下的各类业务系统安全防护，降低业务安全风险。

Ø 构建安全SAAS服务，为单位面向数字转型的业务系统及平台提供安全防护，如SD-WAN业务，云资源业务、政务业务，支持数字转型业务发展，并实现安全数字转型。

Ø 快速提供安全合规与风险防护能力，基于零信任安全准入、服务隐身、动态访问控制、用户策略最小化授权等功能，消除（规避）计算机病毒、黑客、恶意代码、APT、DDOS等传统安全威胁攻击，提升防攻击、防病毒、防泄露等能力，降低网络安全攻击与合规风险。
 

四、客户反馈效果：

1、可快速满足等保防护、安全合规等安全需求，重要资产和业务平台不需要暴露给互联网，有效抵御各类针对服务端口的攻击，同时正常提供业务服务。

2、用户享受在零信任安全基础上通过互联网接入的便利，提升员工工作效率。

3、分支只需要互联网接入，降低分支机构的接入组网成本。

4、通过SDP云多租户共享零信任安全资源，降低用户采用零信任安全架构门槛，摊低用户建设和使用成本。

5、分支机构不需要复杂的安全和网络设置，降低分支机构对IT人员的需求。

6、统一的云化安全控制器简化安全运维，单点安全访问控制策略制定，所有网点策略跟随，安全时效性大大增强。

7、用户可以根据自身安全需要，方便以云服务方式经济地订购安全云网关访问互联网访问服务，互联网流量就近从分支出口，降低到总部专线/VPN带宽压力