隨著網路威脅變得越來越複雜，對強固的網路安全性措施的需求比以往更加重要。 美國網路安全 & 基礎設施安全域（CISA）在捍衛網路空間方面發揮了核心作用，率先推動國家加強重要功能恢復能力，促進強大的技術生態系統。 CISA 任務包括維護聯邦文職行政部門（FCEB）機構之間的網路情況意識，並確保 .gov 網域的安全。 CISA 協助聯邦機構和行業合作夥伴有效管理重大網路事件。 在 2023 年 4 月，CISA 發行了 零信任成熟度模型 2.0 版 （ZTMM）。
注意
在本指南中，組織 一詞是指 FCEB 機構和產業合作夥伴。
新技術的快速採用，以及不斷演變的威脅格局，對網路安全構成持續的挑戰。 行政命令14028：改善國家的網路安全 強調將聯邦網路安全現代化，並認可零信任架構（ZTA）作為政府實體的首選安全模式。 該命令規定組織制定 ZTA 實作的完整計劃。 訂單需要評估目前的網路安全狀態，並準備進行完整部署。
CISA ZTMM 是組織嚴格評估其安全性狀態的重要藍圖，並實作轉換至 ZTA 的必要變更。 藉由採用此模型，組織可以大幅增強其抵禦網路威脅的復原能力、確保更強大的重要資訊資產保護，並強化整體安全性架構。
為了支持此過渡，管理與預算辦公室（OMB）備忘錄M-22-09 概述了應採取以符合 ZTMM 支柱的行動。 聯邦 ZTA 策略要求組織符合重要的網路安全目標，並在開發和實施其零信任策略時考慮 行政命令（EO）14028 和 M-22-09。
Microsoft 提供由統一平台的整合安全工具驅動的零信任功能，不斷擴展其範圍。 此平臺提供 CISA ZTMM 支柱和跨領域功能的完整涵蓋範圍，如下一節所述。 這些解決方案可支援組織在進行有效的零信任實作的過程中，協助確保安全且具彈性的聯邦網路安全架構。
支柱、功能、能力和 ZTMM 旅程階段
CISA ZTMM 以 五大支柱為基礎， 包含 功能，以加強零信任保護區域。 使用下列連結來移至指南的章節：
每個支柱都有三個 跨領域功能，強調可增強各支柱功能互操作性的活動：
可見度和分析：可見度是指企業環境中特徵和事件中可觀察的表現。 著重於網路相關數據分析有助於提供政策決策的資訊、促進應對活動，並建立風險概況以開發主動式安全措施。
自動化與協作：零信任使用自動化工具和工作流程，以進行跨產品和服務的安全回應功能。 它可協助企業維護這類功能、產品和服務的監督、安全性和開發程序互動。
治理：在本檔中，治理是強制執行企業資訊安全政策、程序和過程，並在各個領域之間進行。 治理可降低支援零信任原則的安全性風險，並滿足聯邦需求。
注意
可見度和分析、自動化和協調流程，以及治理功能可讓組織整合跨要素的進步。 下圖說明支柱和跨領域功能。
ZTMM 旅程階段
柱子跨越 ZTMM 旅程的四個階段。
- 傳統：手動設定的生命週期，例如從建立到退役，以及安全性與記錄等屬性的分配。 靜態安全策略和解決方案可以解決依賴外部系統的關鍵支柱問題。 在配置過程中建立最低權限。 政策執行的隔離機制、手動回應和緩解措施部署，以及相依性、日誌和遙測數據的有限關聯。
- 初始：開始自動化屬性指派、生命週期設定、原則決策和強制執行。 初始跨支柱解決方案和外部系統整合。 布建后對最低許可權的回應性變更。 內部系統的匯總可見度。
- 進階：在適用的情況下，通過跨領域協作，自動化管理生命週期、設定和政策分配。 集中可見度和身分識別控制，並在各領域中整合政策執行。 對預先定義風險降低措施的基底回應、風險和狀態評估的最低許可權變更。 在整個企業內提高意識，包括外部託管的資源。
- 最佳：根據自動化和觀察到的觸發器，可自我報告的資產和資源使用動態策略，自動完成即時（JIT）生命週期和屬性分配。 使用動態最低特權存取、Just-enough access（JEA）及資產及其相依性在閾值範圍內。透過持續監控啟用跨領域互操作性，以及具備完整情境感知的集中可視性。
成熟度模型準則
使用下列準則來識別零信任技術支柱的成熟階段，並在整個模型中提供一致性：
指引範圍
使用本指南來協助達成 ZTMM 功能的目標，並在各個成熟階段中獲得進展。 我們假設組織至少在傳統 階段。
在下列各節中，支柱將被分為不同的功能區域，這些區域中有包含 ZTMM 旅程階段描述的表格，以及 Microsoft 的指引和建議。 使用數據表來瞭解Microsoft雲端服務如何對齊 ZTMM。 每個功能都有成熟度階段的指引。 例如，實作最佳階段指引的組織，還實作了進階階段的指引。
注意
指引適用於 Microsoft 商業雲端中已正式發佈（GA）或公開預覽的功能。
實作方法
在大部分情況下，多個小組共同作業以引導組織完成生命周期階段。 Microsoft建議您的方法包含下列原則：
- 建立具有明確擁有要素和跨領域功能的小組
- 確定有已定義的通訊線路和定期更新的狀態
- 跨 ZTMM 要素整合產品，包括跨領域功能
組織可以使用符合 ZTMM 中跨領域功能的整合式解決方案來降低複雜度、成本和風險。 Microsoft安全性 產品原生整合至 Microsoft Azure 與 Microsoft 365。 例如，組織可以將 Microsoft Sentinel 部署為安全性資訊和事件管理 （SIEM） 和安全性協調流程、自動化和回應 （SOAR） 解決方案。 此外，納入擴充偵測和回應（XDR），可以透過深入解析和簡化的威脅偵測來強化功能。 讓這些產品與 ZTMM 支柱保持一致，以改善並增強組織網路安全性功能。
後續步驟
為 CISA 零信任成熟度模型設定Microsoft雲端服務。