上海CA统一数字信任服务综合解决方案（基础应用版）
上海CA统一数字信任服务综合解决方案（基础应用版）
发布时间：November 19, 2021
数字信任的概念伴随着信息技术的发展而提出，早期的数字信任体系建设以网络信任为重点，主要解决网络空间中的数字身份信任问题，多用于公民与法人的身份认证、电子合同、在线支付等网络风险规制，后来数字信任被逐渐推广到商业领域，用以表明在数字时代用户和消费者对企业产品和服务能否按照预期正常执行的信心程度。
01
数字信任的概念：
知名科技公司TechTarget：
数字信任是用户对人类、技术和制度共同创建安全数字世界能力的信心，企业和组织通过向用户表明他们可以确保在线程序或设备的安全性、隐私性、可靠性和数据道德性来获取用户的数字信任。
美国网络安全公司SUBEX：
数字信任是一种使用户能够以安全、合乎道德和可靠的方式进行业务交易的概念。
Gartner：
数字信任是传统信任模型的演变，其不仅仅是建立企业、人与物之间的信任，其核心还在于在对数据、程序代码和软件开发实践中建立信任，具体包括四个方面：1）个人、企业、业务或其他实体就是其本身，或者与它们所声称的身份一致；2）它们可以代表自己，也可以由另一个实体忠实地代表；3）它们在数字世界互动中能够充分表达自己的意愿；4）它们以真实、可预测、可靠、安全、合规、符合道德、尊重隐私的方式行动。
普华永道：
建立数字信任不仅仅是个优选项，更是不可或缺之举，科技企业发展和传统企业数字化转型的关键要点在于要使网络安全规划与业务发展目标相匹配，共同构建数字信任。
02
被重新定义的数字信任：
随着数字化浪潮的推进，社会风险相较于传统工业社会发生了重大转变。近年来，网络攻击、网络犯罪和黑灰产、数据泄露滥用等事件频发，成为现代数字社会的重要风险。数字信任在数字社会中的作用进一步凸显。
为此，上海市数字证书认证中心有限公司（上海CA）联合上海赛博网络安全产业创新研究院于2021年推出城市数字化转型数字信任体系研究2.0报告，围绕“数字信任”这一主题进行了系统研究。报告提出：新型数字信任是使一切链入或映射到数字空间的网络实体，在以数字身份信任和可信数据流通为两大核心建设的信任支撑体系下，通过制度、管理、技术等一系列组合手段减少数字空间安全风险，并形成数字社会安全交互、高效运行的机制。
从行为主体上看
以政府、企业及其他组织和公民个体的人类网络实体，和以智能终端、设备（包括各种传感器节点）、算法程序（包括各种在线应用）、数据库为代表的机器网络实体共同链接在一个数字空间中；
从关系上看
政府和企业通过数字化转型形成了高度相关的大规模社会化的协作和分工关系，基于数字技术进行的海量信息流动规模庞大且已经成为人类沟通的主要方式；
从风险上看
常态化的高能网络攻击、数据泄露滥用等安全风险对人类社会的外溢影响日益深刻，已经上升到国家安全的高度。
03
上海CA统一数字信任服务
综合解决方案（基础应用版）：
沿着综合身份访问与管理（IAM）——>身份即服务（IDaaS）——>零信任(Zero Trust)等相关技术的演进，综合我们在电子认证、安全密码服务等方面积累的先进技术与服务能力，上海CA提出了一套统一数字信任服务综合解决方案（基础应用版）。
方案围绕数字身份信任和可信数据流通两大核心建设，基于统一数字身份认证和管理，聚焦数据安全和网络安全打造新型数字信任体系，实现可信数字身份治理和可信数据资源访问，并围绕业务主线进行相应制度和规范的建设，以形成保障业务用户数字身份和账号安全的完整体系。
方案包含统一身份管理系统、统一身份认证系统、统一访问授权系统、统一合规审计系统、统一应用管理系统、风险管理控制系统、 零信任策略引擎系统、统一后台管理系统、零信任访问网关、零信任终端访问代理和平台开放能力等，体系架构如下图所示：
方案图 /统一数字信任服务解决方案体系架构图
04
方案效果与价值：
上海CA统一数字信任服务综合解决方案（基础应用版）为客户实现安全数字身份升级，建立以身份为核心的认证体系，建立以人为主体、资源为客体的授权管理体系，除提供以实名制为基础的人员信息统一管理工具外，还可实现政企应用系统之间的融合和互通，打破各信息化系统的使用孤岛，通过统一入口提供用户认证登录服务，形成统一高效的信息化服务能力，建立零信任无边界可信网络访问与零信任无边界可信数据访问。
多态组织架构融合
提供统一集中的组织架构管理，基于权威数据，建设统一的权威组织架构，动态更新。支持矩阵式组织架构创建，提供横向、纵向灵活设计，通过逻辑组织架构机制保证块状管理和条状管理上的灵活性。
合规统一审计管理
提供系统范围内安全和系统审计信息的记录功能，通过统一的日志管理和审计管理，提高审计覆盖面和能级，有效分析整个系统的日常操作与安全事件数据，通过归类、合并、关联、优化、直观呈现等方法，使管理员轻松识别应用系统环境中潜在的恶意威胁活动，可帮助企业/用户明显地降低受到来自外界和内部的恶意侵袭的风险。
跨域应用单点登录
为各类政企应用提供跨域SSO服务，实现用户在各个不同业务应用过程中的单点登录功能。支持不同域下业务应用统一认证集成，通过集中资源服务及授权管理系统提供的集中身份信息和权限信息，消除客户信息系统的业务孤岛和数据孤岛及对员工、合作伙伴、客户登录各个应用系统造成混淆和障碍。在用户认证之后，可以在不同业务系统中灵活切换角色和权限信息。从而确保用户只需要认证一次，便可以在访问权限的约束范围内访问不同的应用系统，从而达到“一次认证，安全漫游”的效果。
风险管控身份验证
风险检测分析时，需对认证信息、授权信息、以及用户所处的运行环境信息进行统一收集、分析。对于不满足认证特征的用户，认定其处于高风险的访问状态，拒绝其接入至网络进行访问。在用户访问过程中，持续计算评估用户的行为风险状态，高风险访问状态的拒绝接入，低风险访问状态的允许接入。其它风险状态，需要补充身份证据信息，增加用户身份的可信度后，才允许接入。
可信数据资源访问
可信数据资源访问采用增强身份治理理念，不依赖隐式信赖，明确地认证和授权所有访问主体每次对受保护数据资源的访问，持续分析和评估数据资源访问风险，然后制定防护措施来缓解这些风险。认证授权通过后生成的每用户身份令牌和访问令牌，可在可信数据资源访问体系中漫游，在其有效期之内，随时可以通过访问令牌获取用户可信身份信息和访问权限信息，并安全访问受保护资源。
统一数字信任服务综合解决方案正在分阶段实践，上海市统一身份认证体系的建设便是上海市城市数字化转型过程中的一项重要成果。上海CA作为市统一身份认证平台建设支撑机构，在市电子政务云上，建设了市级统一身份认证服务平台，面向各区、各部门提供全市自然人、法人和公务人员的统一身份认证服务…… 上海城市数字化转型的全面推进无疑将带动数字信任需求的持续增长，我们也将深入探索数字世界的新型信任挑战，从数字信任技术和数字信任治理两方面入手，进一步完善统一数字信任体系架构，创新升级数字信任服务解决方案。 与此同时，运用数字身份、数字认证、隐私计算、联邦学习、区块链、新型密码技术等前沿科技，创新研发分布式数字身份和可信数据流通等产品和服务，尽快推出统一数字信任服务的进阶版，以及高阶版解决方案，全面支撑全市数字安全发展环境的构建，为打造更具韧性的城市安全底座提供信任支撑。