零信任成熟度评估通常从身份、设备、网络、应用、数据五个维度看，再按起步、进阶、优化三个层级定位，帮助企业找到下一步最该补的短板。
零信任建设做了一年，到底算什么水平？下一步该补哪里？回答这些问题，需要一把“尺子”。目前最常被引用的是美国 CISA 发布的零信任成熟度模型，它把零信任拆成几个维度，再按成熟程度分层。这篇文章把它翻译成企业可以直接使用的自评方法。
从哪几个维度评估
成熟度模型把零信任拆成五个支柱，企业自评时可以逐一打分。
CISA 零信任成熟度模型的五个支柱是：身份、设备、网络、应用与工作负载、数据，并在此之外强调可见性与分析、自动化与编排、治理三项贯穿能力。下面用更贴近日常的方式描述每个维度关注什么：
| 维度 | 关注的问题 |
|---|---|
| 身份 | 账号是否统一管理？认证强度是否分级？权限是否定期复核？ |
| 设备 | 接入设备是否可识别？状态是否参与访问判断？ |
| 网络 | 访问是否按业务隔离？内部流量是否可见、可控？ |
| 应用 | 业务访问是否经过统一入口？应用是否按用户和权限授权？ |
| 数据 | 重要数据是否分类？访问是否有记录、有限制？ |
成熟度分几个层级？
CISA 模型的层级为传统、初始、进阶、最优四档。结合企业的实际情况，可以简化成三档来理解：
- 起步： 以人工和静态规则为主。账号分散、权限靠申请、访问一次放行，日志要事后翻。
- 进阶： 身份统一，访问按业务和权限控制，有基本的终端检查和统一日志，策略仍需人工维护。
- 优化： 策略依据身份、设备、环境和行为动态调整，异常自动响应，运营指标常态化。
同一家企业在不同维度上的成熟度往往不一样，比如身份已经进阶，数据还停留在起步，这是正常的。
怎么自评？
可以用一个简单的做法：
- 每个维度写下三五条“现在是怎么做的”，用事实而不是感觉；
- 对照上面的三个层级，给出当前所处档位；
- 找出最低的一两个维度，作为下一阶段的重点；
- 半年或一年后用同一份清单复评，看进步。
评分不是为了排名，而是为了让投入落在最薄弱的地方。
评估时容易出现的偏差
- 只看产品清单： 买了某类产品不等于相应维度成熟，关键看它覆盖了多少业务、策略是否真正生效。
- 只评估技术： 流程、职责、运营节奏同样决定成熟度。
- 追求全面“优化”： 并不是每个维度都要到最高档，要和业务风险相匹配。
评估之后做什么？
把结果转成路线图：最薄弱维度先补，优先从关键业务入手。资产与风险层面的持续可见，也可以借助智能安全运营中的资产、风险闭环来支撑，让评估结果不是一次性文档，而是持续更新的底图。
小结
- 成熟度评估可以从身份、设备、网络、应用、数据五个维度入手。
- 按起步、进阶、优化三档自评，不同维度允许不同档位。
- 评估的目的是找短板、排优先级，并定期复评。