通过零信任的云桌面、虚拟应用、沙箱解决远程办公带来的安全问题，同时构筑分级数据安全的体系。例如对于可信度较高的终端，使用零信任接入构筑办公空间。可信度一般的则使用零信任接入云桌面、虚拟应用构筑办公空间，可信度低的则使用沙箱+零信任接入云桌面、虚拟应用构筑办公空间，整个零信任数字化工作空间解决方案聚焦在：一是业务收缩保护，将业务完全隐藏在零信任系统之后；二是终端安全检测，保证只有安全的终端才能访问业务；三是数据泄密防护，通过安全客户端软件提供的虚拟数据沙箱进行保护，甚至有更高要求情况下，与桌面云协同，业务数据完全了不落地；四是业务体验优化，通过单点登录与自适应身份认证，找到安全与体验的平衡；五是联动现有的全网审计产品和防火墙等安全网关类设备，将原有的基于IP、MAC、设备属性等信息与统一身份进行关联打通，接收零信任控制中心的策略，对内部终端或用户的访问进行管控。

对于日常场景下，无法及时到达现场的开发、测试、三方/厂商/行方的开发、测试和运维人员，做紧急开发、排障、变更和调试工作，分给需求部门对应的虚拟桌面，通过零信任接入访问。研发侧的开发和测试人员通过桌面云访问开发测试系统，运维人员通过桌面云，访问堡垒机，做相应的应急处理。所有虚拟机与账户绑定，桌面云开启录屏和审计功能，通过分布式防火墙和边界防火墙严格限制虚拟机和用户的访问权限，并及时回收相应权限和虚拟机。

因疫情等突发因素，为保障各部门的正常运行和业务开展，经风险管理部审核通过的部门，可提交远程办公访问申请，远程访问分为低敏业务和中敏业务，分别对应远程办公A和远程办公B，高敏业务原则上不允许通过远程访问。低敏业务对应远程办公A方案，在互联网上通过零信任隐藏业务系统，员工通过安装专属客户端接入，屏蔽非法访问。一、手机端app通过联盟MDM访问，通过VPN和应用封装技术保障安全，在手机端进行审批，工单等简单的处理工作；二、对于必须使用pc端访问的应用，通过行内零信任客户端的UEM沙箱，在个人桌面上生成安全工作空间，开启屏幕水印，工作空间内文件落地加密、隔离、限制外发、剪切板拷贝等；开启虚拟专线功能，员工连接零信任期间，禁止访问互联网，限制仅能访问行内应用，网络也跟互联网隔离。

中敏业务对应远程办公B方案，在互联网上通过零信任发布桌面云资源。员工通过安装专属零信任客户端接入，屏蔽非法访问。在员工使用中，桌面云和零信任原生对接：提供零信任与云桌面控制中心联动，解决桌面云安全访问问题，零信任下使用云桌面控制中心二次登录问题；同时零信任提供用户接入加密及网络隐身的安全功能，桌面云提供完整的数据不落地的安全性。在云桌面通过vdc的分布式防火墙做到东西向云桌面之间流量的隔离，云桌面访问生产业务，边界防火墙隔离南北向的异常流量保障整个业务之间访问的安全可靠。

某能源集团信息化业务经过几十年发展，二级单位数量不断增加，并需要不断接入集团内网。由于大量二级单位形成了自己的互联网出口，导致集团大内网与互联网的交互日益频繁，集团大内网面临多样化入侵风险。集团希望通过建设“安全大内网”，满足总部、分支、远程多场景安全办公需求。

业务暴露面变大的挑战：二级单位通过专线接入集团内网，但自身互联网出口，以及远程办公和移动办公的增多，导致互联网暴露面变大，时刻面临被扫描和攻击风险。难以匹配数字化转型要求：集团不允许同时访问内网和互联网，但传统“一刀切”式网络隔离需要新建一套物理网络，改造成本高，用户体验差，无法有效适配数字化转型灵活多变的要求。重要数据存在泄露风险：数据通过办公内网可以自由传输和复制数据，并分散存储在信息系统、办公终端、数据库等多个物理位置，员工泄密、终端失陷、恶意入侵导致数据泄密风险很大。

随时随地安全办公：零信任+桌面云，业务通过桌面云访问，桌面云则通过零信任进行发布和单点登录，总部、分支、远程多场景下随时随地安全办公，而且避免业务直接在互联网暴露。办公不上网，上网不办公：通过桌面云访问业务时，自动切断互联网访问；关闭桌面云后，自动打开互联网访问，实现办公不上网，上网不办公的效果，规避终端失陷对业务造成损害。重要数据不落地：PC和移动终端对业务的访问均通过桌面云，数据不落地，无法离开内网。