在现实世界中实现零信任的四个思维转变

“零信任”已成为网络安全领域最常被误解的流行术语之一。理论上，它的核心原则是简单明了的：永不信任，始终验证。然而，在实践中，它常常被简化为一种形式化的产品部署，或被某些厂商宣传为可“一站式解决”的方案。

然而，零信任并非一种可以购买、部署、完成后即可置之不理的技术，而是一段需要持续演进的旅程。

零信任是一种安全战略模型，要求组织重新思考其对“信任”的定义方式、控制机制的执行方式以及对风险的管理方式。它不是灵丹妙药，而是一种持续的安全治理方法论。当该模型被正确实施时，将从根本上重塑安全团队的运作方式。

在与众多组织合作并见证零信任理念从概念走向全球广泛应用的过程中，笔者总结出安全管理者普遍忽视的四项关键认知，以及他们应当采取的替代策略：

每一套零信任安全策略的开端，皆应源于一个简单却常被忽略的问题：我们究竟要保护的是什么？

许多组织往往基于已有的集中式身份管理工具（如身份与访问管理系统 IAM、身份治理与管理系统 IGA）便自认为对环境了如指掌。然而，仅仅实施访问控制并不意味着具备全面的可见性。这些工具只能识别其所能集成的应用程序——这通常排除了组织环境中相当比例的资产。

因此，零信任的实施首先应建立在对“可见性”的追求之上——只有在明确知晓系统中实际存在的资产后，安全控制才具备实施基础。

构建这种可见性需以“保护面”（Protect Surface）的识别为起点，即明确定义最需优先防护的数据、应用、资产与服务（DAAS）。这一识别过程构成了零信任安全架构的核心基础。

身份安全解决方案可以为组织提供洞察环境的重要视角——但前提是相关应用已成功集成。事实上，许多遗留系统、现代化的 SaaS 应用以及由业务部门自管的工具，常常游离于身份管理系统的边界之外。这类“未连接的应用程序”不在身份提供者（IdP）的可控范围内，因而处于“不可见”“不可控”“未受保护”的状态。

这类现象并非个例，而是广泛存在，且构成了组织实际的攻击面的一部分。

未联邦化或未集成的应用所造成的“可见性缺口”让安全团队面临“看不见、管不了”的局面。安全策略无法作用于不可见的对象，而未知的资产恰恰是网络安全事件的高发根源——并非其本身具备更高风险，而是因其处于管理盲区。

在构建“保护面”的过程中，识别这类“盲区”至关重要：即尚未集成 IAM 或 IGA 工具的应用系统。部分现代身份安全平台已具备针对这类应用的集成功能，即便缺乏标准 API 或协议支持，亦可将其纳入集中管理，从而在整个环境中统一实施零信任策略，实现全面的可视性与控制能力。

手动安全流程在初期往往是出于现实所迫的临时权宜之计。但随着时间推移，这类流程不仅带来了操作上的不一致，还会拖慢效率、提升风险。对于少数用户而言或许尚可行，但对于现代企业而言，这种模式并不具备可扩展性。

更严重的是，这类流程反映了一种根植于组织文化的犹豫与回避。当安全策略执行过于复杂或过度依赖人工操作时，团队成员往往倾向于避免主动防护。于是，风险在无声中不断积累——并非因为人员不尽责，而是因为系统本身的运作方式阻碍了安全行动的落地。这种积累最终演变为“安全债务”。

多数网络入侵事件并非源于“零日漏洞”，而是源自一系列可以预防的小失误：如用户未及时注销、重复使用弱密码、SaaS 工具未纳入统一管理等。而当安全职责被下放给终端用户——期望其自行更换凭证、配置多重身份验证（MFA）或发现潜在风险时，结果往往是不稳定、不可持续的。

零信任的有效实施依赖于自动化机制。缺乏自动化，就意味着安全策略的执行变得“可有可无”，而“可有可无”的执行实则形同虚设。

唯有将安全负担从终端用户及 IT 运行维护人员身上剥离，方可构建真正可扩展的零信任体系。消除人工操作环节，意味着消除人为不一致性的根源。这正是部分现代身份安全平台所致力解决的问题：通过自动化执行安全控制，使策略得以一致、无缝地实施。其结果是：更强的防护能力、更低的风险水平，以及具备规模化能力的身份安全基础。

零信任模型中最常被忽视的一环，是第五步：“持续监测与维护”。这一阶段正是人工智能（AI）与自动化真正释放潜力的关键，不仅能显著降低运维负担，更能持续强化防御能力。

人工智能可以发现人类无法察觉的异常：揭示可疑行为模式、标记配置错误、并根据行为变化调整策略。而自动化则能够基于这些洞察迅速采取行动——以“机器速度”执行安全措施。两者协同构成了一个反馈闭环，使得零信任体系保持动态性与韧性。

值得注意的是，在防御方仍对 AI 犹豫不决之时，攻击者早已广泛应用 AI 来大规模自动化钓鱼、权限提升与会话劫持等攻击行为。人工作业的响应速度远无法与“机器级”攻击对抗。

随着组织系统日益复杂，自动化与 AI 的应用必须延伸至每一层防护面——包括那些传统安全工具难以覆盖的领域：如无 API、无统一身份标准、无集中控制的应用系统。

复杂性是阻碍零信任战略推进的首要因素。笔者曾目睹众多厂商将零信任安全原则“学术化”：28个步骤、数十种框架、繁复的模型图表。

然而，实践中的零信任路径仅需五个核心步骤：

1.定义保护面（Protect Surface）

2.绘制交易流（Map Transaction Flows）

3.构建系统架构

（Architect the Environment）

4.制定零信任策略

（Create Zero Trust Policy）

5.持续监测与维护（Monitor and Maintain）

从小处着手，在过程中逐步建立信任。零信任的实现并非“全盘同时推进”，而是围绕当前可控范围有序推进，逐步扩展控制边界。

这意味着，需要将那些“未连接的应用”纳入统一管理。部分现代身份与访问管理平台（IAM）已经能够整合全部应用系统，使其融入安全的零信任体系，从而填补可见性与控制的空白，实现真正的统一保护。

云安全联盟大中华区于2020年发布推出了零信任认证专家 ( Certified Zero Trust Professional，简称“CZTP”) ，经过3年的发展，零信任课程再度刷新升级零信任认证专家2.0版本。

零信任认证专家2.0（Certified Zero Trust Professional 2.0，CZTP 2.0 ）持续保持课程国际领先性、知识系统完整性，培养具有数字安全战略思维，架构思维及零信任安全实战能力的产业级专业人才，为数字安全的创新、零信任产业发展，提供人才支撑保障。