零信任架构下的身份认证落地别把安全规则做成业务阻碍

上周跟软件大道的老陈撸串，他刚把公司砸了三百万做的零信任项目砍了一半预算。

我问为啥。

他说原以为买了套最贵的身份认证系统，就能把之前VPN漏的那个挖矿后门堵上，结果上线三个月，运维天天被业务部追着骂——财务报个销要过三道验证，销售在外见客户连个客户资料都拉不出来，最后为了不耽误事，IT部偷偷给所有销售开了永久白名单，合着之前搭的那套东西，除了给供应商结款的时候好看，半毛钱用没有。

真的。

老陈说这话的时候，手指上的烤羊排油还在滴。

别把零信任认证等同于多装几个验证因子

说实话，我见过太多团队对零信任的理解，停留在“多堆几个验证因子”的层面。密码加短信不够，就加UKey，加人脸识别，觉得把验证流程做的越复杂，安全系数就越高。

老陈他们当时的方案就是这么做的。不管用户在什么位置，访问什么级别的系统，每次登录都要走“密码+短信+人脸”的三步流程。连行政部打印个会议材料，都要对着摄像头眨三次眼。

零信任的核心从来不是“多验证”，是“按风险动态调整验证强度”。

这句话说起来简单，落到实际操作里，很多人就忘了。一个财务在公司固定工位的IP下，处理常规报销流程，本身没有任何风险，为啥非要触发人脸验证？一个刚入职的实习生，从来没访问过代码仓库，突然要拉取核心项目的源码，这时候哪怕他输对了密码，也得触发最高等级的人工核验。

落地第一步先把身份标签摸清楚

很多团队上来就对接系统，买设备，根本没花时间把自己手里的身份资产盘明白。

老陈他们第一次全量盘点的时候，自己都吓一跳。系统里存的1200多个账号，有300多个是离职超过半年的老员工，权限还没回收；还有两百多个是第三方外包团队的共享账号，谁拿着都能登内部OA。连最基础的“谁在我们的系统里”都没搞清楚，谈什么零信任？

正确的顺序根本不是先买系统。先把所有身份的标签打全：是正式员工还是外包，是固定工位办公还是常年出差，平时主要访问哪几类系统，常用的登录地点是哪几个，甚至平时的操作习惯是啥。

举个最简单的例子。一个销售的标签是“经常在华东区域出差，主要访问CRM系统，日常登录时间是早9到晚7”。那他在南京本地的连锁咖啡店用企业手机登CRM看客户名单，根本不需要触发复杂验证；如果他的账号突然凌晨3点从境外IP登录，还要下载全量客户联系方式，这时候不管他输对了多少密码，都得直接把登录请求拦下来，走人工核验流程。

我当时听到老陈说他们连离职账号都没清干净，差点把手里的冰啤酒喷出来。

别让安全团队和业务团队站在对立面

零信任落地失败的项目，十有八九是安全部关起门来定规则，根本没跟业务团队坐下来聊过。

老陈他们一开始的规则，全是安全部自己拍板定的。销售出去见客户，用自己的手机登系统，因为不在公司固定IP段，每次都要刷三次脸。有次销售在客户会议室里，为了登系统看报价单，对着手机刷了五分钟脸，对面客户都等得不耐烦了。

后来改规则的时候，安全部拉着三个一线销售坐下来聊了一下午，才把规则调顺：对销售这个身份组，只要是企业配发的设备，在长三角区域的常用登录范围内，访问CRM的只读页面，就只需要一次静态密码验证；如果要下载带客户隐私信息的附件，再触发短信二次验证。就这么个简单调整，业务部的投诉量直接掉了80%。

对吧，安全的本质是挡风险，不是给人添堵。

很多人觉得零信任是个烧钱的大工程，必须全系统一次性接完才算落地。其实根本不是。先从风险最高的三个核心系统切入，比全量铺开的成功率高十倍。比如先把代码仓库、财务系统、客户CRM这三个最容易出数据泄露的系统接进身份认证体系，跑通三个月，大家都觉得好用，没有那么多麻烦的流程，再慢慢把OA、打印系统这些非核心的接进来，根本没人会反对。

那天跟老陈撸到半夜，他说之前总觉得零信任是互联网大厂玩的飘在天上的概念，现在才明白，说白了就是把之前“只要进了内网就啥都能看”的破规矩改了，每次访问都问一句“你是谁，你现在在哪，你要干啥”。

哪有那么玄乎。

真要把这事落地，少听供应商吹的那些悬浮概念，多蹲在业务部门口听三天吐槽，比买十万块的咨询方案有用多了。