上个月去新街口见个做连锁餐饮的CTO，刚被内部审计打了个红牌。原因很简单，总部财务的账号被人从境外IP登了，盗走了三个月的供应商打款明细。他当时拍桌子说自己防的严，硬件防火墙堆了三层，VPN账号要二次验证，怎么还能出这种事。
老套的边界早就靠不住了
之前我们做安全的逻辑，说白了就是给公司圈个围墙。围墙外面是不可信的互联网，围墙里面是自己人，只要过了围墙进了内网，大家就可以放心互相访问。
这哪里是安全。
就说这个餐饮客户，之前的内网规则是什么？只要连了公司办公wifi，不需要额外验证，就能摸到财务系统的后台接口，甚至能直接打开公共共享盘里存的全量供应商台账。更别说那些常年在外跑的区域经理，账号权限开了之后从来没回收过，有的员工离职半年，旧账号还能登进门店的收银系统后台。
这些漏洞，根本不是三层防火墙能挡住的。
现在的工作场景早就变了。员工在家办公连公共wifi，外包团队在客户现场对接系统，供应链的合作方要跨网传文件，你总不能把所有人都圈在公司围墙里吧？靠原来那套”进门就信任”的逻辑，等于把家里的大门装了三把锁，卧室门却从来不锁。
别把零信任等同于买设备
这个CTO出了问题之后，第一反应是找供应商报价上零信任。我翻了下对方拿过来的方案，差点笑出声。方案里写的明明白白，只要把原来的VPN网关换成他们的零信任盒子，就算完成零信任改造了。
差点就签合同了。
零信任的核心从来不是换个网关把边界从公司大门挪到机房出口，而是永不信任、始终验证。不管你是从公司内网发的请求，还是从家里连过来的请求，每一次访问资源之前，都要把身份、设备状态、访问行为查个遍。
比如财务岗的小李，日常都是上午9点用公司配发的、装了合规安全插件的笔记本，从公司工位的IP段登录财务系统。如果某天凌晨3点，他的账号突然用一台没装安全插件的私人电脑，从境外IP尝试登系统，就算他输对了密码，也得直接拦下来，触发人脸核验甚至人工确认。
我见过太多公司被供应商的话术忽悠，花大几百万买了零信任设备，装完之后把原来的VPN规则直接平移上去，连最基本的设备状态校验都没开。最后钱花了，该漏的漏洞还是漏，还美其名曰”完成了零信任转型”。
落地别上来就铺全量
很多人对零信任落地有个误区，觉得要一次性把公司所有系统、所有账号、所有网络节点全接上，才算做的到位。实际上真这么干，不出三个月就得因为员工抱怨登录太麻烦，把所有规则松绑。
务实的做法从来都是抓重点。先覆盖高价值的敏感资源，比如财务系统、核心用户数据库、代码托管平台，就这三个地方先把规则立起来。一开始别搞太复杂，先把最容易出问题的几个卡口设好：访问这些系统必须用公司配发的合规设备，必须开全盘加密，补丁更新到最新版本，登录位置、设备、时间和历史行为偏差过大的时候，触发二次核验。
那个餐饮客户后来就按这个方法做的，第一周就拦了三次异常登录。其中一次是三年前离职的区域经理的旧账号，居然还能直接访问供应商对接的页面，吓得他当天就组织人把全公司所有账号的权限清了一遍，停了两百多个长期不用的僵尸账号。
说实话，零信任从来不是什么高大上的概念。它本质上就是一套做事的逻辑——你别默认任何进来的人都是可信的，每一次权限访问都要把好关。你哪怕从今天开始，每周抽半小时查一遍核心系统的账号权限，把长期不用的账号全停掉，都比花几百万买个设备摆在机房吃灰强。
真的。