上周四下午开车去江宁。
过了绕越高速的江宁开发区出口，堵了二十分钟——工程车占了两根道，梧桐絮飘得满挡风玻璃都是，雨刮器开到最大也刮不干净。
到客户公司的时候，对方信息部王总已经在楼下等了。
手里攥着个掉了点漆的搪瓷杯，一见面就叹气，说之前找供应商上的零信任，上线三个月，现在内部投诉邮箱每天能收二十多封。
先搞清楚大家到底在骂什么
我本来以为是出了什么安全漏洞。
坐下聊了半小时才发现，根本不是技术问题。
员工的吐槽集中在几个点：原来登生产系统只要输一次密码，现在每切一个系统就要弹一次验证；出差在客户现场，掏手机收个验证码，信号差转半天圈，客户在旁边看着尴尬到脚趾抠地；车间的巡检员戴个安全帽，人脸识别摄像头晃来晃去，十次有八次识别失败，本来巡检一圈四十分钟，光折腾登录就花二十分钟。
说白了，之前的供应商根本没把零信任的身份逻辑搞懂，把“多因子验证”当成了全部，不管什么场景，一律上最严的规则——就像为了防小偷，把家里所有的门都焊死，连自己人进出都要爬窗户。
很多人对零信任的误解就在这。觉得身份认证就是“堆验证因子”，密码+验证码+人脸+硬件令牌，堆得越多越安全。
完全错。
零信任的核心是动态适配，不是“一刀切”。你给办公室里坐八小时的行政人员，和天天在车间跑的巡检员，用一模一样的验证规则，那从一开始就注定会被骂。
身份认证的核心从来不是多验几次
我之前在南京本地做政务项目的时候，见过更离谱的操作。
某区的政务窗口，给办事员配的零信任系统要求每15分钟自动退出一次，哪怕你正在录群众的材料，时间到了直接给你踢回登录页，连个自动保存的提示都没有。高峰的时候窗口排着长队，办事员在那反复输验证码，群众在后面催，整个大厅乱成一团。
问题出在哪？就是把“验证强度”和“安全程度”划上了等号。
真正的零信任身份逻辑，是给每个访问请求打全维度的标签：你是谁，你用的什么设备，你现在在什么位置，你最近的访问行为是什么，根据这些标签动态匹配权限和验证强度。
比如同样是访问生产数据库：
如果你是在公司内网的工位上，用公司配的笔记本，最近30天没有异常登录记录，那只要输一次密码，两小时内访问同权限的系统都不用再验证；
如果你是在外地出差，用自己的私人手机访问，那除了密码，还要做一次人脸验证，而且只能看只读报表，不能导出敏感数据；
如果你凌晨三点从未经备案的境外IP登进来，直接触发阻断，根本不用给验证的机会。
说实话，我见过太多供应商做方案，上来就堆功能清单，什么硬件加密狗、指纹识别、动态令牌，算下来一个人一年的授权费就要好几百，但是从来没问过客户的一线员工平时是怎么用系统的——是在办公室坐八小时，还是跑外勤，还是在车间里晃。
不同的场景，验证强度本来就该不一样。非要所有人都按最严的规则来，本质上就是偷懒。
落地别想着一步到位
跟王总聊完，我们给的第一版方案根本不是什么宏大的架构设计。
就先从两个最痛的场景切入。
第一个是生产部的巡检系统。给车间的专用平板配单独的权限，只要设备连的是车间的专用WiFi，绑定了巡检员的账号，登进去之后一天都不用重新验证，人脸识别的规则直接关掉——车间里戴安全帽、光线晃，本来就不适合用。
第二个是销售部的外勤访问。给销售配个轻量的验证通道，只要是在常用的出差城市，用自己的手机登客户资料库，只要验证一次密码，当天都不用再弹验证，导出数据的权限单独走审批，不跟登录流程绑在一起。
就这么小的改动，上线第一周，投诉量直接掉了80%。
我一直觉得，很多人做零信任落地，最大的误区就是想一步到位——上来就把所有系统、所有部门、所有员工都迁到新的身份体系里，光数据迁移就要搞三个月，等系统上线的时候，业务流程都变了三轮，方案早就跟实际情况脱节了。
不如拆成小步走。
先找痛点最明显的两个场景试，把一线员工的体验提上来，大家不抵触了，再慢慢扩范围。
规则定下来之后，也别就一成不变。每周拉一次操作日志的复盘会，看看哪个规则触发的验证最多，哪个场景下用户的报错率最高，慢慢调。
别把操作日志当成抓员工违规的工具，要当成优化规则的依据。
比如你发现某个员工每天早上九点准时登系统，从来不会在非工作时间访问，那他的验证规则就可以适当放宽，不用每次都弹人脸。
我之前见过最离谱的项目，IT部为了凑合规的指标，给所有账号都设了每20分钟重新验证一次，哪怕你正在写方案，时间到了直接踢出去。这种东西哪怕吹得再符合零信任的标准，没人用就是白搭。
零信任从来不是什么高大上的安全概念。
说白了就是别再抱着“进了内网就可以随便看”的老思路，但是也别为了安全把人折腾得没法干活。
身份认证落地的核心，从来不是技术有多先进，是你能不能站在每天要用这个系统的人的角度，把安全规则嵌到日常的工作流里，而不是把规则架在工作流的前面。