零信任从来不是安全团队的自嗨
2026-11-13 19:50:13
作者：
fawen
上周在软件大道那家开了十年的鸭血粉丝店，跟做工业IoT的老陈拼桌，他吐槽去年拍板花了快两百万上的全套零信任方案，现在成了车间里的“众矢之的”。一线班组长每天要登三次生产系统，碰上个平板死机的情况，光输验证码就要折腾十分钟，工人嫌麻烦，直接把动态验证码写在车间入口的白板上，谁要用谁抄——合着两百万买了个提醒大家怎么绕过安全规则的提示板？
别把零信任当传统VPN的换皮产品
好多人对零信任的认知，到现在还停留在“把老的VPN撤了，换个带身份认证的入口就行”的阶段。厂商卖方案的时候也顺着这个思路吹，说只要把所有远程访问的流量都切到新的零信任网关上，就算完成了架构升级。
可实际上呢？他们当时给的方案，不管你是坐在公司内网的工位上，还是在外地出差连公共WiFi，只要访问生产数据平台，就必须弹一次MFA验证。车间的平板是班组公用的，每次交接班都要重新输动态码，工人满手油污掏手机输6位数字的场景，想想都离谱。
工业车间公用平板贴白板验证码场景
你不能要求一个在高温车间里满手油污的操作工，每次去查设备运行参数的时候，都能精准掏出手机、点开已经被工厂噪音震得自动静音的认证APP、对着屏幕上跳来跳去的6位数字一个不差的输完——这种脱离实际生产场景的规则，从写进配置表的那天起，就注定会被所有人想方设法绕开。
真的离谱。
最小权限不是把权限砍到不能干活
聊到方案踩的坑，老陈说当初做权限配置的时候，团队想当然觉得“最小权限就是给每个人开最少的权限”。给财务开报销系统的权限，就不能让他看OA的待办；给运维开服务器权限，就不能让他碰办公网的打印机。结果上线第一周，财务部门的人就集体找过来，说现在连填个部门的团建申请都要走三级审批，比上系统之前的流程还麻烦。
我之前见过个做电商的团队，刚上零信任的时候，给客服开的权限只能看用户的基础订单信息，结果碰到用户要退运费，客服连订单里的支付金额字段都看不到，每次都要提交申请找运营审批，一单退款要走20分钟流程，客服每天光写审批申请就要耗掉俩小时，最后主管实在扛不住，直接给所有客服开了全量用户数据的查看权限——比上零信任之前的权限范围还大。
真正的最小权限，是跟着用户的实时场景动态调整权限范围，而不是提前给所有人划好不能越界的死线。比如客服在工作日的9点到18点，坐在公司工位的IP段里，系统自动给他开放对应订单的查看、退款操作权限；如果是凌晨3点，他在外地的家里登录系统，要查同样的订单，系统就会触发二次身份验证，甚至临时把权限收窄到只能看基础信息，不能操作退款。
零信任动态权限场景匹配逻辑示意图
说实话，好多团队做权限配置的时候，根本懒得花一周时间蹲在业务线旁边，把每个岗位每天要用到的系统、操作的字段、访问的时间段摸清楚，总觉得权限给的越少越安全，最后把业务流程卡得死死的，大家为了不耽误干活，干脆集体申请超级权限，那安全体系的根基直接就塌了。
落地别想着一步到位全量覆盖
老陈说当初定项目目标的时候，拍着胸脯说要半年内把公司所有系统、所有终端、所有网络节点都换成零信任架构，算下来预算要追加到三百万，还要跨生产、行政、财务好几个部门协调，光项目启动会就能开俩月。后来被老板骂了一顿，才改成先从风险最高的场景切入。
先把存着核心生产数据的设备管理平台的访问入口换了，把之前“只要在内网就能直接访问”的老规则改了，先摸清楚车间班组、运维团队、技术支持平时的访问习惯，把验证规则调到不影响正常操作的程度，跑了三个月稳了，再慢慢把研发代码库、财务报销系统的入口接进来。
不过话说回来，真没必要追求一步到位全量覆盖。他后来调整了车间公用平板的认证规则，改成班组的统一临时凭证，每次交接班的时候自动更新24小时有效的访问码，不用工人每次掏手机输验证码，先把一线的抵触情绪消了，再慢慢把权限粒度细化到每个班组，现在跑了快半年，车间那边再也没人把验证码写白板上了。
很多人总觉得上零信任是个能一次性解决所有安全问题的银弹，却忘了任何安全体系的本质，都是在安全成本、用户体验和业务效率之间找一个能让所有人都能接受的平衡点，而不是拿着最严苛的规则去要求所有人适应脱离实际的技术框架。
没用的。
前阵子跟几个做安全的老伙计在珠江路的小馆子聊天，大家都有个共识：现在零信任的概念炒得太凶，好多厂商把什么产品都往零信任上靠，好像不说自己是零信任就做不了安全生意。但真落到企业里，从来不是买了多少设备、上了多少功能的事。你得真的蹲在车间里看工人怎么操作平板，得真的坐客服旁边看他每天要处理多少条退款申请，得真的跟运维一起值一次晚班看他排查故障要开多少个系统的权限。脱离这些真实的细节，再贵的方案，最后都是摆给审计看的花架子。
免责声明：市场有风险，选择需谨慎！此文仅供参考，不作买卖依据。如有侵权请联系删除。
文章名称：
零信任从来不是安全团队的自嗨
文章链接：https://www.itcdj.com/news/788.html