为什么 2026 年了，还在谈零信任
「零信任」这个词从 Forrester 在 2010 年提出至今已经十六年，但真正把它从 PPT 拉进生产环境，是 2023 年之后的事。到 2026 年，它之所以仍是企业安全架构的第一议题，原因很朴素：边界没了。一家中等规模的制造企业今天平均同时运行公有云（AWS／阿里云／Azure）、私有虚拟化平台、2~3 个 SaaS 主栈（飞书／钉钉 + 企业微信 + CRM），再加上保留的 IDC 老系统，合计约 214 个对外接口和 40 多个身份源。传统的「城堡与护城河」模型——进来之后默认信任——在这种拓扑下等于把内网直接暴露。
零信任的核心不是某款产品，而是一组工程原则：永不默认信任、始终验证；把最小权限作为默认而非例外；假设已被攻破，用微隔离限制爆炸半径。它把安全的锚点从「你在哪个网络」换成「你是谁、用什么设备、在访问什么、上下文是否合理」。
信源：NIST SP 800-207 零信任架构、Google BeyondCorp 公开论文、CISA 零信任成熟度模型（2026-02 修订）、Gartner 安全技术成熟度曲线（2026）、OWASP ASVS v5。
一、五层落地架构：把口号拆成可交付的层
成熟团队不会一步到位买一个「零信任平台」，而是分五层推进，每层独立可验证收益：
- 身份层（Identity）：统一 SSO + MFA，收敛散落的本地账号。这一步的 KPI 是「活跃身份源数量」从几十降到 1~2 个 IdP。
- 设备层（Device Posture）：接入前检查设备是否加密、是否有 EDR、系统版本是否达标。BYOD 场景下用轻量 Agent 或 MDM 采集信任分。
- 策略层（Policy Engine）：基于属性的访问控制（ABAC），把「部门 + 角色 + 设备信任分 + 时间 + 地点」组合成动态策略，替代静态 ACL。
- 访问代理层（Enforcement）：SDP／网关把应用「隐身」，未通过策略校验的连接根本看不到应用端口。这是把「身份即边界」落地的物理点。
- 可观测层（Continuous Monitoring）：全量访问日志进 SIEM，持续行为分析（UEBA）识别异常，形成「验证—授权—监测—收紧」闭环。
关键认知：很多人把零信任等同于「上一个 SSO」。真正的分水岭在第 3 层和第 5 层——能否做到持续评估。一次登录授权管一天的模型，只是「带 MFA 的老边界」，不是零信任。
二、混合云的三类连接场景与对应打法
混合云难在「同一策略要跨三种信任域生效」。实战按场景拆分：
场景 A：员工访问 SaaS
走 CASB / SASE POP，策略在云端做，办公网与 VPN 被弱化。移动办公占比高的公司，这块收益最早兑现——直接下线老旧 VPN 就能省下一笔设备与运维成本。
场景 B：员工访问私有应用（IDC／私有云）
用 SDP 网关把内部应用「推到隐身」，只有策略引擎放行的会话才建立到应用的加密隧道。老系统无法改造认证的，用反向代理 + 应用虚拟化兜住。
场景 C：工作负载互访（东西向流量）
这是最难也最值钱的一块。跨云的服务调用改用 mTLS + 服务身份（SPIFFE/SPIRE 类），配合微隔离把「一台 Web 服务器被拿下」的横向移动半径压到最小。云原生环境用服务网格（Istio／Linkerd）落地东西向零信任最顺。
三、六大常见误区（我们踩过的坑）
- 把零信任当产品买：它是架构演进，采购单解决不了组织问题。
- 先动核心生产网：正确顺序是从「新应用 + 远程办公」这些无历史包袱的地方切入，先赢一手再回攻存量。
- 忽视非人类身份（NHI）：API Key、服务账号、机器人账户往往是最大的影子攻击面，2026 年的泄露事件里 NHI 占比已过半。
- 策略一刀切：把所有访问都做成强验证会把业务卡死，低风险场景应放行以换取用户配合度。
- 日志不做收敛：接了五大工具但没有统一 SIEM，等于没有可观测层。
- 没有回退方案：策略引擎或 IdP 宕机时全网无法登录，必须保留受控的 break-glass 通道。
四、90 天分阶段路线图
零信任不是一次性项目，而是「小步快跑、每步兑现收益」的工程节奏。一个可复制的三段式：
- 第 0~30 天（身份收敛）：统一 IdP、强制 MFA、清理僵尸账号，把身份源降到 1~2 个。收益立现，且不碰业务逻辑，风险最低。
- 第 31~60 天（访问代理）：对 3~5 个高价值远程访问场景上线 SDP/SASE，替代 VPN；建立设备信任分。
- 第 61~90 天（持续验证）：接入 SIEM + UEBA，把静态授权升级为动态策略；选 1 个东西向微隔离试点验证爆炸半径收敛效果。
90 天只是起点。真正的成熟度要用 CISA 零信任成熟度模型的五个支柱（Identity、Device、Network、Application/Workload、Data）持续打分演进，一般企业 2~3 年走到「策略驱动」阶段。
五、成本账本与不该省的地方
混合云零信任的隐性成本主要在存量改造：老应用不支持现代认证要上代理、数据要分类分级才能做动态策略、组织要重组审批流。真正省钱的地方是「下线一堆点状安全设备 + 停 VPN + 减少横向泄露事故」。我们的经验是：身份层和可观测层的钱不能省（这是地基和眼睛），设备层可以先用轻量方案，微隔离可以按业务价值分批投。切勿一次性采购全家桶——那往往意味着两年后一半能力闲置。
一句话收尾：零信任的终点不是「更严」，而是「更准」——让每一次访问都被恰当地评估、恰当地放行、恰当地记录。边界消失后，身份与上下文就是唯一还守得住的防线。
六、合规正在替零信任「逼单」
过去企业上零信任多靠安全团队「内部推销」，2026 年最大的变化是合规成了外部推手。中国的《数据安全法》《个人信息保护法》与等保 2.0 三级要求，明确强调「最小权限、访问可审计、数据分类分级」——这三条恰好是零信任五层架构的直接产出；欧盟 GDPR、美国 CISA 零信任行政令则把「持续验证 + 全量日志」写进了对关键基础设施供应商的采购硬门槛。对做出海业务、供政企客户、或要过 ISO 27001 / SOC 2 审计的企业来说，零信任不再是「更安全」的可选项，而是「能不能签合同、能不能过审」的必选项。这也解释了一个现象：很多企业的零信任立项预算，是从合规/审计科目里出的，而不是安全预算。
从工程角度，合规驱动还带来一个副作用：它逼着你把「身份、设备、策略、日志」四件事一次性做扎实——而这正是零信任地基。换句话说，一次以合规为名的零信任改造，往往顺带把欠了多年的账号治理、影子资产、日志孤岛账一起还了。判断投入优先级时，可以把「哪些控制项既满足审计要求、又能真实降低被攻破概率」作为交集，优先做——这样一份钱办两件事，ROI 最高，也最容易在预算评审时说清楚价值。
七、把零信任「讲给老板听」：一页纸的价值话术
技术负责人推动零信任，最大的阻力往往不是预算而是「说不清价值」。一条被反复验证的汇报框架是：别讲「更安全」这种无法证伪的词，讲三个可量化的收益——① 下线 VPN 与一堆点状安全设备，一年省下的license与运维人力是确定的数字；② 把「一次登录管一天」换成持续验证后，凭证被盗、离职账号残留这类事件的处置窗口从数周缩到数分钟，这是可算的风险敞口下降；③ 满足等保/GDPR/SOC2 审计直接解锁政企与出海客户，是把安全从成本中心变成签单资质。再补一句风险兜底：即便边界被突破，微隔离把横向移动半径压到最小，一次钓鱼不至于演变成全站沦陷。用「省了多少、快了多少、能签什么单、兜住多大风险」这四点，比任何技术架构图都更容易在预算会上过关。零信任最终要赢的，不是安全团队的自嗨，而是让业务和管理层都看见它的账。
