零信任不是一款能买来的产品。NIST SP 800-207把它描述为：防御重心从固定的网络边界，转向用户、资产和资源。落到实处就是，人在办公网或连着VPN，不再能证明请求合法；每次访问都要看是谁、用什么设备、要访问什么。
这个思路本身没有问题，麻烦出在它变成采购品类之后。我们认为，做事的顺序比选哪家厂商更重要，多数机构可以按下面四步推进。
一、先做身份
后面所有控制措施都要先弄清请求者是谁，身份这一层薄弱，其他投入都打折扣。
- 尽量把员工使用的应用都接入同一个身份提供商，接不进来的单独列清单。
- 启用抗钓鱼的多因素认证，如通行密钥或FIDO2安全密钥，先管理员，后全员。短信验证码可能被截获，也可能被人骗走。
- 关闭能绕过多因素认证的旧式认证协议。
- 管理员使用独立的特权账号；平台支持的话，提权只给限定时间。
- 清查服务账号和API密钥，这些凭据常常权限很大、永不过期，还没有负责人。
二、设备状态
已沦陷的笔记本用合法账号登录，仍然是一次入侵。身份理顺之后，把设备纳入判断。先选几项真能执行的检查：设备受管、磁盘加密、操作系统补丁在支持范围内、终端防护在运行。
策略先以“仅报告”模式运行。你会发现外包人员的电脑、员工的私人手机和被遗忘的自助终端；在报告里发现它们，总好过被一堆求助电话淹没。还要想清楚非受管设备能访问什么，答案很少真的是“什么都不能”，只通过浏览器访问低风险应用往往是可行的折中。
三、在关键处做分段
零信任项目常常卡在网络分段上，通常是因为有人想先摸清全公司所有流量再动手。不如从损失最大的地方开始。
- 选一到三个关键系统，比如财务数据库、身份提供商或备份平台。
- 观察几周真实流量，记录哪些系统确实需要访问它们。
- 其余一律阻断，管理访问必须走受控路径。
- 禁止普通工作站之间直接通信。很少有业务需要这样，而攻击者靠它横向移动。
四、用得上的日志
每次访问决策都要留下记录：谁、哪台设备、什么资源、允许还是拒绝、由哪条策略决定。把身份、终端和网络日志送到单台系统的管理员权限改不了的地方，并保留足够长的时间，让你能调查几周后才发现的入侵。
然后实际验证。如果没人能在几分钟内答出“这个账号上周二访问过什么”，那你只是存了数据，谈不上有日志能力。
口号没有告诉你的事
- 例外会越积越多。 不支持现代认证的旧应用都可能变成永久特例，除非每个例外都有负责人和到期日。
- 身份提供商成了关键依赖。 它宕机或配置出错，所有人都无法工作。要准备经过测试的应急账号，妥善保管，并监控任何使用行为。
- 策略需要有人负责。 访问规则要有人审批，团队变动时要有人维护。这是长期运营成本，不是一个会结束的项目。
- 用户感受得到。 调得不好的验证提示会让人养成见到就批准的习惯，少而准的检查比持续打扰更有效。
不要指望有“完成”的一天。把目标定为：不断缩小一个被盗凭据能让攻击者走多远。
本周可以做的事
- 列出所有拥有管理员权限的账号，查清每个账号如何认证。
- 找出哪些应用没有接入身份提供商。
- 检查旧式认证是否仍开启，看看谁在使用。
- 选出你最不希望被攻击者碰到的系统，写下目前有哪些东西能连接它。
- 调取某个账号最近30天的访问日志，记下要花多久才能拿到。
这些答案给出的计划，比任何成熟度评估都更实在。