技术

中型企业的零信任与访问安全：验证每一次访问，而非信任网络

发布于 2026年11月9日8 分钟阅读作者：PT Agsora Teknologi Indonesia

本文目录

摘要
为什么城堡加护城河模型不再够用
零信任的三项核心原则
可以落地的几大支柱
供应商与承包商访问
务实的分阶段计划
对用户体验的影响
示例场景：销售人员的邮箱账号被盗
常见错误
常见问题
结论

多年来，办公网络的安全模型很简单：周围有一道墙，墙内的人都被视为可信。员工加入办公网络或通过 VPN 连接后，就能访问许多系统。当应用迁移到云端、员工在家和咖啡馆办公、供应商需要临时访问权限、个人设备也加入进来时，这一模型开始出现裂缝。曾经清晰的围墙几乎消失，而攻击者只需窃取一个密码，就能在内部畅行无阻。

零信任拒绝这一旧假设：任何用户、设备或网络都不会被自动信任。每个访问请求都根据身份、设备状态和上下文进行验证，并且只授予所需的访问权限。本文以务实的语言为中型企业解释这一概念，不要求购买昂贵产品，并给出切实可行的分阶段做法。

摘要

零信任不是单一产品，而是一组原则：显式验证、最小权限、假设入侵可能发生
带多因素认证的用户身份取代网络位置，成为主要的防线
设备状态和登录上下文也决定是否授予访问
分段和最小权限限制了单个账号被攻破时的影响
从最关键的账号、设备和应用开始，而不是一次替换全部

科技背景上的数字安全挂锁图标 — 访问基于身份和上下文授予，而不是因为你身处办公网络之内

为什么城堡加护城河模型不再够用

有几个变化使旧模型难以维持。

**云应用。**数据不再只存放在办公服务器上。SaaS 应用通过互联网从任何地方访问。
**远程与混合办公。**员工大部分时间在办公网络之外。
**供应商与承包商。**外部人员需要在限定时间内获得有限访问。
**个人设备。**个人手机和笔记本经常被用来打开邮件和工作应用。
**针对凭据的攻击。**网络钓鱼和密码窃取比复杂的网络入侵更常见。参见[中小企业的网络钓鱼、勒索软件与网络安全](/blog/phishing-ransomware-dan-keamanan-siber-untuk-umkm)。

在旧模型中，授予内部网络完整访问权限的 VPN 成了薄弱点：一旦 VPN 凭据被盗，攻击者就可以转移到其他系统，而这些系统因为位于可信网络内而没有受到保护。

零信任的三项核心原则

1. 显式验证

每个访问请求都基于多种信号评估：用户是谁、是否满足多因素认证、使用什么设备、位于何处，以及行为是否正常。早上登录一次并不意味着之后发生的一切都自动安全。

2. 最小权限

用户和应用只获得完成任务所需的访问权限，并且只在需要的时间内有效。销售人员不需要工资数据，管理员权限也不需要全天启用。良好的角色设计见设计用户访问权限。

3. 假设已被入侵

在设计系统时，就像某个账号或设备已经被攻破一样。问题不仅是如何阻止入侵者进入，还有攻击者能走多远、我们多快能发现。这推动了分段、日志记录和清晰的响应计划，正如企业网络安全事件响应计划中所讨论的。

可以落地的几大支柱

身份：最重要的基础

用户身份成为新的边界。务实的步骤：

为工作应用建立统一的身份系统，使授予和移除访问的做法一致
所有账号启用多因素认证，对管理员账号和远程访问最严格
单点登录以减少分散的密码；参见[业务应用的 SSO 与身份管理](/blog/sso-dan-manajemen-identitas-untuk-aplikasi-bisnis)
逐步转向抗钓鱼的方式，如通行密钥；参见[通行密钥与无密码登录](/blog/passkey-dan-login-tanpa-kata-sandi-untuk-bisnis)
员工或供应商离开时撤销访问的离职流程

设备：这台设备值得信任吗

访问敏感数据时可以要求设备满足最低标准：操作系统已更新、存储加密、屏幕锁已启用，并有恶意软件防护。对于个人设备，可考虑通过浏览器进行有限访问，而不是完整访问公司数据。政策必须现实；过于严格会让员工寻找捷径。

网络：分段与按应用访问

与其授予整个内部网络的访问权限，不如按应用授予。数据库服务器不应能从互联网或所有笔记本直接访问。为关键系统、收银设备、摄像头和访客分别划分网络。许多企业可以通过基于应用的访问减少对完整 VPN 的依赖，或者保留 VPN 但配合严格的分段和多因素认证。

应用与数据

在应用层，实施在每个请求上检查权限的授权，而不仅仅是在登录时。按敏感程度对数据分类，并对敏感数据的存储和传输加密。API 密钥等机密不得嵌入代码；参见业务应用中的机密与 API 密钥管理。其他基础做法见业务应用的基本安全。

可见性：日志与检测

看不见的东西就无法保护。收集登录、权限变更和敏感数据访问的日志，并为异常模式（例如来自不寻常位置的登录或大量下载数据）设置告警。这一原则与可观测性、日志与错误处理以及ERP 系统中的审计轨迹一致。

供应商与承包商访问

供应商常常是攻击的入口，因为他们的访问权限宽松且很少被审查。有帮助的做法：

每位供应商人员使用单独账号，而不是共享账号
访问限制在特定系统和时间窗口内，到期自动失效
访问启用前由内部负责人批准
对关键系统的访问进行会话记录
定期审查有效的供应商访问清单

类似的考量也出现在依赖项安全与软件供应链以及选择软件公司的清单中的供应商选择上。

务实的分阶段计划

你不需要全面改造。中型企业合理的顺序：

1. **盘点。**列出应用、管理员账号、设备以及谁访问什么。许多首批发现是仍然有效的旧账号。

2. **处处启用多因素认证。**从邮箱、财务应用、ERP、托管面板和管理员账号开始。

3. **整理权限。**应用角色、撤销多余访问，并把管理员账号与日常账号分开。

4. **设备卫生基础。**自动更新、磁盘加密，以及设备丢失时远程擦除数据的能力。

5. **网络分段。**隔离关键系统，并限制对数据库的直接访问。

6. **监控与告警。**为高风险事件启用日志和通知。

7. **事件演练。**定期测试响应计划和备份恢复。

这些基础就绪后，再考虑更高级的条件访问、自动设备状态检查或基于应用的访问服务。通过渗透测试与安全审计进行验证，有助于发现从内部看不到的漏洞。

对用户体验的影响

让人沮丧的安全措施会被绕过。好的零信任旨在降低合理访问的摩擦，只在风险上升时增加摩擦。例如，SSO 和通行密钥让日常登录更快，而额外验证仅在从新设备或陌生位置登录时出现。让用户参与试点，倾听抱怨，并在访问被锁定时提供快速的求助渠道。

示例场景：销售人员的邮箱账号被盗

一名销售人员被假冒的登录页面欺骗，密码被盗。在旧模型中，持有该密码的攻击者可以直接进入邮箱、共享文件乃至其他系统，然后以该员工的名义向客户发送诈骗邮件。

在零信任方法下，多层机制同时起作用。多因素认证或通行密钥会阻止登录，因为攻击者没有第二因素。即使仍然通过，从陌生设备和位置的登录会触发额外验证或被拦截。最小权限意味着销售账号只能接触销售数据，而无法接触财务或工资数据。日志记录异常模式，例如大量下载客户名单，从而触发告警，账号可立即被锁定。最后，经过演练的响应计划决定谁来更换凭据、评估影响并通知相关方。

结果是，在旧模型中可能演变成重大泄露的事件，变成了被检测到且范围受限的事件。没有哪一层是完美的，但多层组合让攻击者成功的可能性大大降低。