# 中型企业的零信任与访问安全：验证每一次访问，而非信任网络

> 面向中型企业的实用零信任入门：身份与多因素认证、设备状态、网络分段、最小权限、供应商访问、日志可见性，以及无需昂贵产品的分阶段实施计划。

Source: https://www.agsora.tech/zh/blog/zero-trust-dan-keamanan-akses-untuk-bisnis-menengah-tanpa-vpn-berlebihan
Category: 技术 · Published: 2026-11-09 · Updated: 2026-11-09 · By PT Agsora Teknologi Indonesia

多年来，办公网络的安全模型很简单：周围有一道墙，墙内的人都被视为可信。员工加入办公网络或通过 VPN 连接后，就能访问许多系统。当应用迁移到云端、员工在家和咖啡馆办公、供应商需要临时访问权限、个人设备也加入进来时，这一模型开始出现裂缝。曾经清晰的围墙几乎消失，而攻击者只需窃取一个密码，就能在内部畅行无阻。

零信任拒绝这一旧假设：任何用户、设备或网络都不会被自动信任。每个访问请求都根据身份、设备状态和上下文进行验证，并且只授予所需的访问权限。本文以务实的语言为中型企业解释这一概念，不要求购买昂贵产品，并给出切实可行的分阶段做法。

## 摘要

- 零信任不是单一产品，而是一组原则：显式验证、最小权限、假设入侵可能发生
- 带多因素认证的用户身份取代网络位置，成为主要的防线
- 设备状态和登录上下文也决定是否授予访问
- 分段和最小权限限制了单个账号被攻破时的影响
- 从最关键的账号、设备和应用开始，而不是一次替换全部

*访问基于身份和上下文授予，而不是因为你身处办公网络之内*

## 为什么城堡加护城河模型不再够用

有几个变化使旧模型难以维持。

- **云应用。**数据不再只存放在办公服务器上。SaaS 应用通过互联网从任何地方访问。
- **远程与混合办公。**员工大部分时间在办公网络之外。
- **供应商与承包商。**外部人员需要在限定时间内获得有限访问。
- **个人设备。**个人手机和笔记本经常被用来打开邮件和工作应用。
- **针对凭据的攻击。**网络钓鱼和密码窃取比复杂的网络入侵更常见。参见[中小企业的网络钓鱼、勒索软件与网络安全](https://www.agsora.tech/zh/blog/phishing-ransomware-dan-keamanan-siber-untuk-umkm)。

在旧模型中，授予内部网络完整访问权限的 VPN 成了薄弱点：一旦 VPN 凭据被盗，攻击者就可以转移到其他系统，而这些系统因为位于可信网络内而没有受到保护。

## 零信任的三项核心原则

### 1. 显式验证

每个访问请求都基于多种信号评估：用户是谁、是否满足多因素认证、使用什么设备、位于何处，以及行为是否正常。早上登录一次并不意味着之后发生的一切都自动安全。

### 2. 最小权限

用户和应用只获得完成任务所需的访问权限，并且只在需要的时间内有效。销售人员不需要工资数据，管理员权限也不需要全天启用。良好的角色设计见[设计用户访问权限](https://www.agsora.tech/zh/blog/merancang-hak-akses-pengguna)。

### 3. 假设已被入侵

在设计系统时，就像某个账号或设备已经被攻破一样。问题不仅是如何阻止入侵者进入，还有攻击者能走多远、我们多快能发现。这推动了分段、日志记录和清晰的响应计划，正如[企业网络安全事件响应计划](https://www.agsora.tech/zh/blog/rencana-respons-insiden-keamanan-siber-untuk-bisnis)中所讨论的。

## 可以落地的几大支柱

### 身份：最重要的基础

用户身份成为新的边界。务实的步骤：

- 为工作应用建立统一的身份系统，使授予和移除访问的做法一致
- 所有账号启用多因素认证，对管理员账号和远程访问最严格
- 单点登录以减少分散的密码；参见[业务应用的 SSO 与身份管理](https://www.agsora.tech/zh/blog/sso-dan-manajemen-identitas-untuk-aplikasi-bisnis)
- 逐步转向抗钓鱼的方式，如通行密钥；参见[通行密钥与无密码登录](https://www.agsora.tech/zh/blog/passkey-dan-login-tanpa-kata-sandi-untuk-bisnis)
- 员工或供应商离开时撤销访问的离职流程

### 设备：这台设备值得信任吗

访问敏感数据时可以要求设备满足最低标准：操作系统已更新、存储加密、屏幕锁已启用，并有恶意软件防护。对于个人设备，可考虑通过浏览器进行有限访问，而不是完整访问公司数据。政策必须现实；过于严格会让员工寻找捷径。

### 网络：分段与按应用访问

与其授予整个内部网络的访问权限，不如按应用授予。数据库服务器不应能从互联网或所有笔记本直接访问。为关键系统、收银设备、摄像头和访客分别划分网络。许多企业可以通过基于应用的访问减少对完整 VPN 的依赖，或者保留 VPN 但配合严格的分段和多因素认证。

### 应用与数据

在应用层，实施在每个请求上检查权限的授权，而不仅仅是在登录时。按敏感程度对数据分类，并对敏感数据的存储和传输加密。API 密钥等机密不得嵌入代码；参见[业务应用中的机密与 API 密钥管理](https://www.agsora.tech/zh/blog/manajemen-secret-dan-kunci-api-di-aplikasi-bisnis)。其他基础做法见[业务应用的基本安全](https://www.agsora.tech/zh/blog/keamanan-dasar-aplikasi-bisnis)。

### 可见性：日志与检测

看不见的东西就无法保护。收集登录、权限变更和敏感数据访问的日志，并为异常模式（例如来自不寻常位置的登录或大量下载数据）设置告警。这一原则与[可观测性、日志与错误处理](https://www.agsora.tech/zh/blog/observabilitas-log-dan-penanganan-error-aplikasi-bisnis)以及[ERP 系统中的审计轨迹](https://www.agsora.tech/zh/blog/jejak-audit-dan-pengendalian-internal-di-sistem-erp)一致。

## 供应商与承包商访问

供应商常常是攻击的入口，因为他们的访问权限宽松且很少被审查。有帮助的做法：

- 每位供应商人员使用单独账号，而不是共享账号
- 访问限制在特定系统和时间窗口内，到期自动失效
- 访问启用前由内部负责人批准
- 对关键系统的访问进行会话记录
- 定期审查有效的供应商访问清单

类似的考量也出现在[依赖项安全与软件供应链](https://www.agsora.tech/zh/blog/keamanan-dependensi-dan-rantai-pasok-perangkat-lunak)以及[选择软件公司的清单](https://www.agsora.tech/zh/blog/checklist-memilih-software-house)中的供应商选择上。

## 务实的分阶段计划

你不需要全面改造。中型企业合理的顺序：

1. **盘点。**列出应用、管理员账号、设备以及谁访问什么。许多首批发现是仍然有效的旧账号。

2. **处处启用多因素认证。**从邮箱、财务应用、ERP、托管面板和管理员账号开始。

3. **整理权限。**应用角色、撤销多余访问，并把管理员账号与日常账号分开。

4. **设备卫生基础。**自动更新、磁盘加密，以及设备丢失时远程擦除数据的能力。

5. **网络分段。**隔离关键系统，并限制对数据库的直接访问。

6. **监控与告警。**为高风险事件启用日志和通知。

7. **事件演练。**定期测试响应计划和备份恢复。

这些基础就绪后，再考虑更高级的条件访问、自动设备状态检查或基于应用的访问服务。通过[渗透测试与安全审计](https://www.agsora.tech/zh/blog/uji-penetrasi-dan-audit-keamanan-aplikasi-bisnis)进行验证，有助于发现从内部看不到的漏洞。

## 对用户体验的影响

让人沮丧的安全措施会被绕过。好的零信任旨在降低合理访问的摩擦，只在风险上升时增加摩擦。例如，SSO 和通行密钥让日常登录更快，而额外验证仅在从新设备或陌生位置登录时出现。让用户参与试点，倾听抱怨，并在访问被锁定时提供快速的求助渠道。

## 示例场景：销售人员的邮箱账号被盗

一名销售人员被假冒的登录页面欺骗，密码被盗。在旧模型中，持有该密码的攻击者可以直接进入邮箱、共享文件乃至其他系统，然后以该员工的名义向客户发送诈骗邮件。

在零信任方法下，多层机制同时起作用。多因素认证或通行密钥会阻止登录，因为攻击者没有第二因素。即使仍然通过，从陌生设备和位置的登录会触发额外验证或被拦截。最小权限意味着销售账号只能接触销售数据，而无法接触财务或工资数据。日志记录异常模式，例如大量下载客户名单，从而触发告警，账号可立即被锁定。最后，经过演练的响应计划决定谁来更换凭据、评估影响并通知相关方。

结果是，在旧模型中可能演变成重大泄露的事件，变成了被检测到且范围受限的事件。没有哪一层是完美的，但多层组合让攻击者成功的可能性大大降低。

## 常见错误

- 把零信任当作买一次就够的产品
- 只对部分账号启用多因素认证，导致管理员账号被落下
- 用管理员账号做日常工作
- 没有撤销已离职员工或供应商的访问
- 忽视个人设备和团队自行安装的应用
- 收集了日志却没人审查
- 政策过于严格，导致团队走捷径

## 常见问题

### 零信任意味着不再使用 VPN 吗？

不一定。VPN 在某些情况下仍然有用。变化的是假设：连上 VPN 并不会自动授予对一切的访问。访问仍需按系统验证并加以限制。

### 小企业需要零信任吗？

这些原则适用于所有规模，但实施可以很简单：多因素认证、最小权限、设备更新和严格的访问撤销已经能带来很大的提升。

### 需要多少费用？

许多初期步骤成本很低，或者利用你正在使用的邮件和身份服务中已有的功能。最大的成本通常是整理权限和让团队适应所花的时间。

### 应该从哪里开始？

先为邮箱和管理员账号启用多因素认证，然后盘点账号和访问。这两步以相对较小的投入降低最多的风险。

## 结论

零信任把安全的重心从守住围墙转向验证每一次访问。有了强身份、最小权限、受到维护的设备、分段和可见性，单个账号被攻破并不自动意味着整个业务暴露。分阶段实施，从最关键的账号和应用开始，并通过日益整洁的访问清单来衡量进展。

**加强你的业务系统访问安全** Agsora 团队帮助为你的 ERP、应用和定制集成设计认证、权限与安全架构。 [免费咨询](https://www.agsora.tech/zh/services/custom-software)