网络资讯
远程办公时，员工可能从家庭网络、共享办公空间或旅途中访问公司资源。仅凭是否连入公司网络来判断可信与否，难以覆盖这些场景。部署零信任前，先回答三个问题：谁在访问、使用什么设备、要访问哪项应用或数据。边界理清后，认证和授权规则才有落点。
先盘点身份：账号属于谁，权限从哪里来
身份不只包括正式员工，也包括承包商、临时协作者、服务账号和管理员。盘点时记录账号负责人、所属团队、登录方式、可用应用、权限来源及到期时间。Google Workspace、Microsoft 365、GitHub 等应用若各自维护账号，离职或岗位变动时容易出现权限不同步；应明确由哪个身份平台管理账号和组别，并规定变更由谁审批。
对每个账号检查是否启用多因素认证（MFA），尤其是管理员、财务操作和远程访问入口。优先使用抗钓鱼的安全密钥或平台支持的通行密钥；无法采用时，再按现有系统能力选择其他验证方式。共享账号应尽量改为个人账号，因为个人身份才能对应审计记录和责任人。
再划设备边界：区分受管设备与个人设备
设备清单至少包含使用者、设备类型、操作系统、管理状态、加密情况、屏幕锁定和安全更新状态。公司配发并纳入终端管理的电脑，可以要求磁盘加密、自动锁屏和符合版本要求；个人设备则应明确允许访问的应用与数据范围，不要默认给予与公司设备相同的权限。
例如，远程员工用个人手机查看日历，与用未受管理的电脑下载客户资料，风险并不相同。可以先允许前者访问低敏感度服务，同时限制后者访问文件库或管理后台。条件访问策略应能说明设备不合规时是阻止登录、要求补做验证，还是仅限制特定操作，并为误判保留申诉和恢复流程。
梳理应用与数据：把访问规则落到具体资源
列出浏览器应用、云平台、代码托管、文件共享和内部系统，标明数据敏感度、访问人群、管理员入口以及外部协作方式。不要把整个网络或全部云账号视为一个应用边界。对 GitHub 等代码平台，可区分普通仓库浏览、代码写入和组织管理权限；对文件服务，则区分在线查看、下载和分享。最小权限意味着只授予完成工作所需的操作，而不是给出方便但过宽的通用权限。
按顺序实施，先验证再收紧
- 建立清单：导出账号、设备和应用列表，标出负责人、权限及数据等级；先处理无人认领账号和长期未使用的高权限账号。
- 选定规则入口：确认身份平台、终端管理和应用自身权限如何配合。Microsoft Entra ID、Okta 等身份平台可用于集中管理认证策略；具体能力取决于已部署的产品与许可。
- 从高风险访问试行：先覆盖管理员登录、敏感数据和外部设备，设置 MFA、设备合规要求及会话限制。通过策略的观察或报告模式检查影响，再逐步启用阻止规则。
- 测试例外与恢复：验证新员工、承包商、设备丢失、身份验证器更换和网络中断等情形，准备有审批、限时且留痕的应急访问方式。
- 定期复核：岗位变化或项目结束时撤销不再需要的权限；按月或按季度检查高权限账号、例外规则和未受管理设备，频率可按风险与团队规模调整。
常见问题
零信任是否意味着每次操作都重新登录？
不是。零信任强调持续依据身份、设备和访问情境评估风险；验证频率可按应用敏感度、会话时长和系统能力设定。
必须先替换现有网络设备吗？
不一定。可先盘点身份和应用，启用 MFA、收紧权限并检查设备状态，再评估现有访问代理、防火墙或身份平台是否满足策略需要。
个人设备能否完全禁止访问？
取决于业务和数据风险。可禁止访问敏感资源，也可只开放有限服务；规则应明确允许做什么、禁止做什么，以及设备丢失后的处置方式。
怎样判断零信任部署是否有效？
关注未受管理设备访问敏感应用的情况、过宽权限数量、例外规则数量和撤权及时性，并结合登录日志复核策略是否按预期执行。
归根结底，零信任不是单一产品，也不是一次性配置。先把身份、设备和应用边界画清，再从高风险访问逐步实施、验证和复核，才能让远程访问规则可执行、可审计，也便于后续调整。