零信任架構是一套「不因位置而給予信任」的資安規劃：不論員工在公司內網、家裡或外地連線，每次存取公司的資料與系統，都要先確認是誰、用什麼裝置、有沒有權限，通過後才放行，而且只給完成工作所需的權限。美國國家標準與技術研究院（NIST）在 SP 800-207 說明，零信任不是單一架構，而是一組指導原則；它和傳統邊界防護的主要差別，是公司內網不再被當成可信任的區域。中小企業不必一次到位，可以先盤點帳號與資產，做好獨立帳號與多重要素驗證，再逐步補上裝置管理、最小權限與存取政策。
零信任架構的定義：不因網路位置給予信任
NIST 把零信任描述為一組持續演進的資安典範，把防禦的重心從固定的網路邊界，移到使用者、資產與資源本身；零信任架構則是企業運用這些概念擬定的資安計畫。它的核心假設是：不會只因為裝置位在公司的區域網路，或因為裝置屬於公司，就給予隱含的信任。使用者與裝置的驗證和授權，要在與企業資源建立連線之前完成。
NIST 也說明，零信任不是單一架構，而是一組引導工作流程、系統設計與營運的原則，目標是防止未經授權的存取，並讓存取控制做得越細越好。因此談零信任資安，談的是規劃與管理方式，不是某一套設備的名稱。
NIST 列出的七項零信任原則
NIST SP 800-207 把零信任概念整理成七項原則，可以當成檢查公司做法的對照表：
- 所有資料來源與運算服務都視為資源；能存取公司資源的個人裝置，企業也可以把它列為資源。
- 不論網路位置，所有通訊都要受到保護。
- 每個資源的存取以單次工作階段為單位授予，並只給完成工作所需的最小權限。
- 存取由動態政策決定，依據包括使用者身分、應用程式與發出請求的裝置狀態，也可能納入行為與環境屬性。
- 企業持續監控並衡量所有自有與相關資產的完整性與安全狀態。
- 所有資源的驗證與授權都是動態的，並在允許存取前嚴格執行，NIST 預期這包括對部分或全部資源使用多重要素驗證。
- 企業盡可能蒐集資產、網路基礎設施與通訊的現況資訊，用來改善安全狀態。
以 Microsoft 為例，官方把零信任原則整理成三項：明確驗證、使用最低權限存取、假設洩漏。
和傳統邊界防護的差別
NIST 指出，以邊界為主的網路防護已顯示不足，攻擊者一旦突破邊界，後續在內部的橫向移動就不受阻礙。遠端工作、員工自帶裝置與雲端服務，也讓許多資源不在公司網路裡。兩種思維的差別可以這樣對照：
| 面向 | 傳統邊界防護 | 零信任架構 |
|---|---|---|
| 信任依據 | 在防火牆內或連上公司網路就視為可信任 | 整個企業內網都不視為隱含信任區 |
| 驗證時機 | 進入網路時驗證 | 每次存取資源前都要驗證與授權 |
| 權限範圍 | 進入內網後可接觸的系統較廣 | 只給工作所需權限，隱含信任區盡可能縮小 |
| 裝置 | 在內網的裝置預設可信任 | 裝置可能不屬於企業，安全狀態要納入判斷 |
| 遠端與雲端 | 以公司網路內的資源為主 | 資源不一定在自有設施上，遠端連線不完全信任所在網路 |
導入零信任不代表要拆掉既有防火牆。NIST 說明，多數企業的基礎設施會以零信任與邊界防護混合的模式運作，差別在於網路位置不再是放行的理由。
存取怎麼被判斷：政策引擎與執行點
NIST 用三個邏輯元件說明零信任如何運作：
- 政策引擎（PE）：決定是否允許某個主體存取資源。
- 政策管理者（PA）：依決定建立或關閉主體與資源之間的通訊路徑。
- 政策執行點（PEP）：負責啟用、監控並終止連線。
實作路線上，NIST 列出三種零信任網路架構的做法：強化身分治理，以使用者身分作為政策核心；微分段，把資源放在由閘道保護的獨立網段；以及運用網路基礎設施與軟體定義邊界。企業可依系統放在哪裡評估：主要服務在雲端時，可先從身分與裝置判斷著手；仍有內部伺服器時，再評估網段切分。
零信任三階段？政府架構的三大核心機制
國家資通安全研究院《政府零信任架構說明》以「任何資料存取永不信任且必須驗證」為原則，聚焦保護資料與應用程式的存取，而不只是保護網路。文件列出三大核心機制，也就是網路上常說的零信任三階段：
- 身分鑑別：以無密碼的雙因子方式確認使用者身分，例如 FIDO 相關技術。
- 設備鑑別：以公開金鑰技術確認是受管理的設備，並持續監控設備的健康狀態。
- 信任推斷：依使用情境，例如鑑別方式、設備狀態、來源位址與登入時間，為每次存取計算信任分數，作為是否放行的依據。
文件稱這三項為核心機制，並未規定導入的先後順序。企業可以借用這個架構自我檢查：員工登入是否只靠密碼、系統能否分辨公司管理的裝置、存取規則能否依情境調整。
中小企業分階段導入的順序
NIST 建議導入前先辨識組織內的行為者、資產與關鍵流程並評估風險，再擬定政策、挑選方案、小範圍部署並監控，之後逐步擴大。NIST 也說明零信任無法只靠整批替換技術完成。人力有限時，可以依下面的順序進行：
- 盤點人員、帳號與資產：列出員工、外包廠商與系統帳號，以及電腦、手機與雲端服務。資安署指引指出，資產盤點是所有防護措施的基礎前提。
- 獨立帳號與多重要素驗證：資安署指引列出每位員工配發獨立帳號、禁止多人共用，離職當天註銷；CISA 強烈建議採用防網路釣魚的多重要素驗證，例如安全金鑰或裝置內建的驗證器。
- 裝置管理：建立裝置清冊、開啟自動更新，並決定員工個人手機可以存取哪些資料。
- 收斂權限：只授予完成工作所需的最低權限，並定期清除閒置帳號。
- 從一個系統開始套用存取政策：先挑公司信箱或雲端硬碟，設定依身分、裝置與情境判斷的規則，觀察一段時間再擴大到其他系統。
官網後台、主機與網域帳號也是資源
依原則一，官網的內容管理後台、主機控制台、網域註冊商與 DNS 管理帳號，都屬於要保護的資源。這些帳號被盜用時，網站內容可能被竄改，網域設定也可能被改動。檢查時可以看這幾項：
- 後台、主機與網域註冊商帳號都啟用多重要素驗證，每人使用自己的帳號。
- 外包廠商依工作範圍開權限，合作結束就停用帳號。
- 公司網域先設定 SPF 或 DKIM，再設定 DMARC，降低網域被冒名寄信的機會，做法可參考DMARC 設定步驟。
常見問題
零信任和 VPN 有什麼不同？
VPN 讓遠端裝置連回公司網路，連上後能接觸的範圍取決於網路設定。零信任不因連上網路就給予信任，每次存取資源仍要依身分、裝置與政策判斷，兩者可以並存。
導入零信任一定要買新設備嗎？
不一定。零信任是一組原則，不是單一產品。以 Microsoft、Google 的雲端辦公服務為例，都提供多重要素驗證與存取設定，可以先從公司已在使用的服務著手。
員工人數不多，也需要零信任嗎？
可以套用同樣的思維。資安署的中小企業指引同樣列出獨立帳號、權限控管與多重要素驗證，這些就是零信任起步的基礎，不必等規模變大才開始。
多重要素驗證可以用簡訊驗證碼嗎？
可以使用，但 CISA 指出簡訊與語音驗證容易受到網路釣魚、SIM 卡交換等攻擊，建議在沒有其他方式時才使用；重要帳號優先改用安全金鑰或裝置內建的驗證器。
零信任和多重要素驗證是同一件事嗎？
不是。多重要素驗證是確認身分的方法之一，零信任則是整套存取規劃，還包括裝置狀態、最小權限、依情境調整的政策與持續監控。
本文由京采數位科技整理。我們自 2005 年起提供官網設計、系統開發與 Google SEO 服務，實際案例可見成果與案例。
想直接討論你自己的網站狀況，或需要一份初步的搜尋機會評估？
相關主題
下一步
建議先完成帳號盤點與多重要素驗證，並把官網後台、主機與網域註冊商帳號一起列進清單。京采的網頁設計服務可以協助檢查官網後台的帳號權限與登入設定、主機與網域 DNS 的管理權限，以及 SPF、DKIM、DMARC 郵件驗證紀錄；想先了解網站現況，歡迎與我們聯繫。
