阶段一：先摸清家底，，，，，，，，再谈身份治理

零信赖不是上来就买设备装软件，，，，，，，，而是把”你是谁”这件事彻底搞明显。。。。。我见过太多企业连自己有几多台服务器、几多个业务账号都说不明显，，，，，，，，就急着上零信赖，，，，，，，，了局白花钱。。。。。

第一件事是资产盘点。。。。。不只是服务器和PC，，，，，，，，还蕴含各类业务系统的账号——有些老系统甚至找不到掌管人了，，，，，，，，账号还在跑。。。。。这种”鬼魂账号”是最大的安全隐患。。。。。盘点之后要成立设备指纹库，，，，，，，，把每台终端的MAC地址、操作系统版本、是否装了EDR都纪录进去。。。。。这步做完，，，，，，，，能力进入真正的身份鉴别环节。。。。。

鉴别完了要认证。。。。。传统的用户名密码太弱，，，，，，，，必须上MFA。。。。。多成分认证的战术设计很有讲求：主题系统用硬件密钥或手机盾，，，，，，，，通常办公系统用TOTP动态口令就够了。。。。。我建议先从VPN和邮箱系统起头推，，，，，，，，阻力最。。。。。，，，，，，，员工也容易接受。。。。。推的时辰别搞忽然袭击，，，，，，，，提前两周发通知，，，，，，，，给IT部门筹备好现场support。。。。。

阶段二：授官僚从”全通”变”按需”

认证是回覆”你是不是你”，，，，，，，，授权是回覆”你能干什么”。。。。。好多企业的近况是：进了内网就全通，，，，，，，，oa系统、财政系统、研发环境轻易游。。。。。这种模式在天堑吞吐的今天极其危险。。。。。

零信赖的授权逻辑是”最幼权限”。。。。。具体怎么落地？？？？？？？先把业务系统按敏感度分级，，，，，，，，好比研发代码库和财政系统属于高敏，，，，，，，，oa和邮件属于中敏，，，，，，，，内部wiki属于低敏。。。。。高敏系统只给经过MFA验证且设备合规的用户接见，，，，，，，，中敏系统能够基于部门职级放行，，，，，，，，低敏系统适当宽松但也要留纪录。。。。。

战术引擎是这套机造的主题。。。。。sTrust的战术引擎支持基于用户、设备、地位、功夫的动态评估，，，，，，，，不长短黑即白的二元判断。。。。。好比某员工同时满足”正常工作功夫””公司设备””北京IP段”三个前提，，，，，，，，能够直接放行；；；；；；；但若是他是用个人笔记本在表地登录，，，，，，，，系统会触发二次验证或者直接降级接见。。。。。这种矫捷性是传统VPN做不到的。。。。。

授权还要思考时效性。。。。。一次授权不蹬宗永远授权。。。。。我们给客户做规划时会建议：通常办公权限有效期三个月，，，，，，，，敏感系统权限有效期一个月，，，，，，，，到期自动review续期。。。。。预防出现”员工去职了权限还在”的经典场景。。。。。

阶段三：分支加密与持续审计要跟上

总部做好了，，，，，，，，分支机构怎么办？？？？？？？好多企业的分公司、处事处通过传统VPN接入，，，，，，，，流量不加密，，，，，，，，设备不论控，，，，，，，，蹬宗在总部防火墙之表又开了个口子。。。。。分支加密是零信赖刷新里容易被忽略但又极其沉要的一环。。。。。

若是分支机构网络前提好，，，，，，，，能够思考部署专线级加密通路，，，，，，，，把分支流量和总部买通，，，，，，，，接见战术统一管控。。。。。对于IT人员幽微的幼站点，，，，，，，，建议用云端代理规划，，，，，，，，流量就近接入最近的POP点，，，，，，，，加密传输到云端再转发，，，，，，，，不用在分支机房堆设备。。。。。

不论哪种规划，，，，，，，，审计日志必须齐全留存。。。。。零信赖的主题价值之一就是”所有接见都有纪录”。。。。。日志要蕴含：谁、什么功夫、从哪个IP、用什么设备、接见了什么资源、了局若何。。。。。这套数据不仅是合规要求，，，，，，，，更是过后溯源的凭据。。。。。我见过有企业被勒索之后才发现，，，，，，，，攻击者早在三个月前就用某去人员工的账号登录过OA系统，，，，，，，，若是其时有齐全的审计日志，，，，，，，，能省去好多排查功夫。。。。。

审计还要解决”日志存多久”的问题。。。。。企业数据增长快，，，，，，，，日志存储成本不容忽视。。。。。我们通常建议：三个月内高频接见的热数据存在本地，，，，，，，，七天内的全量日志急剧查问，，，，，，，，超过三个月的转归档存储，，，，，，，，成本能降60%以上。。。。。

落地节拍：三个月走完三阶段

好多企业关切刷新要多久。。。。。我的经验是：三个月足够实现主题刷新，，，，，，，，不用拖成半年一年的悠久战。。。。。

1. 第一个月：身份治理阶段。。。。。实现资产盘点、设备指纹采集、上MFA。。。。。这个月最单调但最沉要，，，，，，，，决定后面所有工作的基础质量。。。。。
2. 第二个月：授权刷新阶段。。。。。战术引擎上线，，，，，，，，先跑主题系统。。。。。这个月会露出大量汗青遗留问题，，，，，，，，要有生理筹备。。。。。
3. 第三个月：分支加密与审计美满阶段。。。。。分支站点刷新扫尾，，，，，，，，日志系统搭建实现。。。。。扫尾阶段往往发现前期遗漏的细节，，，，，，，，实时补上就行。。。。。

节拍上有个幼建议：每个阶段实现做一次幼领域复盘，，，，，，，，看看达标没有，，，，，，，，不要等全数做完才发现问题。。。。。北京的节拍快，，，，，，，，企业等不起，，，，，，，，项目周期拖长，，，，，，，，变数就多。。。。。

零信赖刷新不是一次性工程，，，，，，，，是持续运营的过程。。。。。系统上线只是起头，，，，，，，，后续的战术调优、日志分析、威胁响应才是真正的日常工作。。。。。选择有持续服务能力的合作同伴很沉要，，，，，，，，别光看产品职能，，，，，，，，后续响应速度才是关键。。。。。