零信任預設不信任任何使用者或裝置。所有訪問請求都會經過驗證。身分、設備健康狀況、位置和行為都會影響最終的判斷。舊模型信任網路邊界內的所有事物。一旦進入網絡，就擁有了存取權限。零信任則移除了邊界。沒有內部和外部之分，只有已驗證和未驗證。

這種模式的出現源自於網路邊界的消解。遠距辦公、雲端服務和個人設備的普及使得網路邊界形同虛設。員工可以在家中、機場甚至咖啡館存取公司資料。外包人員則使用自己的筆記型電腦連接網路。曾經保護一切的防火牆如今幾乎形同虛設。零信任以身分認證取代了網路邊界。每個請求都經過身份驗證、授權和加密。微隔離限制了橫向移動。最小權限原則限制了每個帳戶的操作權限。持續監控可以捕捉異常情況。 2020 年 SolarWinds 的資料外洩事件就揭露了這個問題。攻擊者利用合法憑證和可信賴的軟體更新，在假定內部信任的網路中自由移動。零信任無法阻止最初的攻擊，但可以限制攻擊的擴散。零信任的實施是一個循序漸進的過程。大多數組織從身分認證入手，逐步過渡到微隔離。完全實現零信任是一個過程，而非一次性購買。

零信任原則

• 明確驗證－對每個請求進行身份驗證和授權
• 最小權限原則－授予最小必要存取權限
• 假設攻擊者已經入侵－設計時要假設攻擊者已經進入系統內部。
• 微分割－限制橫向移動
• 持續監測－即時檢測異常狀況

零信任不是一種產品，而是一種架構。工具遠不如思考方式重要。