Zero Trust 是什麼？零信任架構白話解說：原則、三大核心與中小企業怎麼開始

Zero Trust（零信任）是一種資安設計思維，核心只有一句話：永不信任，持續驗證。不管連線來自公司內網還是咖啡廳，每一次要用公司的系統、檔案或資料，都要重新確認「你是誰、用什麼裝置、現在該不該讓你進來」，確認過了也只開你工作需要的那一扇門。

我們自己公司內部的幾個服務，就是照這個想法在跑：主機不開任何對外的入口，外面的人要進來，得先通過身分驗證才接得上。這樣做最有感的地方是，就算有人在網路上掃到這台主機，也找不到可以敲的門。這種做法有個正式名稱，就是零信任。

這是零信任系列的第一篇，三篇分工如下：這篇講清楚零信任是什麼、為什麼大家在談；第二篇 零信任怎麼導入 講中小企業從現況一步步走過去的做法；第三篇 Cloudflare Zero Trust 方案介紹 拿一套 50 人以下可以免費用的工具，示範零信任實際長什麼樣子。

Zero Trust 是什麼？一張表看懂零信任跟傳統做法的差別

一句話：傳統做法相信「在公司裡面的人就是自己人」，零信任則是每個人、每台裝置、每一次存取都要驗證。用城堡來比喻，傳統資安是挖一條護城河，過了吊橋就能在城裡到處走；零信任是城裡每個房間都有門禁，進每一間都要刷卡，而且卡片會隨時重新檢查。

「零信任」這個名字聽起來很冷，好像公司不相信員工。其實它不信任的對象是「連線」本身：今天登入的這個帳號，有可能是員工本人，也有可能是偷到密碼的人。系統沒辦法從帳號密碼分辨這兩者，所以要多看幾個訊號再決定。

如果你聽過 VPN，可以把零信任想成它的進化版。VPN 像是給你一把公司大門的鑰匙，進門後整棟樓都能走；零信任是每個房間各自發通行證。遠端連線的各種做法比較，可以參考 Mac 對 Mac 遠端連線指南，那篇從個人使用的角度出發，這個系列則站在公司管理的角度。

為什麼現在大家都在講零信任？三個改變讓城牆失效

一句話：員工不在辦公室了、系統不在機房了、攻擊者改成直接偷帳號了，城牆守的那條邊界已經不存在。

十年前，公司的資料大多放在辦公室角落那台主機，員工也都坐在辦公室裡，守住大門確實有用。現在的樣子完全不同：業務在客戶那邊用手機開報價單，會計在家用筆電登入雲端記帳，工程師同時在用好幾個雲端服務。公司的資料散在十幾個地方，員工從幾十個地方連進來，「門」已經多到守不完。

第三點最關鍵。Verizon 每年發布的資料外洩調查報告，2026 年版 仍指出最常見的外洩原因集中在社交工程、釣魚信件與被盜用的帳號密碼。換句話說，攻擊者很少硬闖，他們更常直接「登入」。城牆對這種人完全沒有作用，因為在系統眼中，他就是一個輸入了正確密碼的員工。

代價也一年比一年高。IBM 與 Ponemon 研究所的 資料外洩成本報告 顯示，2026 年全球平均每起資料外洩事件的成本來到 499 萬美元，比前一年增加 12%，創下新高。中小企業的金額當然小得多，但相對於公司規模，一次外洩造成的停工、賠償與客戶流失，往往更難承受。

所以零信任這幾年從大企業的專有名詞，變成連政府機關、金融業都在推的做法。Gartner 2024 年的調查也發現，全球已經有 63% 的組織全部或部分實施了零信任策略。這個數字的意思很簡單：它已經是主流做法，不再只是趨勢預測。

零信任的核心原則：每次存取都要回答三個問題

一句話：零信任在每次有人要用系統時，會依序確認「你是誰」「你用什麼裝置」「這個要求合不合理」，三個都通過才放行，而且只放行到剛好夠用的程度。

美國國家標準與技術研究院（NIST）在 SP 800-207 零信任架構 這份文件裡，把零信任拆成幾個角色。名詞很硬，我們用大樓管理來翻譯：

把這些角色串起來，就是一個請求從進門到放行的流程：

這個流程裡有三個原則，是零信任的骨架：

• 明確驗證：每次都用所有能拿到的訊號做判斷，帳號、裝置、地點、時間都算進去，不靠「你在內網」這種假設。
• 最小權限：只給完成工作需要的權限，而且盡量是有時效的。會計看得到帳務系統，看不到工程師的程式碼主機。
• 假設已被入侵：設計時就假設某個帳號或某台電腦遲早會出事，所以要把每個區塊隔開，讓一個點出事不會整片淪陷。

第二個原則「最小權限」，對中小企業最實用也最常被忽略。很多公司的雲端硬碟是「全公司都能看」，員工離職也沒有人去收帳號。這部分的實際做法，可以參考 離職員工權限回收 SOP 與 資料權限盤點 SOP，兩篇都是零信任最基礎的一步。

台灣政府怎麼推零信任：身分、設備、信任推斷三步走

一句話：台灣政府把零信任拆成三個核心，從「確認是誰在用」開始做，再擴到「用的是什麼裝置」，最後才是「這次存取合不合理」的綜合判斷。

國家資通安全研究院（資安院）在 2022 年 7 月公布政府零信任架構，規劃分三年三階段，建立三個關鍵核心：身分鑑別、設備鑑別、信任推斷（iThome 2023 年 9 月的報導 有完整問答）。資安院在回覆中也說明，先從身分鑑別開始，是因為 NIST SP 800-207 也建議把身分鑑別當成導入的第一階段。

推動進度方面，截至 2024 年初的公開數字：數位發展部在 2024 年 3 月的業務報告中提到，2023 年已有 22 個資安 A 級機關導入零信任身分驗證機制，並規劃 2024 年底累計增加到 47 個（中央社報導，INSIDE 轉載）。這些都是掌有大量民眾個資的機關，先從他們開始，代表政府把零信任視為保護個資的重點工作。

對民間企業來說，這條路線很值得參考：先做身分，再做設備，最後才談信任推斷。如果你的公司要投政府標案，或客戶是金融業，零信任相關的要求也可能出現在資安規範裡，可以搭配 CNS 27001 與 ISO 27001 指南 一起看。

關於零信任的四個常見誤解

一句話：零信任是一套做事的原則，可以分階段做、可以從很小的地方開始，也跟懷疑員工無關。

第一個誤解最常見。廠商簡報上常寫「導入我們的零信任解決方案」，聽起來好像買了就有。實際上，就算買了最貴的工具，如果帳號還是共用、權限還是開到最大、離職員工的帳號還在，那這套工具保護的範圍也很有限。工具是執行原則的手段，原則要靠公司自己定。

第三個誤解會讓很多老闆直接放棄。其實零信任最好的起點，往往只是「替公司最重要的系統加上手機確認」這麼簡單的事。第二篇 零信任怎麼導入 會把順序排出來。

第四個誤解則跟成本有關。過去要做到零信任，確實需要買昂貴的設備、請專人維護。現在有不少雲端服務把這些功能包好了，像第三篇會介紹的 Cloudflare Zero Trust，50 人以下可以免費使用，小公司也能用很低的成本開始。

零信任的好處與代價：導入前要先知道的事

一句話：零信任能把「一組密碼被偷就全公司淪陷」的風險大幅降低，代價是前期要花時間整理帳號與權限，員工也要適應多一道確認。

其中「使用體驗」這一列常被低估。很多公司加上多因素驗證後，員工抱怨每次都要拿手機確認，最後為了方便又關掉。比較好的做法是搭配單一登入（SSO），讓員工一天只確認一次，就能用所有接進來的系統。SSO 的原理與選擇方式，可以參考 企業單一登入 SSO 指南。

另一個代價是「盤點」。零信任要求你回答「誰該看得到什麼」，但很多公司連自己有幾個系統、各有誰在用都說不清楚。這一步雖然沒有技術含量，卻是整個導入最花時間的地方。好消息是，盤點本身就很有價值，很多公司做完才發現，有好幾個早就沒人用、卻還開在網路上的系統。

還有一點要提醒：零信任管的是「誰能進來」，網站被攻擊、程式有漏洞這類問題，需要搭配其他防護一起處理。例如網站前面的 WAF 網站應用程式防火牆 負責擋攻擊請求，SSL 憑證 負責讓傳輸過程加密，主機本身的 伺服器防火牆 負責關掉不該開的入口。零信任是其中一層，各層分工合作才完整。

中小企業可以從哪裡開始做零信任？

一句話：先從帳號下手，替最重要的系統開多因素驗證、收掉共用帳號、離職當天停權，這三件事就能做到零信任最有價值的那一半。

前三步幾乎不用花錢，卻能擋掉大部分因帳號被盜而發生的事件。第四步開始需要工具，像是把公司內部的後台、檔案伺服器改成「先驗身分才看得到」。完整的步驟、常見的卡關點與怎麼排優先順序，我們放在第二篇 零信任怎麼導入；第四步要用的工具怎麼選、免費方案能做到哪裡，則在第三篇 Cloudflare Zero Trust 方案介紹。

如果公司已經開始用 AI 工具或自動化流程，程式之間的連線也要套用同樣的想法：不要讓程式拿著一把永久有效的金鑰到處用。這部分可以參考 Workload Identity Federation 白話指南。想先全面檢查一次公司現況，可以照 AI 駭客時代的 60 天資安行動清單 走，或先了解 弱點掃描與滲透測試的差別，決定要找哪一種檢測。

看到這裡，如果你在想「我們公司內部的系統要怎麼改，才能做到先驗身分再放行」，我們很樂意 聽你聊聊現在系統的狀況，一起看看從哪一個系統開始最划算。