零信任怎麼導入？中小企業從 VPN 到零信任的五個步驟，與內部系統要改什麼

週一早上，業務在咖啡店打開筆電，連上公司 VPN，順手點開 ERP 查庫存。同一時間，三個月前離職的助理，用舊帳號登入了報價後台，因為當初沒人記得把她的帳號關掉。VPN 只問了一次「你有沒有鑰匙」，進門之後，整棟樓都能走。

零信任導入要解決的就是這件事：每一次打開一個系統，都重新確認你是誰、用什麼設備、該不該看這個系統。我們自己的內部服務就是這樣接的：主機沒有開任何對外的門，透過 Cloudflare 的通道接出去，任何人要進來都要先過身分驗證。這篇是 Zero Trust 系列第 2 篇，講「怎麼做」；觀念還不熟可以先看第 1 篇 Zero Trust 是什麼，想直接看工具與價格，第 3 篇 Cloudflare Zero Trust 方案介紹 有完整整理。

先自我檢測：你公司的遠端存取，跟零信任差多遠

先講結論：如果你公司遠端工作靠一組 VPN 帳號就能連進整個內網，那你離零信任還有一段路，但起步其實很便宜。下面這張表把傳統 VPN 和零信任網路存取（ZTNA，Zero Trust Network Access）擺在一起，看完就知道自己在哪一邊。

用一句白話判斷：你公司現在「能連進來」和「能看什麼」是不是同一件事？ 如果是，代表只要有人拿到一組 VPN 帳號，就能看到所有系統。IBM 2026 年的資料外洩成本報告算出，全球平均一次外洩要花 499 萬美元，比前一年又漲了 12%，被偷走的帳號一直是最常見的入口之一。

再用三個問題自我檢測，中了兩個以上，就值得開始規劃：

• 離職員工的帳號，你能不能在 10 分鐘內確認「所有系統都關掉了」？
• 外包廠商、工讀生、會計師事務所，是不是跟正職員工用同一套 VPN、看得到一樣多的東西？
• 你的 ERP、報價系統、管理後台，有沒有任何一個是直接用網址就能打開登入頁的？

三題都答「沒把握」也別緊張，這很正常。大部分中小企業的系統都是一套一套慢慢長出來的，各自有各自的帳號密碼，從來沒有人從頭整理過。好消息是，零信任可以一個系統一個系統慢慢搬，不用一次全部換掉。我們做過的 會員中樞 就是這個思路：統一管理多個自有 SaaS 的會員與訂閱，提供 SSO 統一登入，新產品上架只要接上就能用，帳號只需要在一個地方管。

零信任導入五個步驟：從盤點到監控的路線圖

一句話：先盤點、身分先行、再管設備、系統一個一個搬、最後持續監控。台灣政府推零信任也是這個順序，國家資通安全研究院從「身分鑑別」開始做起，理由是沒有身分鑑別，就無法判斷誰有權限（iThome 2023 年專訪）；美國 NIST SP 800-207 這份零信任架構標準文件，也建議身分是第一個要做好的環節。

盤點與身分：先搞清楚誰該看什麼，再把登入收成一個

盤點是最容易被跳過、也最決定成敗的一步。拿一張試算表，左邊列人（含外包與工讀生），上面列系統，格子裡填「看、改、不能碰」。很多公司填到一半就會發現：會計看得到業務的客戶名單、工讀生有後台管理員權限、某個早就結束合作的廠商帳號還活著。資料該怎麼分級、權限怎麼訂，可以參考 資料權限盤點 SOP。

身分這一步分兩件事。第一件是多因素驗證（MFA），登入時除了密碼，還要手機按一下確認，帳號密碼被偷也進不來。第二件是統一登入（SSO），讓員工只用一組公司帳號登入所有系統。SAML、OIDC 這些名詞在講什麼、怎麼選，企業 SSO 指南 有完整比較。做完這兩件，離職撤權就從「每個系統各刪一次」變成「關掉一個帳號」。

設備與搬系統：從最多人用、最敏感的系統開始

設備這一步，小公司先求有就好：公司配發的電腦裝上管理程式，確認有開螢幕鎖、系統有更新、硬碟有加密。員工私人手機與電腦，就只給看信件、行事曆這類低風險的權限，報價與客戶資料只開給公司設備。

搬系統建議從兩種系統開始：最多人用的（例如 ERP、內部入口網站），以及最敏感的（例如財務、管理後台）。每搬一個，就把它原本對外開的門關掉，只留存取閘道這條路。一次搬一個的好處是，出問題影響範圍小，員工也有時間適應。

監控：零信任上線之後才是開始

最後一步是養成看紀錄的習慣。零信任的存取閘道會留下「誰、幾點、用什麼設備、開了哪個系統」的紀錄。每個月花半小時看一次：有沒有半夜從國外登入、有沒有人一直被擋、哪個系統很少人用卻有很多人有權限。看到異常就調整規則，新進員工、新系統、新廠商加入時，再回到第一步更新權限表。

內部系統要改什麼：零信任導入時最常卡住的地方

先講結論：零信任的工具買得到，但你的 ERP、報價系統、管理後台如果還是各自一套帳號、權限只有「管理員」和「一般人」兩種，導入就會卡住。這一段是系統開發的角度，整理內部系統要配合改的五件事。

最後一列特別常被忽略。零信任講的是「每個人」都要驗證，但系統跟系統之間的連線，也算一個「人」。例如報價系統每天自動抓 ERP 的價格，用的那組固定密碼如果寫在程式裡，就是一扇沒人看守的後門。不放固定金鑰的做法，可以參考 Workload Identity Federation 白話指南。

主機那一層也要配合。系統放到存取閘道後面之後，主機的防火牆要把其他直接連線關掉，否則有人知道主機位址就能繞過去，做法可以看 伺服器防火牆是什麼。對外公開的官網與表單，則交給網站應用程式防火牆把關，詳見 WAF 是什麼。

零信任導入要花多少錢、多久：三種規模的參考

一句話：50 人以下的公司，工具費用可以從 0 元起步，真正的成本在盤點與系統調整的人力。以 Cloudflare 的 Zero Trust 方案為例，官方價格頁 寫明 50 人以下免費，超過 50 人改成每人每月 7 美元，大型企業走年約報價。其他廠商多半依人數與功能報價，要直接詢價。

時程裡最難估的是「內部系統要改多少」。如果你的系統本來就支援統一登入，搬到閘道後面可能一天就完成；如果是自己寫的舊系統、帳號寫死在資料庫裡，就要排一段改版時間。建議先用一兩週把盤點做完，再請負責的工程師或廠商逐一評估，數字會準很多。

另外要算進去的，是有沒有法規或標案要求。有參與政府標案、或屬於資通安全管理法規範對象的公司，零信任常常會跟 ISO 27001 的導入一起規劃，兩者的關係可以參考 CNS 27001 與 ISO 27001 指南 與 資安法 A/B/C 級要求對照。數位發展部在 2024 年 3 月公開的數字是，2023 年已有 22 個 A 級機關導入零信任身分驗證機制，政府端已經在走，供應商被要求跟上只是時間問題。

零信任導入常見的四種失敗，與避開的方法

一句話：零信任失敗多半出在「想一次做完」或「做一半就當作做完」。下面四種是最常見的狀況。

第一種最痛。全面切換的那個週一，業務打不開報價系統、倉庫看不到出貨單，老闆只會記得「零信任害公司停擺一天」，之後再推什麼資安措施都很難。分批搬、留退路，速度看起來慢，總時程反而短。

第四種最危險。很多公司的系統是外包廠商在維護，廠商手上有一組權限很大的遠端帳號，一用就是好幾年。零信任導入時，把廠商帳號也納入統一登入與 MFA，並在合約裡寫清楚帳號怎麼開、怎麼關，IT 維護合約範本 有相關條款可以參考。員工離職的撤權流程，則可以對照 離職員工權限回收 SOP。

還有一個容易被低估的狀況是員工反彈。每天多按一次手機確認、私人手機不能看客戶資料，一開始一定有人抱怨。導入前先跟主管說清楚為什麼、哪些地方會變方便（例如不用再開 VPN、登入一次就能用所有系統），抱怨會少很多。

導入零信任之後，VPN 要不要直接拿掉？

先講結論：VPN 可以留一段時間當備援，等所有系統都搬完、跑穩了再關。關掉的時機看兩個指標：最近一個月還有沒有人非得用 VPN 才能做事，以及 VPN 設備本身多久沒更新了。

VPN 設備近幾年是攻擊者最愛的目標之一。它必須對外開門才能讓員工連進來，只要設備本身爆出漏洞，攻擊者不用帳號密碼就能直接進內網。很多公司的 VPN 設備是好幾年前買的，韌體更新要原廠工程師到場，結果一拖再拖。導入零信任之後，主機改成主動往外連到存取閘道，對外可以完全不開門，這一類風險就跟著消失。

有幾種情況，VPN 會留得比較久：例如工廠產線的設備只能用特定軟體連線、會計軟體是裝在辦公室某台電腦上的單機版、或是有需要讓整台電腦像在辦公室裡一樣工作的工程師。這些例外可以個別處理，先把其他九成的系統搬完，剩下的再一個一個想辦法，不用讓少數例外卡住整個計畫。

零信任要自己導入，還是找人一起做？

先講結論：工具設定可以自己來，內部系統要改的部分通常需要工程師。判斷的方式很簡單，看你的系統是買來的還是自己做的。

如果你公司每天都有人用共用帳號登入後台、離職的人關帳號要問好幾個人、外包廠商的遠端帳號沒人說得清楚是誰在用，這三件事裡中了兩件，就代表系統的帳號與權限已經到了該整理的時候。不用一次到位，從最多人用、最敏感的那一個系統開始就好。

可以把你公司現在有哪些系統、怎麼登入丟過來，我們很樂意 陪你看一下哪一套最值得先動，這個值不值得做、大概怎麼做，我們會直接告訴你。資安整體的行動順序，也可以參考 中小企業 60 天資安行動清單。