零信任安全架構(gòu)設(shè)計(jì)實(shí)戰(zhàn)方案引言隨著數(shù)字化轉(zhuǎn)型的加速，企業(yè)IT架構(gòu)從“邊界中心化”向“分布式、云化、遠(yuǎn)程化”演變，傳統(tǒng)“圍墻式”安全模型（如VPN+防火墻）已無(wú)法應(yīng)對(duì)內(nèi)部威脅、多云環(huán)境、遠(yuǎn)程辦公、IoT設(shè)備等新挑戰(zhàn)。零信任（ZeroTrust,ZT）作為“永不信任，始終驗(yàn)證”的新型安全范式，通過(guò)身份優(yōu)先、動(dòng)態(tài)訪問(wèn)控制、持續(xù)驗(yàn)證等核心機(jī)制，成為企業(yè)應(yīng)對(duì)數(shù)字風(fēng)險(xiǎn)的關(guān)鍵策略。本文基于零信任核心原則，結(jié)合實(shí)戰(zhàn)經(jīng)驗(yàn)，提供從需求分析→架構(gòu)設(shè)計(jì)→落地實(shí)施→運(yùn)營(yíng)優(yōu)化的全流程實(shí)戰(zhàn)方案，助力企業(yè)構(gòu)建可落地、可擴(kuò)展的零信任安全體系。一、零信任核心原則與設(shè)計(jì)目標(biāo)在啟動(dòng)架構(gòu)設(shè)計(jì)前，需明確零信任的核心原則（指導(dǎo)思想）與設(shè)計(jì)目標(biāo)（預(yù)期成果），避免偏離本質(zhì)。（一）核心原則零信任的本質(zhì)是“消除默認(rèn)信任”，所有訪問(wèn)請(qǐng)求均需經(jīng)過(guò)嚴(yán)格驗(yàn)證，核心原則包括：1.身份優(yōu)先（Identity-Centric）：身份是訪問(wèn)控制的基石，需驗(yàn)證“誰(shuí)（用戶）、用什么（設(shè)備）、訪問(wèn)什么（資源）”。2.最小權(quán)限（LeastPrivilege）：僅授予完成任務(wù)所需的最小權(quán)限，避免過(guò)度授權(quán)（如“權(quán)限creep”）。3.持續(xù)驗(yàn)證（ContinuousVerification）：不僅在訪問(wèn)初始階段驗(yàn)證，會(huì)話期間需動(dòng)態(tài)評(píng)估風(fēng)險(xiǎn)（如設(shè)備狀態(tài)變化、地理位置異常），必要時(shí)終止訪問(wèn)。4.數(shù)據(jù)驅(qū)動(dòng)（Data-Driven）：基于用戶行為、設(shè)備健康、環(huán)境上下文等數(shù)據(jù)，動(dòng)態(tài)調(diào)整訪問(wèn)策略。（二）設(shè)計(jì)目標(biāo)零信任架構(gòu)需實(shí)現(xiàn)以下目標(biāo)，確保安全與業(yè)務(wù)效率的平衡：動(dòng)態(tài)訪問(wèn)控制：基于多維度屬性（用戶、設(shè)備、環(huán)境、行為）實(shí)現(xiàn)細(xì)粒度訪問(wèn)控制，替代傳統(tǒng)靜態(tài)權(quán)限。數(shù)據(jù)全生命周期保護(hù)：覆蓋數(shù)據(jù)的“生成→存儲(chǔ)→傳輸→使用→銷(xiāo)毀”全流程，確保敏感數(shù)據(jù)不泄露。可視化與可審計(jì)：實(shí)時(shí)監(jiān)控訪問(wèn)行為，提供全鏈路審計(jì)日志，滿足合規(guī)要求（如GDPR、ISO____）。兼容與擴(kuò)展：支持legacy系統(tǒng)、多云環(huán)境、IoT設(shè)備等復(fù)雜場(chǎng)景，具備可擴(kuò)展能力。二、需求分析與現(xiàn)狀評(píng)估：落地的前提零信任不是“推倒重來(lái)”，而是基于現(xiàn)有架構(gòu)的優(yōu)化。需求分析的核心是梳理資產(chǎn)、識(shí)別風(fēng)險(xiǎn)、明確業(yè)務(wù)需求，避免“為零信任而零信任”。（一）資產(chǎn)inventory：明確保護(hù)對(duì)象零信任的保護(hù)對(duì)象包括用戶、設(shè)備、應(yīng)用、數(shù)據(jù)四大類(lèi)，需通過(guò)自動(dòng)化工具完成inventory：用戶：?jiǎn)T工、合作伙伴、第三方供應(yīng)商等，需記錄角色、部門(mén)、權(quán)限等屬性。設(shè)備：辦公電腦、手機(jī)、IoT設(shè)備、服務(wù)器等，需記錄設(shè)備類(lèi)型、操作系統(tǒng)、補(bǔ)丁狀態(tài)、是否root等屬性。應(yīng)用：本地應(yīng)用（如ERP、CRM）、云應(yīng)用（如Salesforce、釘釘）、微服務(wù)等，需記錄應(yīng)用類(lèi)型、訪問(wèn)方式、數(shù)據(jù)敏感度等屬性。數(shù)據(jù)：數(shù)據(jù)庫(kù)、文件服務(wù)器、云存儲(chǔ)等，需記錄數(shù)據(jù)分類(lèi)（公開(kāi)/內(nèi)部/敏感/機(jī)密）、存儲(chǔ)位置、訪問(wèn)頻率等屬性。工具推薦：CMDB（配置管理數(shù)據(jù)庫(kù)）、EDR（端點(diǎn)檢測(cè)與響應(yīng)）、CASB（云訪問(wèn)安全代理）、自動(dòng)化掃描工具（如Nmap、AWSScout）。（二）訪問(wèn)流程梳理：識(shí)別風(fēng)險(xiǎn)點(diǎn)梳理現(xiàn)有訪問(wèn)流程，識(shí)別信任邊界模糊、權(quán)限過(guò)度、驗(yàn)證缺失等風(fēng)險(xiǎn)：遠(yuǎn)程訪問(wèn)：是否使用VPN？是否有MFA？是否限制設(shè)備類(lèi)型？?jī)?nèi)部應(yīng)用訪問(wèn)：是否基于角色授權(quán)？是否有會(huì)話超時(shí)機(jī)制？數(shù)據(jù)訪問(wèn)：敏感數(shù)據(jù)是否有審批流程？是否禁止從外部設(shè)備訪問(wèn)？示例：某企業(yè)遠(yuǎn)程員工通過(guò)VPN訪問(wèn)ERP系統(tǒng)，僅驗(yàn)證用戶名密碼，未檢查設(shè)備健康狀態(tài)（如是否安裝殺毒軟件），存在設(shè)備被篡改后泄露數(shù)據(jù)的風(fēng)險(xiǎn)。（三）風(fēng)險(xiǎn)評(píng)估：定義優(yōu)先級(jí)基于資產(chǎn)價(jià)值與風(fēng)險(xiǎn)影響，制定風(fēng)險(xiǎn)優(yōu)先級(jí)矩陣（RPM），明確零信任落地的順序：高價(jià)值資產(chǎn)：核心數(shù)據(jù)庫(kù)（如財(cái)務(wù)數(shù)據(jù)）、關(guān)鍵應(yīng)用（如ERP）、敏感用戶（如高管）。高風(fēng)險(xiǎn)場(chǎng)景：遠(yuǎn)程辦公、第三方訪問(wèn)、云數(shù)據(jù)共享。輸出：《零信任需求分析報(bào)告》，包含資產(chǎn)清單、風(fēng)險(xiǎn)點(diǎn)、優(yōu)先級(jí)排序、業(yè)務(wù)需求（如“遠(yuǎn)程員工需訪問(wèn)CRM系統(tǒng)，但需驗(yàn)證設(shè)備健康狀態(tài)”）。三、零信任架構(gòu)設(shè)計(jì)：核心組件與邏輯零信任架構(gòu)的核心是“身份驗(yàn)證→訪問(wèn)控制→數(shù)據(jù)保護(hù)→可視化”的閉環(huán)，以下是各組件的設(shè)計(jì)細(xì)節(jié)。（一）身份管理：零信任的基石身份是零信任的“入口”，需實(shí)現(xiàn)統(tǒng)一身份認(rèn)證（SSO）、多因素認(rèn)證（MFA）、身份生命周期管理。1.統(tǒng)一身份認(rèn)證（SSO）目標(biāo)：消除“多賬號(hào)、多密碼”的痛點(diǎn)，實(shí)現(xiàn)“一次登錄，訪問(wèn)所有授權(quán)應(yīng)用”。技術(shù)選型：商業(yè)方案：Okta、AzureAD、PingIdentity（適合大型企業(yè)）；開(kāi)源方案：Keycloak、Gluu（適合中小企業(yè)）；云原生方案：AWSIAM、阿里云RAM（適合云環(huán)境）。集成方式：支持SAML2.0、OIDC（OpenIDConnect）、OAuth2.0等標(biāo)準(zhǔn)協(xié)議，確保與現(xiàn)有應(yīng)用兼容。2.多因素認(rèn)證（MFA）目標(biāo)：提升身份驗(yàn)證的安全性，避免密碼泄露導(dǎo)致的風(fēng)險(xiǎn)。策略設(shè)計(jì)：強(qiáng)制MFA：對(duì)于高風(fēng)險(xiǎn)場(chǎng)景（如遠(yuǎn)程訪問(wèn)、敏感數(shù)據(jù)訪問(wèn)），強(qiáng)制使用MFA；自適應(yīng)MFA：基于用戶行為（如常用設(shè)備、地理位置）動(dòng)態(tài)調(diào)整驗(yàn)證方式（如信任設(shè)備無(wú)需MFA，陌生設(shè)備需短信+指紋）；無(wú)密碼認(rèn)證：逐步推廣Passkey（基于FIDO2標(biāo)準(zhǔn)），替代傳統(tǒng)密碼。工具推薦：GoogleAuthenticator、MicrosoftAuthenticator、DuoSecurity。3.身份生命周期管理（ILM）目標(biāo)：確保身份的“創(chuàng)建→修改→刪除”全流程可控，避免“幽靈賬號(hào)”（離職員工仍有訪問(wèn)權(quán)限）。流程設(shè)計(jì)：入職：自動(dòng)創(chuàng)建賬號(hào)，授予初始權(quán)限（基于角色）；調(diào)崗：自動(dòng)調(diào)整權(quán)限（如從銷(xiāo)售部門(mén)調(diào)至財(cái)務(wù)部門(mén)，收回CRM權(quán)限，授予ERP權(quán)限）；離職：自動(dòng)禁用賬號(hào)，清理所有權(quán)限（包括云應(yīng)用、數(shù)據(jù)庫(kù)）。工具推薦：SailPoint、IBMSecurityIdentityManager、開(kāi)源工具（如OpenIAM）。（二）訪問(wèn)控制：動(dòng)態(tài)與細(xì)粒度零信任的訪問(wèn)控制需從“靜態(tài)角色基（RBAC）”轉(zhuǎn)向“動(dòng)態(tài)屬性基（ABAC）”，基于用戶屬性、設(shè)備屬性、環(huán)境屬性、行為屬性制定策略。1.屬性定義（ABAC核心）屬性類(lèi)型示例用戶屬性角色（銷(xiāo)售經(jīng)理）、部門(mén)（市場(chǎng)部）、權(quán)限等級(jí)（敏感數(shù)據(jù)訪問(wèn)權(quán)限）設(shè)備屬性設(shè)備類(lèi)型（laptop）、操作系統(tǒng)（Windows11）、補(bǔ)丁狀態(tài)（最新）、是否root（否）環(huán)境屬性IP地址（公司內(nèi)網(wǎng)）、地理位置（北京）、時(shí)間（工作日9:00-18:00）行為屬性訪問(wèn)頻率（每小時(shí)≤5次）、操作類(lèi)型（查詢/修改/刪除）2.策略設(shè)計(jì)示例1（遠(yuǎn)程訪問(wèn)）：允許“銷(xiāo)售部門(mén)員工”在“工作日9:00-18:00”從“公司IP”或“信任設(shè)備（已安裝EDR）”訪問(wèn)“CRM系統(tǒng)”，且需“MFA驗(yàn)證”。示例2（敏感數(shù)據(jù)訪問(wèn)）：允許“財(cái)務(wù)部門(mén)經(jīng)理”從“公司內(nèi)網(wǎng)設(shè)備”訪問(wèn)“財(cái)務(wù)數(shù)據(jù)庫(kù)”，且“操作類(lèi)型為查詢”，同時(shí)“生成審計(jì)日志”。3.技術(shù)實(shí)現(xiàn)訪問(wèn)控制引擎：負(fù)責(zé)解析屬性、執(zhí)行策略，如ForgeRockAccessManager、OpenPolicyAgent（OPA，開(kāi)源）；網(wǎng)關(guān)/代理：作為訪問(wèn)入口，實(shí)現(xiàn)身份驗(yàn)證與策略enforcement，如：遠(yuǎn)程訪問(wèn)：PaloAltoPrismaAccess、CiscoAnyConnect（零信任VPN）；云應(yīng)用：CASB（如McAfeeMVISION、Netskope）；微服務(wù)：ServiceMesh（如Istio、Linkerd），實(shí)現(xiàn)服務(wù)間的零信任（mTLS+ABAC）。（三）數(shù)據(jù)保護(hù)：全生命周期安全零信任的核心目標(biāo)是保護(hù)數(shù)據(jù)，需覆蓋“靜態(tài)、傳輸、動(dòng)態(tài)”三個(gè)階段。1.數(shù)據(jù)分類(lèi)分級(jí)（基礎(chǔ)）分類(lèi)標(biāo)準(zhǔn)：根據(jù)數(shù)據(jù)敏感度分為4類(lèi)（示例）：公開(kāi)數(shù)據(jù)：企業(yè)官網(wǎng)信息、產(chǎn)品介紹；內(nèi)部數(shù)據(jù)：?jiǎn)T工通訊錄、辦公文檔；敏感數(shù)據(jù)：客戶訂單、銷(xiāo)售數(shù)據(jù)；機(jī)密數(shù)據(jù)：財(cái)務(wù)報(bào)表、核心技術(shù)文檔。分級(jí)策略：不同級(jí)別數(shù)據(jù)采用不同保護(hù)措施（如機(jī)密數(shù)據(jù)需加密+審批，敏感數(shù)據(jù)需MFA+審計(jì)）。2.靜態(tài)數(shù)據(jù)加密目標(biāo)：防止數(shù)據(jù)存儲(chǔ)時(shí)泄露（如數(shù)據(jù)庫(kù)被盜、云存儲(chǔ)泄露）。技術(shù)選型：數(shù)據(jù)庫(kù)：透明數(shù)據(jù)加密（TDE，如OracleTDE、SQLServerTDE）；云存儲(chǔ)：AWSS3服務(wù)器端加密（SSE）、阿里云OSS加密；文件：加密軟件（如VeraCrypt、BitLocker）。3.傳輸數(shù)據(jù)加密技術(shù)要求：所有網(wǎng)絡(luò)傳輸均使用TLS1.3（替代TLS1.2）；禁用弱加密算法（如AES-128，推薦AES-256）；微服務(wù)間使用mTLS（mutualTLS），確保服務(wù)身份可信。4.動(dòng)態(tài)數(shù)據(jù)保護(hù)技術(shù)實(shí)現(xiàn)：Tokenization：用令牌替代敏感數(shù)據(jù)（如信用卡號(hào)用“1234---5678”顯示）；數(shù)字水?。涸诿舾形臋n中添加不可見(jiàn)水印（如員工ID），追蹤泄露來(lái)源。（四）安全可視化：實(shí)時(shí)監(jiān)控與審計(jì)零信任需要“可見(jiàn)性”，通過(guò)可視化工具實(shí)現(xiàn)“實(shí)時(shí)監(jiān)控→異常檢測(cè)→快速響應(yīng)”的閉環(huán)。1.核心功能儀表盤(pán)：展示關(guān)鍵指標(biāo)（如用戶訪問(wèn)趨勢(shì)、異常登錄次數(shù)、權(quán)限變更記錄）；審計(jì)日志：記錄所有訪問(wèn)行為（用戶、設(shè)備、時(shí)間、操作），保留至少6個(gè)月（符合合規(guī)要求）；告警與響應(yīng)：觸發(fā)異常時(shí)，自動(dòng)發(fā)送告警（如郵件、短信），并執(zhí)行響應(yīng)動(dòng)作（如阻斷訪問(wèn)、強(qiáng)制MFA）。2.技術(shù)選型SIEM（安全信息與事件管理）：SplunkEnterpriseSecurity、ElasticStack（ELK）、MicrosoftSentinel；SOAR（安全編排、自動(dòng)化與響應(yīng)）：PaloAltoCortexXSOAR、IBMResilient，實(shí)現(xiàn)自動(dòng)化響應(yīng)（如“異常登錄→阻斷→通知管理員”）；零信任專用工具：ZscalerZeroTrustExchange、CrowdStrikeFalconZeroTrust，提供全場(chǎng)景可視化。四、落地實(shí)施：分階段部署與迭代零信任落地是“漸進(jìn)式”過(guò)程，需避免“一刀切”，建議分試點(diǎn)→推廣→深化→優(yōu)化四個(gè)階段。（一）階段1：試點(diǎn)（1-3個(gè)月）目標(biāo)：驗(yàn)證零信任方案的可行性，收集用戶反饋。選擇場(chǎng)景：低風(fēng)險(xiǎn)、高回報(bào)的場(chǎng)景（如遠(yuǎn)程辦公、辦公應(yīng)用），例如：遠(yuǎn)程員工訪問(wèn)OA系統(tǒng)、郵箱；第三方供應(yīng)商訪問(wèn)指定云應(yīng)用。實(shí)施步驟：1.部署SSO與MFA，覆蓋試點(diǎn)用戶；2.配置ABAC策略（如“遠(yuǎn)程員工需驗(yàn)證設(shè)備健康狀態(tài)”）；3.部署CASB，控制云應(yīng)用的訪問(wèn)；4.收集用戶反饋（如登錄流程是否便捷、是否有性能問(wèn)題）。輸出：《試點(diǎn)總結(jié)報(bào)告》，包含成功率、用戶滿意度、優(yōu)化建議。（二）階段2：推廣（3-6個(gè)月）目標(biāo)：將試點(diǎn)成功的方案推廣至核心業(yè)務(wù)場(chǎng)景（如ERP、CRM、核心數(shù)據(jù)庫(kù)）。實(shí)施步驟：1.擴(kuò)展SSO/MFA至所有用戶與應(yīng)用；2.配置核心應(yīng)用的ABAC策略（如“財(cái)務(wù)人員只能在公司內(nèi)網(wǎng)訪問(wèn)ERP系統(tǒng)”）；3.部署DLP，保護(hù)敏感數(shù)據(jù)（如客戶訂單、財(cái)務(wù)數(shù)據(jù)）；4.整合SIEM，實(shí)現(xiàn)核心場(chǎng)景的可視化。關(guān)鍵動(dòng)作：與業(yè)務(wù)部門(mén)協(xié)同，確保策略不影響業(yè)務(wù)效率（如“審批流程不要太長(zhǎng)”）。（三）階段3：深化（6-12個(gè)月）目標(biāo)：覆蓋復(fù)雜場(chǎng)景（如IoT設(shè)備、邊緣計(jì)算、微服務(wù)）。實(shí)施步驟：1.部署零信任邊緣（ZTE）解決方案，控制IoT設(shè)備的訪問(wèn)（如工業(yè)傳感器需驗(yàn)證身份+設(shè)備健康狀態(tài)）；2.用ServiceMesh（如Istio）實(shí)現(xiàn)微服務(wù)間的零信任（mTLS+ABAC）；3.推廣無(wú)密碼認(rèn)證（Passkey），提升用戶體驗(yàn)；4.優(yōu)化策略（如基于機(jī)器學(xué)習(xí)調(diào)整ABAC屬性權(quán)重）。（四）階段4：優(yōu)化（持續(xù)進(jìn)行）目標(biāo)：實(shí)現(xiàn)自我進(jìn)化的零信任體系。實(shí)施步驟：1.定期審計(jì)權(quán)限（如每季度清理冗余權(quán)限）；2.收集新的風(fēng)險(xiǎn)點(diǎn)（如新型攻擊方式、業(yè)務(wù)變化）；3.優(yōu)化策略（如調(diào)整MFA觸發(fā)條件、增加新的屬性）；4.培訓(xùn)員工（如安全意識(shí)培訓(xùn)、零信任使用指南）。五、運(yùn)營(yíng)與優(yōu)化：持續(xù)保障效果零信任不是“一次性項(xiàng)目”，而是“持續(xù)運(yùn)營(yíng)”的過(guò)程，需建立以下機(jī)制：（一）監(jiān)控與響應(yīng)機(jī)制實(shí)時(shí)監(jiān)控：通過(guò)SIEM/SOAR監(jiān)控關(guān)鍵指標(biāo)（如異常登錄、權(quán)限變更）；自動(dòng)化響應(yīng)：對(duì)于低級(jí)告警（如多次失敗登錄），自動(dòng)觸發(fā)MFA；對(duì)于高級(jí)告警（如數(shù)據(jù)泄露），自動(dòng)阻斷訪問(wèn)并通知管理員。（二）持續(xù)改進(jìn)機(jī)制定期審計(jì)：每季度進(jìn)行零信任體系審計(jì)，檢查策略是否有效、權(quán)限是否冗余；用戶反饋：每半年收集用戶反饋（如登錄流程、策略合理性），優(yōu)化用戶體驗(yàn)；威脅情報(bào)：整合威脅情報(bào)（如CVE漏洞、攻擊趨勢(shì)），調(diào)整策略（如針對(duì)新型漏洞加強(qiáng)設(shè)備驗(yàn)證）。（三）人員培訓(xùn)機(jī)制員工培訓(xùn)：定期開(kāi)展安全意識(shí)培訓(xùn)（如“如何識(shí)別釣魚(yú)郵件”“零信任使用指南”）；IT團(tuán)隊(duì)培訓(xùn)：培訓(xùn)零信任技術(shù)（如SSO、ABAC、SIEM），提升故障排查能力；管理層培訓(xùn)：講解零信任的價(jià)值（如降低數(shù)據(jù)泄露風(fēng)險(xiǎn)、提升業(yè)務(wù)效率），獲得管理層支持。六、常見(jiàn)挑戰(zhàn)與應(yīng)對(duì)策略零信任落地過(guò)程中，會(huì)遇到以下挑戰(zhàn)，需提前規(guī)劃應(yīng)對(duì)：（一）Legacy系統(tǒng)適配問(wèn)題：舊系統(tǒng)（如大型ERP）不支持現(xiàn)代身份協(xié)議（如SAML、OIDC），無(wú)法集成SSO/MFA。應(yīng)對(duì)：使用反向代理（如NginxPlus、F5BIG-IP）或API網(wǎng)關(guān)（如Kong、Apigee），作為legacy系統(tǒng)的“前端”，實(shí)現(xiàn)身份驗(yàn)證與訪問(wèn)控制；對(duì)于無(wú)法修改的系統(tǒng)，采用agent方式（如安裝EDRagent），收集設(shè)備屬性（如補(bǔ)丁狀態(tài)），用于ABAC策略。（二）用戶體驗(yàn)平衡問(wèn)題：過(guò)度的驗(yàn)證（如每次登錄都要MFA）會(huì)導(dǎo)致員工抵觸。應(yīng)對(duì)：采用自適應(yīng)MFA（如信任設(shè)備無(wú)需MFA，陌生設(shè)備需MFA）；推廣無(wú)密碼認(rèn)證（如Passkey），替代傳統(tǒng)密碼；優(yōu)化登錄流程（如SSO減少登錄次數(shù)，MFA使用生物識(shí)別（指紋、面部））。（三）權(quán)限管理復(fù)雜度問(wèn)題：ABAC策略過(guò)多（如1000+屬性），導(dǎo)致管理困難。應(yīng)對(duì)：使用自動(dòng)化權(quán)限管理工具（如Entitle、Saviynt），實(shí)現(xiàn)權(quán)限的“自動(dòng)分配→自動(dòng)調(diào)整→自動(dòng)清理”；采用策略模板（如“遠(yuǎn)程訪問(wèn)模板”“敏感數(shù)據(jù)訪問(wèn)模板”），減少重復(fù)配置；定期策略優(yōu)化（如合并相似策略、刪除過(guò)時(shí)策略）。七、實(shí)戰(zhàn)案例：某制造企業(yè)零信任落地（一）企業(yè)背景某制造企業(yè)，員工1000+，擁有ERP（SAP）、CRM（Salesforce）、云存儲(chǔ)（AWSS3）等核心資產(chǎn)，遠(yuǎn)程辦公員工占比30%。原有安全架構(gòu)為“防火墻+VPN”，因多次發(fā)生遠(yuǎn)程員工設(shè)備被篡改導(dǎo)致數(shù)據(jù)泄露的事件，決定實(shí)施零信任。（二）落地過(guò)程1.需求分析：資產(chǎn)inventory：梳理了1200+用戶、600+設(shè)備、40+應(yīng)用、10+核心數(shù)據(jù)庫(kù)；優(yōu)先級(jí)：遠(yuǎn)程辦公→云應(yīng)用→核心數(shù)據(jù)庫(kù)→legacy系統(tǒng)。2.架構(gòu)設(shè)計(jì)：身份管理：用AzureAD實(shí)現(xiàn)SSO/MFA