常見解答
用白話解釋什麼是零信任？
零信任（Zero trust）是一個很簡單的概念。不要只因為某個人、裝置或應用程式在你的網路內，或以前曾連線過，就自動信任它。
簡短回答
零信任是一種設計技術的方式：每次都要檢查存取權，判斷依據包括是誰在使用者（身分）、正在用什麼裝置、要存取的是什麼資源，以及是否有任何看起來不尋常的狀況。
用白話說，就是：「永遠不要假設，永遠要驗證。」員工可能被允許使用電子郵件和薪資，但不被允許使用機房的監視攝影機系統，或老闆的銀行資料夾。只要筆電是已更新、且有做好保護，就可能允許連線；但若它太舊、缺少安全更新，或是從不尋常的地點連線，就不一定能連上。
這並不代表沒有人能工作。這代表人們會用最安全、可行的方式取得自己真正需要的存取權。對小型企業而言，零信任通常與其說是買一個大型產品，不如說是先建立幾條合理的規則。
為什麼它對你的企業很重要
許多小型企業仍沿用一種舊的假設：只要在辦公室裡，或擁有密碼的人，就大概是安全的。這在過去比較說得通，因為工作多半只在同一棟建築內、少數幾台桌上型電腦上進行。
但現在，人們在家工作，還會用手機、筆電、平板、雲端應用程式與共享檔案。供應商可能會遠端登入。老闆也可能人在路上就核准付款。如果某個密碼被偷，或某台裝置本身防護比較弱，過度廣泛的存取就可能引發更大的問題。
零信任有助於降低這類風險。它能減少一次失誤、被偷的密碼或遭入侵的裝置，可能擴散到多遠。沒有任何誠實的供應商會承諾網路「無法被駭」，但更好的存取規則可以讓日常問題變得更小，並更容易被控制。
它也能幫助建立基本的企業紀律。當存取權被清楚地整理好，新進員工更容易被上線、有人離職時存取權也更容易移除，並且更容易看出哪些人應該被允許使用哪些系統。
零信任通常包含什麼
實務上的零信任設定，通常從身分（identity）開始。也就是要先確認某人是誰，之後才讓他們進入電子郵件、檔案、會計或其他領域的業務系統(LOB)應用程式。常見的一步是 MFA（多重因素驗證，multi-factor authentication）：除了密碼之外，還要求第二種證明，例如代碼、手機/應用程式的提示，或是安全金鑰（security key）。
接著是裝置信任（device trust）。企業可能會要求筆電與手機在連線前符合特定標準。例如，該裝置需要是最新更新、有磁碟加密，並且具備安全軟體。你可能會聽到 endpoint 這個詞，它只是指使用者裝置，例如筆電、桌機、手機或平板。
然後再用角色來限制存取。員工應該只取得工作所需的最低存取權。這常被稱為最小權限（least privilege）。記帳人員不需要和營運主管一樣的權限。離職員工也不應該在六個月後仍然能存取共享資料夾。
另一部分是持續性的檢查。這可能包含修補程式（patching），也就是套用軟體與安全更新；以及記錄登入、告警，與能阻擋不尋常登入的規則。有些託管式 IT 服務提供者也會使用 EDR（端點偵測與回應，endpoint detection and response），這是一種會監看企業裝置是否出現可疑行為的軟體，並協助調查或遏止問題。
小型企業的良好樣貌應該是什麼
好的零信任不應該讓人覺得像迷宮。它應該要清楚、文件化，並且符合你們團隊的實際運作方式。員工要知道如何登入、什麼時候需要 MFA、能使用哪些應用程式，以及如果裝置遺失或更換後該怎麼做。
健康的設定通常包含：管理員作業用的帳號要分開、盡量減少共用登入，並在角色變動時及時移除存取權。像薪資、銀行、客戶資料，或醫療資訊這類敏感系統，應該比一般的共用硬碟（shared drive）有更嚴格的控管。
好的做法也要符合你的企業規模。一間 12 人的辦公室，不需要和 200 人、跨多據點的公司一樣的設定。需求會因產業與州別而不同。如果你處理的是醫療相關資訊，HIPAA（Health Insurance Portability and Accountability Act，健康保險可攜性與責任法案）可能就會重要。如果你收取付款卡（payment cards），PCI（Payment Card Industry Data Security Standard，支付卡產業資料安全標準）可能就會重要。有些客戶也可能會詢問 SOC 2，這是一種常見的報告架構，用來說明公司如何處理安全性控管。
如果你正在與託管式 IT 服務提供者合作（也就是 MSP，managed IT provider），也可以問他們如何處理身分、裝置標準、存取權審查與離職下線（offboarding）。先問他們會優先做哪些事情、哪些可以先等，以及以你們的規模來說，哪些做法真的實際可行。
零信任不 是什麼
零信任不是一個「萬靈丹」式的單一產品。如果有人把它包裝成那樣，要小心。它是一個策略，由政策、設定、工具與工作習慣所組成。
它也不等於要把一切都阻擋起來。好的做法會在安全性與工作效率之間取得平衡。如果你的團隊不在不停例外的情況下就無法完成例行工作，那麼設定很可能需要調整。
它也不只適用大型企業。小型與中型企業可以用更簡化的方式採用同一套核心概念。通常第一步會很直接：更強的登入規則、更乾淨的使用者存取、更好的裝置標準，以及更少的共用帳號。
如果你想理解不同選項，多看一些白話解答 或 查看託管式 IT 服務主題。如果你希望找到獨立的提供者來聊聊，取得配對。NodeBridge IT 是一個免費配對服務。我們不管理、監控、保護、修復或存取你的系統。
誠實提醒
NodeBridge IT 是免費配對服務，不是 IT 供應商。此處資訊為一般性與教育性內容——簽約前，請以書面方式向任何供應商確認涵蓋範圍、SLA 與價格。無人能保證正常運作、資安或復原能力。
零信任的意思是：你的企業不再假設每一位使用者與每一台裝置都安全，而是每次都更仔細地檢查存取權。
常見問題
零信任只是另一種網路資安（cybersecurity）的說法嗎？
不完全是。資安（cybersecurity）是保護系統與資料的更廣泛工作。零信任是其中一種做法，重點是驗證存取權，而不是直接假設某個使用者或裝置預設就安全。
小型企業真的需要這個嗎？
很多確實需要，至少先用基本形式也很有意義。如果你的團隊使用雲端應用程式、遠端存取、電子郵件、共享檔案，或行動裝置，那像 MFA 與依角色的存取（role-based access）這種簡單的零信任步驟通常很說得通。
零信任會讓我的員工變慢嗎？
它可能會在登入時增加一些小小的摩擦感，但規劃得好的系統仍應該容易使用。目標是合理的檢查，而不是把正常工作變得困難。
零信任很貴嗎？
有時候最大的變動是流程與設定，而不是購買大型軟體。成本會因員工人數、裝置數量、安全需求與範圍而不同；你可能聽到的任何數字區間，都應視為一般指引，而不是報價。
我應該向託管式 IT 服務提供者詢問哪些關於零信任的問題？
可以問他們如何處理 MFA、裝置標準、依角色分配的員工存取權、共用帳號、離職下線（offboarding）、修補程式（patching）以及資安監控。也問他們會先為像你們這樣的企業優先做什麼，以及原因是什麼。