報導摘要
零信任，這個由資安先驅 John Kindervag 於 2005 年提出的劃時代概念，將於 2025 年 9 月 14 日迎來 15 歲生日。儘管其「永不信任，永遠驗證」(Never Trust, Always Verify) 的核心精神已成為網路安全領域的黃金標準，但其在企業中的全面實施卻依然是個艱鉅的挑戰。這篇深度研究報告旨在探討為何零信任的實施過程就像牧師的雞蛋：部分完好。零信任並非失敗，而是其全面實施尚未完成。當你試圖改變數位世界時，十五年並不算很長。
說明：
2010 年9 月 14 日，Forrester 發表了 John Kindervag 的論文《No More Chewy Centers：Introducing The Zero Trust Model of Information Security》，宣布了零信任的發明。零信任理念認為，將網路安全視為M&M巧克力豆（一層堅硬易碎的外殼，駭客無法穿透，保護著柔軟耐嚼的內核，讓員工可以自由安全地工作）根本行不通。 「資安專業人員必須消除柔軟耐嚼的內核，讓安全措施覆蓋整個網絡，而不僅僅是邊界，」Kindervag寫道。
本文將從零信任的起源與核心原則談起，深入分析其在實踐中遭遇的主要困境，特別是人為因素與技術障礙。報告也將探討零信任與美國第14028號行政令的關聯，以及其對私人企業的啟發。最終，我們將論證為何儘管過程艱辛，全面採用零信任架構對於企業在今日複雜的網路威脅環境中，實現有效防禦、降低風險，並保護數位資產至關重要。
第一章：零信任：一個劃時代的概念
在零信任概念誕生之前，網路安全的傳統模式如同一個擁有「硬殼和柔軟內餡」的堅果：一旦攻擊者穿透了外圍防火牆等防禦，他們就可以在內部網路中暢通無阻。這種基於「邊界」的安全模型在雲端運算、行動裝置和遠端工作普及的今天，早已顯得力不從心。
零信任從根本上顛覆了這一思維。其核心原則是：不論使用者、裝置或應用程式來自內部或外部網路，都應被視為潛在威脅，並在每次存取行為發生時進行嚴格驗證。這不僅僅是技術層面的變革，更是一種全新的安全哲學。它要求企業從「我們信任誰」轉變為「我們驗證什麼」。這種方法的核心是基於最小權限原則，確保每個使用者和裝置僅能存取其完成任務所必需的資源，從而大幅縮小潛在的攻擊面。
零信任架構涵蓋了身份和存取管理（IAM）、裝置安全、網路安全、資料安全等多個層面，並需要持續性的監控與評估。它不再依賴單一的防禦點，而是建立一個多層次的、動態的安全體系，無論威脅源自何處，都能及時發現並阻斷。
第二章：實施困境與挑戰：部分完好的牧師雞蛋
零信任的實施對網路安全至關重要，但15年過去了，我們仍然未能實現，實施過程就像牧師的雞蛋：部分完好。儘管概念清晰且優勢顯著，為何許多企業在全面採用上步履維艱？
首先，最大的障礙來自於「人」。傳統上，許多資安策略都以人為本，認為只要教育使用者，就能有效防禦。然而，人性中的一些固有特質，如：
信任傾向： 人們傾向於相信同事、合作夥伴或熟悉的系統，這使得社交工程攻擊有機可乘。
惰性： 為了方便，使用者可能會規避複雜的安全流程，選擇較弱的密碼或共享存取權限。
好奇心： 對未知連結的點擊，或是在未受保護的設備上存取敏感資料，都可能引發安全事件。
這些人為因素使得傳統的邊界防禦模型漏洞百出。零信任的解決方案是將安全視為一種技術功能，採用「技術、流程、人」（Technology, Process, People）的優先順序，透過技術自動化來強制執行安全策略，再輔以明確的流程，最後透過訓練來提升人員的安全意識，從根本上降低人為失誤的風險。
其次，實施零信任面臨著巨大的技術挑戰。許多企業的現有網路架構龐大而複雜，且充滿了歷史遺留系統。要在這些老舊的基礎設施上全面實施零信任，往往需要巨大的投入、耗費漫長的時間，甚至可能影響現有的業務運作。許多公司缺乏足夠的資源和專業知識來進行這樣的改造。此外，企業內部各部門之間的「資安孤島」現象也阻礙了協作，使得全面盤點資產、統籌安全策略變得異常困難。
第三章：從行政命令到企業實踐：零信任的推動與挑戰
零信任並非失敗，而是零信任的實施尚未完成。當你試圖改變數位世界時，十五年並不算很長。這篇報告最終促成了第14028號行政令，該行政令要求聯邦機構必須轉向零信任架構，私人公司也應採取類似做法——但並未明確如何實現。這顯示了政府對零信任重要性的認可，也同時凸顯了其在實施層面的複雜性。
零信任本質上是一個概念，其實施將取決於各個不同的企業生態圈。沒有一份適用於所有組織的統一要求清單，也沒有任何國家法規能夠強制要求零信任，也沒有任何產品可以安裝以實現零信任。這意味著企業不能僅僅購買一個「零信任盒子」就能解決問題。相反，企業需要根據自身的業務特性、資產分佈和風險承受能力，量身定製一套整合性的零信任策略。
這需要高階管理層的堅定承諾，並將零信任視為一個長期的、持續性的專案，而非一次性的技術部署。企業必須從最關鍵的資產開始，逐步擴大零信任的覆蓋範圍，並不斷進行評估與調整。
第四章：為何零信任全面實施是值得的奮鬥
儘管實施過程充滿挑戰，但零信任的全面採用所帶來的回報是巨大的。首先，零信任能夠有效抵禦內外部威脅。數據顯示，超過70%的數據洩露事件源於內部人員，這其中包括無意的錯誤或惡意行為。零信任架構可以有效限制內部威脅的影響範圍，即使是內部人員的帳戶被盜用，攻擊者也難以在網路中橫向移動。
其次，零信任是應對數位轉型時代的必然選擇。隨著雲端服務、物聯網（IoT）設備、遠端工作模式的普及，企業的傳統網路邊界已經模糊甚至消失。零信任提供了一個適用於任何環境、任何地點的安全框架，確保無論使用者和資料位於何處，都能得到一致的保護。這使得企業能夠更自信地擁抱新技術，並在不斷變化的業務環境中保持競爭力。
最後，零信任有助於簡化資安管理。雖然初始實施複雜，但一旦建立起自動化的、基於策略的驗證機制，資安團隊就不再需要依賴複雜的防火牆規則和手動配置。這不僅提高了效率，也降低了人為錯誤的風險，使得資安團隊可以更專注於高價值的策略性工作。
結論
零信任是一個需要長期投入的旅程，而非一個可以快速達成的目的地。儘管其全面實施尚未達成，但其核心理念已深入人心，並持續引導著網路安全領域的發展方向。零信任並非失敗，而是其全面實施尚未完成。它需要企業從根本上改變其對網路安全的思維模式，將其視為一個持續性的策略，而不是一次性的產品部署。
在資訊爆炸的今天，這是一場艱苦的奮鬥，但這場奮鬥所換來的回報是企業在數位世界中生存與發展的基石。透過技術、流程與人的全面整合，並從高層的承諾開始，企業可以逐步克服實施中的挑戰，最終建立起一個真正能夠抵禦未來威脅、保護關鍵資產的零信任安全架構。
資料來源：https://www.securityweek.com/zero-trust-is-15-years-old-why-full-adoption-is-worth-the-struggle/