零信任项目不必从选产品开始。先弄清保护什么、谁在访问、现在怎么访问这三件事，后面的试点、策略与选型才有依据。
很多团队接到“做零信任”的任务后，第一反应是调研产品。但项目真正的起点不是产品，而是三个看似朴素的问题：要保护什么？谁在访问？现在是怎么访问的？这三件事搞清楚，其余步骤都会顺很多。
先把三件事弄清楚
三件事互相关联，答案合在一起，就是零信任项目的“现状底图”。
第一件：要保护什么？
先列出最重要的业务系统和数据，而不是全部资产。可以用三个标准筛选：
- 一旦中断或泄露，影响最大；
- 访问方式最复杂，比如同时有内部员工、外包、合作方；
- 监管或客户明确有要求。
通常先圈出十个以内的关键业务，就足以支撑第一阶段的设计。
第二件：谁在访问？
把访问者分成几类，并看清各自的规模和身份来源：
| 访问者 | 需要弄清的问题 |
|---|---|
| 内部员工 | 账号集中在哪里？离职后是否及时回收？ |
| 外包与合作方 | 是否使用独立账号？权限是否有期限？ |
| 管理员 | 权限范围多大？操作是否留有记录？ |
| 设备与系统 | 有没有无法登录、只能靠网络识别的设备？ |
账号来源越分散，后面统一身份就越是重点；如果大量访问来自专用设备，则要优先考虑网络侧的管控方式。
第三件：现在是怎么访问的？
这一步最容易被忽略：把一次真实的访问链路走一遍。从哪里发起？经过 VPN 还是专线？接入后能看到多大范围？是否有访问记录？
走完之后，通常会发现三类问题：
- 接入后的可见范围远大于工作所需；
- 有些业务绕过了统一入口，直连在内网；
- 日志分散，难以还原“谁在什么时候访问了什么”。
这些问题的清单，就是第一阶段要解决的对象。
三件事做完，产出什么？
- 一份关键业务清单；
- 一份访问者分类与身份来源说明；
- 一张访问路径图，标出风险最大的几处。
资产梳理本身也是长期工作，智能安全运营的资产闭环管理，就是让这份清单持续保持准确，而不是做一次就过期。
小结
- 零信任项目的起点是三个问题：保护什么、谁在访问、怎么访问。
- 先聚焦关键业务，不要追求一次盘清全部资产。
- 现状底图出来之后，再谈试点与选型。