零信任项目失败多半不输在技术：把它当采购项目、一步铺开、底账不清、策略一刀切、没有回退预案、缺少运营，这 8 个坑可以提前避开。
零信任项目的难点常常不在技术，而在节奏、范围和协同。回顾常见的失败与返工，大多可以归到下面八个坑。提前知道，能省下不少力气。
八个坑，一张图看全
八个坑可以分成三类：定位上的偏差、推进上的偏差、运营上的偏差。
坑 1：把它当成一次采购
买了产品并不等于建成了零信任，没有目标、范围和运营机制，产品很可能只覆盖了很小一部分业务。可以回头看零信任不是买一套产品，先从统一身份与安全接入的能力边界想清楚要解决什么问题，再谈选型。
避开： 先写清要解决的问题，再谈产品。
坑 2：一上来就全面铺开
覆盖所有用户、所有系统，意味着所有问题同时爆发：兼容、性能、用户投诉、策略冲突。
避开： 先选一个范围可控的试点，验证后再扩围。
坑 3：底账没摸清就开始配策略
不清楚有哪些业务、哪些账号、哪些设备，策略要么过宽要么误伤。
避开： 先花时间梳理关键业务与访问关系。
坑 4：只管外部访问，忽略内部
很多项目把重点放在远程接入上，内网里的横向访问依然畅通。攻击者进入之后照样“逛”遍内网。
避开： 把内部关键业务也纳入访问控制。
坑 5：策略一刀切，影响体验
验证过严、频繁打断，员工会想办法绕开，反而制造新的风险。
避开： 按风险分级，低风险顺畅，高风险严格。
坑 6：没有回退预案
策略上线后出现误拦，业务停摆而没有应急旁路，会让项目瞬间失去信任。
避开： 每次变更都准备好回退与应急通道，并提前演练。
坑 7：上线即结束，缺少运营
策略不复核、例外不清理、日志不分析，几个月后系统和现实脱节。智能安全运营把这类日常巡检、复核与清理做成闭环，而不是靠人记性。
避开： 把运营节奏、指标和责任人写进项目计划。
坑 8：部门各自为政
业务部门不知道为什么要改、IT 不清楚策略要求、安全部门不了解业务节奏，推进中处处卡点。
避开： 明确职责与协同机制，让业务、IT 与安全共同参与。
如何自查？
可以把八个坑做成检查表，在项目启动、试点结束、扩围前各过一遍。如果有三个以上“中招”，建议先停下来调整节奏，而不是继续加范围。
小结
- 八个坑集中在定位、推进、运营三个层面，多数与技术无关。
- 核心对策：目标先行、小步试点、底账清晰、分级策略、回退预案、持续运营、协同机制。
- 把它做成检查表，在关键节点自查。