零信任试点业务可以用风险价值与改造难度两个维度打分：优先选价值高、难度低的业务，先拿到看得见的成果，再逐步覆盖更难的场景。
试点选得好，项目就有了好的开局；选得不好，不是价值体现不出来，就是改造难度大到试点本身都难以完成。选业务不必凭感觉，可以借助一个简单的评分方法。
好的试点业务有什么特征？
试点业务最好同时满足三个条件：有价值（风险明确或业务重要，成果看得见）、可控（范围清晰、用户可沟通）、可改造（技术难度适中，不依赖大改）。三者缺一，试点都容易偏离预期。
怎么给候选业务打分
可以从三个角度，给每个候选业务打 1~5 分，再汇总比较。
| 评估角度 | 看什么 |
|---|---|
| 风险与价值 | 业务是否关键？访问者是否复杂（外包、合作方、远程）？一旦出事影响多大？ |
| 改造难度 | 系统是否支持现代认证？能否通过统一入口访问？是否涉及无法安装客户端的设备？ |
| 影响面与可沟通性 | 用户规模是否适中？受影响人员是否容易沟通、反馈是否顺畅？ |
价值越高、难度越低、影响面越可控，优先级越高。
按四个象限定优先级
把候选业务放进“价值-难度”矩阵里，大致可分为四类。
| 类型 | 特征 | 建议 |
|---|---|---|
| 优先试点 | 价值高、难度低 | 第一批，快速拿到成果 |
| 规划跟进 | 价值高、难度高 | 第二阶段，先做准备工作 |
| 顺手覆盖 | 价值一般、难度低 | 扩围阶段顺带纳入 |
| 暂缓 | 价值一般、难度高 | 暂不安排，视情况再评估 |
几类常见业务的判断
- 外部人员访问核心系统： 风险和价值都明确，通常是很好的起点。
- 远程办公接入： 用户规模大、体验敏感，适合作为第二批。
- 老旧生产系统： 价值高但改造难，可以先从网络侧控制入手，参考老系统改不了、业务不能停。
- 无法安装客户端的专用设备： 需要单独评估，可从可信接入防护的思路着手。
选定后要写清什么？
确定业务之后，还要把试点范围、成功标准、回退预案和时间窗写下来，并让业务负责人确认。具体设计方法见零信任不必一步到位：如何通过试点逐步扩大覆盖范围？。
小结
- 好的试点业务：有价值、可控、可改造。
- 用风险价值、改造难度、影响面三个角度打分，用象限定优先级。
- 价值高、难度低的业务优先，价值高、难度高的业务做好准备再跟进。