买了某个产品，不等于实现了零信任。真正需要改变的，是默认放行的习惯、权限管理的方式和持续运营的机制。
市场上有不少产品都会打上“零信任”的标签。于是一个常见的想法出现了：我买一套零信任产品，装上去，就算完成零信任建设了吧？答案是：多半不能。这篇文章讲讲，除了产品，还有哪些东西必须改变。
产品只是“工具”，不是“结果”
我们不妨用一个比方：买了一台跑步机，不等于变得健康。跑步机是工具，真正的“健康”来自长期的习惯、饮食和锻炼计划。
零信任也一样。产品可以帮助你做身份认证、访问控制、日志审计，但如果企业内部仍然是“进了内网就放行”“权限一次开通、永不回收”，那么再好的产品，也只会被当作一个普通的网关在使用。
真正需要改变的三件事
一、默认放行的习惯
先问自己几个问题：
- 新系统上线时，是不是习惯性地开放给整个内网访问？
- 员工的新账号，是不是默认就拥有一大堆权限？
- 遇到内部来源的访问，是不是不再多想？
零信任要求的转变是：默认不放行，需要才开通，开通要有依据。
二、权限管理的方式
很多企业的权限是“只增不减”：员工调岗、项目结束、人员离职之后，旧权限仍然保留。零信任强调最小权限，意味着权限必须有人负责、有周期复查、能够回收。
这需要的不只是技术，更是流程：谁来审批、谁来复核、多久清理一次。
三、持续运营的机制
零信任不是“上线即结束”的项目。策略要随着业务变化而调整，异常要有人处理，日志要有人看。没有运营，策略很快就会过时，形成新的“例外”和漏洞。
两个常见的“买了却没用”
情形一：只换了入口，没改规则。 企业把 VPN 换成了新的接入产品，但账号权限依旧是“全员通开”。结果是入口换了新牌子，里面的访问范围并没有缩小。
情形二：上线时很严，之后无人维护。 项目初期策略梳理得很细，一年之后业务调整，策略没有同步更新，员工为了方便不断申请“临时例外”，最后例外比规则还多。
这两种情况，产品本身都没有问题，问题出在“用法”。
理念、流程、技术，缺一不可
可以用一个简单的三层结构来理解：
| 层面 | 要回答的问题 | 举例 |
|---|---|---|
| 理念 | 是否接受“不预设信任” | 管理层与业务部门的共识 |
| 流程 | 谁来管、怎么管 | 权限审批、定期复核、异常处置 |
| 技术 | 用什么手段落地 | 身份认证、访问控制、审计 |
如果只有技术，没有理念和流程，效果会大打折扣。
技术这一层，也不必先建设一套庞大的新基础设施。统一身份与安全接入的思路是让“接入网络”逐步转变为“按身份和权限访问业务”，而不是简单替换 VPN；持续运营这一层，智能安全运营围绕资产、风险、威胁、数据四个方面，把发现、处置与验证连成持续运转的过程，也是同样的道理。
小结
- 产品是工具，零信任是一套做法。
- 需要改变的：默认放行的习惯、权限管理方式、持续运营机制。
- 理念、流程、技术要一起推进。