零信任不是突然出现的新概念。从“去边界化”的讨论，到“零信任”一词的提出，再到企业实践与国际标准，它经历了近二十年的演进。
零信任听起来像是近几年才冒出来的新词，实际上它的核心想法已经酝酿了将近二十年。了解这段历史，有助于理解它为什么会出现、又为什么没有停留在概念阶段。
一条简明的时间线
2004 年前后：Jericho Forum 与“去边界化”
Jericho Forum 是一个由企业安全从业者组成的国际组织。他们较早提出一个判断：随着移动办公、无线网络和外部协作增加，企业网络边界会逐步失效，安全不能再只靠“城墙”。他们把这种趋势称为“去边界化”（de-perimeterisation）。
这一阶段更多是观念上的预警：边界在消失，需要换一种方式保护数据和系统。
2010 年：“零信任”一词出现
2010 年前后，研究机构 Forrester 的分析师约翰·金德维格（John Kindervag）提出了“零信任模型”。当时的说法很直白：不应把网络内部当作天然可信，应该对所有流量一视同仁地检查和记录。
这一阶段，零信任第一次有了清晰的名字和基本主张。
2014 年起：Google 的 BeyondCorp
Google 公开发表了一系列关于 BeyondCorp 的文章，介绍其内部访问模式的转变：不再区分“公司内网”和“外部网络”，员工无论身在何处，访问内部应用时都要经过基于身份和设备状态的判断。
这是业界较早、影响较大的企业级实践。它让人们看到：零信任不只是理论，也可以在大规模企业里落地。
2020 年：NIST SP 800-207
美国国家标准与技术研究院（NIST）发布了《零信任架构》（SP 800-207），给出了零信任的基本概念、核心组件和部署思路。它不是产品规范，而是一份通用的参考框架，为各国企业和厂商提供了较为统一的语言。
这段历史告诉我们什么
- 思路在先，产品在后： 零信任首先是对“边界会失效”的回应，而不是某个厂商的发明。
- 落地需要时间： 从提出概念到形成标准，用了十年以上。企业自己的建设，同样需要循序渐进。
- 标准是参考，不是答案： 框架提供了共同语言，但每个企业仍需结合自己的业务环境去选择路径。
这些实践的核心，最后都落在“以身份和权限决定访问”上。沿着这条脉络做出来的方案，比如统一身份与安全接入，同样以零信任理念为内核，并按不同场景提供安全通、统一身份认证准入、可信接入防护三种落地方式。
小结
- 零信任的思想源于对“边界失效”的长期讨论。
- 2010 年前后有了名字，2014 年起有了大型企业实践，2020 年有了较为通用的标准框架。
- 它是逐步演进而来的，建设同样适合分步推进。