零信任同时牵涉业务访问、身份与基础设施、安全策略与审计，必须由业务、IT、安全三方协同。三方各管什么、如何沟通，这里一次理清。
零信任项目里常听到这样的抱怨：业务说“为什么又让我改访问方式”，IT 说“策略到底谁来定”，安全说“业务不配合”。问题不在某一方，而在于零信任本身横跨三个部门：业务、IT、安全。没有协同机制，项目很容易卡在边界上。
为什么必须三方协同？
零信任的每一次访问判断，都同时涉及三类内容：谁需要访问什么（业务）、身份与终端如何管理、基础设施如何配合（IT）、策略如何制定与审计（安全）。任何一方缺位，策略就会过严或过松。
三方各自负责什么
可以把三方职责梳理为“业务提出需求、IT 提供基础、安全定规则并监督”。
| 角色 | 主要职责 | 典型工作 |
|---|---|---|
| 业务部门 | 提出访问需求，确认访问范围的合理性 | 说明哪些人需要访问哪些业务；确认权限变更的影响 |
| IT 部门 | 负责身份、终端与基础设施 | 维护账号来源与组织架构；部署接入入口；保障网络与系统稳定 |
| 安全部门 | 制定策略，监督执行与审计 | 定义访问策略与例外流程；分析日志；跟进风险 |
在此之上，还需要管理层给出目标、授权与资源，并有一个明确的项目负责人。日常的协同机制建起来后，像智能安全运营这类平台能让三方看到同一份数据,减少“各说各话”。
协同中容易出现的冲突
- 安全要求严，业务嫌麻烦： 需要用风险分级，把验证力度与业务重要程度挂钩。
- IT 担心稳定，业务担心中断： 需要回退预案和变更窗口，在可控的前提下推进。
- 身份数据归属不清： 谁是账号的“权威来源”，要事先约定，否则会出现多套数据互相矛盾。
怎么建立协同机制？
- 设项目负责人： 对整体进度和协调负责，避免“三个部门都管，也都不管”。
- 约定决策边界： 策略谁提议、谁审批、谁执行、谁复核，用一张表写清楚。
- 固定沟通节奏： 每周同步进度和问题，重要变更提前通知。
- 共享指标： 用覆盖率、工单量、拦截数等共同的指标，而不是各看各的数据。
- 建立例外流程： 业务确有特殊需要时，有明确的申请、审批与到期回收方式。
不同阶段，协同重点不同
- 规划阶段： 业务负责人参与梳理访问关系，安全与 IT 共同评估现状。
- 试点阶段： IT 保障稳定，业务提供反馈，安全跟进策略效果。
- 运营阶段： 三方定期复盘，策略、例外、指标一起评审。
小结
- 零信任同时涉及业务、IT、安全，必须三方协同。
- 职责大致是：业务提需求、IT 做基础、安全定规则和监督。
- 靠项目负责人、决策边界、固定节奏和共享指标来保障协同。