零信任听起来很玄，落到工厂里其实就是三件事

上个月去一家做汽车零部件的工厂，老板跟我说：我们预算批了30万搞"零信任"，你给我讲讲，这玩意儿到底是个啥？

我没跟他讲概念，只问了他一个问题：现在你们研发部一台电脑的账号密码，是不是全公司基本都能登录内网、打开共享盘？他愣了一下，说是。

我说，那你们现在的问题不是"要不要零信任"，而是你们现在的信任给得太随便了——任何人进了内网，就默认是好人，想拿什么拿什么。这就像小区大门看得严严实实，但进了门之后每户人家都不锁。

先说清楚：零信任到底是啥

零信任一句话就能说透：别再默认内网里的人都是好人，每次访问都要验证"你是谁、你在用什么设备、你要干什么"。

这三个验证，就是零信任落到工厂里最实在的三件事。

第一件事：认人不认网。以前只要连上公司网络，就是"自己人"。现在要改成：不管你在办公室还是在家，访问敏感系统都要过身份验证。账号+密码只是底线，核心系统最好加上二次验证，比如手机确认。搞完这一步，那种"离职员工账号半年没人管还能登服务器"的荒唐事，直接就绝迹了。

第二件事：认设备。不光要看人是谁，还要看这台电脑是不是公司的、装没装准入客户端、有没有打补丁。有客户就遇到过：员工拿自己的笔记本连内网，机器上一堆来路不明的软件，成了病毒入口。设备不合规，直接拦在门外。

第三件事：认文件。人到这一步还不算完——就算你是研发部的人，你打开的那张核心图纸，拷出去、发出去也应该是受控的。这就是零信任里最容易被忽略的一环：数据本身也要"不信任"。文件跟着加密走，离开授权环境就是一堆密文，谁拿到都打不开。很多企业做零信任做到最后发现，前面两件事防住了外人，第三件事才防得住内鬼和流失的文件。

改造路线图，别贪大求全

给这家工厂的建议分三步走：

第一步（1-2个月）：先把账号捋清楚。多少人共用一个账号、离职没销号的，全部清一遍。这一步不花钱，纯管理动作，但能消掉一大半隐患。

第二步（3-6个月）：上设备准入和身份验证，先管核心系统——服务器、PDM、财务系统，别一上来就全公司铺开，阻力会大到推不下去。

第三步（持续）：对核心资产做加密和权限收紧。图纸、源代码、报价单这些真正值钱的东西，做到"该看的人看得到，不该拿的人拿不走"。

那个30万预算的工厂，最后实际花了一半不到，先做了第一、二步，安全水平已经比绝大多数同行强了。零信任不是买个产品就完事，它是一种"默认怀疑"的做事方式——从最值钱的文件开始怀疑，错不了。