小公司做零信任，从哪个系统开始

一家四十多人公司的行政负责人问过一个问题，问得很实在：”零信任这个词听了两年，总觉得是大企业的事。我们全公司就一台服务器跑着订货系统，财务用着云记账，这种规模谈零信任，是不是太兴师动众了？”

这个问题背后藏着两个误解。一个是把零信任理解成了一整套要花大价钱的系统工程；另一个是以为安全是按公司规模配的。其实零信任是个思路：每个访问都验明正身，权限只给到刚好够用。这个思路落到四十人的公司，可能就是两三个系统的事，动手之前想清楚从哪开始就行。

怎么选这第一个系统，有一条好用的判断标准。

从”外面的人最想碰”的系统开始

不是从最重要的系统开始，也不是从最旧的系统开始，是从外面的人最想碰的系统开始。

小公司的系统清单通常不长，挨个问一句：如果有人想搞破坏或者捞一票，他会先惦记哪个？答案往往很集中：存钱和存客户的地方。具体到系统，就是三类候选。

多数小公司的答案落在前两行：先管财务系统和客户数据。这两个有个共同点——它们的登录都可以在不动系统本身的前提下加一层验证，实施阻力小，见效快。

第一个月只做三件事

选好了系统，第一个月不要贪多，三件事。

第一件，把共用账号拆掉。全公司一个账号登录财务系统，这是小公司最常见也最危险的形态：出了事无法区分是谁干的，离职等于全员工换密码。拆开就是每人一个账号，工作量就是行政花一个下午建账号，系统自带的功能。

第二件，给这个系统加一道门。门的意思是：访问这个系统不再直接到达，而是先过一道验证——确认是这个人、这台设备，再放进去。云上的系统大多支持对接统一的登录入口，老系统可以在网络层做。四十人的规模，这道门的维护量接近于零，因为策略很简单：在职的人能进，离职的人进不来，仅此而已。

第三件，把离职回收变成自动的。做了前两件，这一件是水到渠成：账号跟人走，人走了关账号，所有系统的门一起关。不再需要行政挨个系统去停用，也不再有遗漏。小公司人流动快，这一条的价值反而比大公司更明显。

这三件事都不碰业务逻辑，不需要停机改造，一个月里零碎时间就能做完。做完之后回头看，”零信任”三个字没有出现任何一次采购大单，但它最核心的三条，身份唯一、验证后访问、权限可收回，已经全部落地。

不需要的先别买

顺着说几句什么不用急着做，免得被销售带着走。

终端管理整套平台不急。四十台电脑统一管控听着安心，但它的主要价值在终端密集、人员结构复杂的场景。人少的公司，管好入口比管好每台电脑性价比高得多。

复杂的行为分析不急。基于机器学习的异常检测是大厂故事，小公司的异常用基础规则就能覆盖：非工作时间登录、陌生设备、短时间内多次失败，这三条规则挡住的事故占了绝大多数。

一次上全部系统不急。从一个系统开始跑顺，第二个月把 ERP 和文件服务器纳进来，第三个月看情况。每一步都有明确的验收：能进的人对不对，离职的人是不是真的进不来了。

怎么验证做对了

小规模的好处是验证简单，两个测试就够。

测试一：拿一个刚离职（或模拟离职）的账号，把全部系统试一遍，应该一个都进不去。测试二：拿自己的账号从一台陌生设备登录，应该被拦下来要求额外验证。这两个测试每季度做一次，十分钟，比任何报告都诚实。

如果做的时候用的是 sTrust 这类方案，过程会更省事一些：sTrust 是羽信安 CPE 内置的零信任模块，小公司常见的形态是搭着组网一起上，门和路一次到位。能力和边界在零信任接入页有清单，四十人规模的典型做法也有例子。它管不到的地方也要清楚：终端上的拷贝、截图这些属于另一套手段的领域，边界问题在零信任管的是门不是口袋里写过，先有预期再动手，后面不会有落差。

常见问题

问：我们系统都在云上（SaaS），还需要零信任吗？
答：云系统自己有账号体系，但两个缺口它管不了：账号共用的陋习，和离职后账号还活着的遗漏。零信任的做法对云系统同样适用，而且对接通常更简单。

问：员工会不会觉得被监视？
答：把话说在前面。上线时明确告知：验证的是设备和身份，不是屏幕和聊天记录。管门不管口袋，是能讲清楚也是应该讲清楚的边界。沟通做在前面，抵触会小很多。

问：没有专职 IT，谁来做这件事？
答：第一个月的三件事，行政照着清单就能推动，技术动作都是配置级别的。或者交给 IT 外包商，列入常规服务项，验收就用上面那两个测试，不需要专业背景也能判断做没做对。

问：做了这些，是不是就不会被黑了？
答：不是。这套做的是把”进来了随便走”变成”进来也走不远”，是损失限速器。真正的防线从来是分层的，出口的边界、终端的杀毒、员工的意识，各有各的位置。

小结：小公司做零信任不是兴师动众，从外面的人最想碰的系统开始，通常是财务和客户数据。第一个月三件事：拆共用账号、加一道验证门、离职回收自动化。终端平台、行为分析、全系统铺开都先缓一缓。验收就两个测试：离职账号进不去任何系统，陌生设备登录被拦。每季度花十分钟复测一次。