上了零信任，需要专人维护吗

一家八十人制造企业的 IT 负责人，在零信任选型会上被老板问住了。老板的问题很简单：”这东西上线以后，谁来管？要不要再招个人？”会议室安静了几秒，因为他自己也答不上来。

这个问题为什么重要：买系统的钱是一次性的，维护的人力是每个月的。一台设备配一个专职工程师，三年下来人力是设备的好几倍，中小公司扛不住。但反过来，上了系统没人管、策略半年不更新，等于装了门没人锁。

答案其实是分层的：零信任的日常维护量，取决于上线时的策略设计和系统形态。做对了设计，它不需要专人；做错了，谁都救不了。

先看零信任上线后每天到底有什么活

把”维护”这个词拆开，列出来其实就四类。

把表加总：一家一百人以下的公司，零信任的日常维护量大概是一个人每月几个小时的级别。这就是”不需要专人”这个答案的底气——前提是下面两个设计做对了。

决定维护量的两个设计

设计一：权限跟组织架构走，不要跟人走。给张三开权限、李四调权限、王五回权限，每人一条策略，一百人一百条，维护不完。换成按岗位建组：销售组能进客户系统，财务组能进账套，人挂在组里，入职入组、调岗换组、离职出组。策略只有十来条，人的变动只是挪个组。这一条设计，维护量差一个数量级。怎么把组切得合理，策略粒度里有展开。

设计二：告警要分级，别来一条看一条。设计得差的系统，发一百条告警九十九条不用管；好的配置是三级分清：必须立刻处理的（异地登录核心系统）、每天看一眼的（连续失败尝试）、每月汇总的（权限变更记录）。分级做完，值守的人心理压力和维护时间都可控。

这两个设计都是在上线时一次性做对的事，之后只受益不再花钱。选型时直接问供应商：你们的方案支持按组授权吗？告警能分几级？答不上来的直接出局。

三种人力方案，对应三种公司

有专职 IT 的公司：加任务，不加人。零信任的维护对专职 IT 来说是技能升级不是负担，账号和权限本来就是他的活，换了个地方干而已。给他两周熟悉期，之后每月几小时的增量，在原有工作里消化。

没有专职 IT 的公司：交给 IT 外包商。这是最自然的形态。零信任的维护项目（账号、审计、季度检查）列进外包合同的服务清单，验收标准用两个测试：离职账号进不了任何系统、陌生设备被拦。外包商怎么管理这些服务项，参考外包第一个月的清单里账号交接那部分。

追求极致精简的公司：选带托管服务的方案。有些方案形态本身就是”设备加服务”打包的，比如 sTrust 是羽信安 CPE 内置的零信任模块，走组网加零信任一体部署的路子，管理界面统一，托管服务可以直接跟着组网服务走。这种形态适合连外包商都不想多管理的公司：一个供应商、一个界面、一张服务单。能力边界在哪，零信任接入页有清单。

什么信号说明维护失控了

三条信号，出现任何一条就说明该回头修设计而不是继续堆人力。

信号一：同样的权限调整每周都在做。说明组没切对，人在组间反复横跳，回去重新切组。信号二：没人记得某条策略为什么存在。说明缺文档，每条策略建的时候写一句用途，半年后省下无数猜测。信号三：员工开始集体抱怨”什么都进不去”。说明默认拒绝的口子收得太紧，白名单没铺够高频场景，回去补高频放行，从哪个系统开始里观察期那段讲的就是这个节奏。

常见问题

问：零信任是不是上了就不用管了？
答：不是，但管的东西和传统运维不同：它不需要天天盯着设备，需要的是季度性的核对和随人事变动的账号操作。量不大，但归零做不到，宣称”完全免维护”的说法要警惕。

问：外包商管零信任，怎么防止他们权限过大反过来拿捏我们？
答：双账号机制：你们持管理员账号，外包商持操作账号，重大变更需要你们的账号确认。再加一条：所有操作留审计日志，按季度导出核对。机制摆好，双方都轻松。

问：一百人以上的公司呢？
答：两三百人的公司，零信任维护开始值得占一个人的一部分工时（约两三成），配合年度的安全评估。到千人规模，才会有专职安全岗的必要，那时候的问题已经不是”要不要专人管零信任”而是整个安全体系建设了。

问：上了零信任之后 IT 被投诉变多了，正常吗？
答：头两周正常，策略在磨合。持续一个月以上不正常，通常是粒度或白名单问题，不是人的问题，回去按信号清单排查设计。

小结：零信任要不要专人维护，取决于设计而不是规模。权限按组切、告警分好级，一百人以下的日常维护就是每月几小时。有 IT 的加任务不加人，没 IT 的进外包清单，想省心的选组网托管一体方案。三条失控信号：同类调整反复做、策略没人记得用途、集体抱怨进不去，都是设计问题，修设计别堆人力。