上了零信任员工嫌麻烦，问题多半不在零信任本身（2026）

零信任上线第三周，网管开始听到同一句话：”以前点一下就能进，现在怎么这么麻烦。”

这句话通常会被理解成”安全做过头了”，于是有人提议放宽策略，把几个部门整个放进来。放宽之后抱怨没了，管控也一起没了。

但员工说的”麻烦”，其实有三种完全不同的来源。分不清这三种，任何调整都是瞎猜。

先说清楚是哪一种麻烦

抱怨听起来一样，成因不一样，解法也不一样。

分不清的后果很直接：第三种被当成第一种处理，于是去简化认证，问题没解决；第二种被当成”再等等就习惯了”，于是一个真缺口留了半年。

一刀切是摩擦的主要来源

常见的省事做法有三种，短期都有效，长期都会回来找你。

按部门整块放。销售部要访问客户系统，于是整个销售部都能访问客户系统。看起来合情合理，但这个策略默认了”同一个部门的人需要的东西一样”。现实是老销售要导出报表，新入职的实习生只需要查自己的单子，两者权限需求差一个量级。

按网段放。办公室网段全放，家里全不放。这个策略在疫情期间会被直接推翻，而且它管的是位置，不是人。员工在办公室用个人电脑一样能进，这是很多事后追查里最尴尬的一环。

按角色放但角色只有三个。管理员、普通员工、外部人员。三个角色覆盖不了真实业务，最后所有人都会被塞进”普通员工”，等于没分。

这三种做法的共同点是：都在用”最能省事的维度”切，而不是用”业务真实的访问关系”切。

粒度该细到什么程度

不是越细越好。细到每条记录都要单独审批，管理员自己会先崩。合理的粒度有一个可操作的判断方法：看这条权限被收回时，会不会牵连到一个不需要被收回的人。

会牵连，就说明太粗；不会牵连但仍然要频繁手工改，说明太细。

落到具体的做法上，通常是四个维度叠加，而不是选一个。

谁：具体到人，不是到部门。人可以挂在组里，但策略要认人。

访问什么：具体到应用或系统，不是到整个内网。财务系统和管理系统不该是同一个授权。

从哪来：公司网络、家庭宽带、手机热点、出差酒店，这几种的可信程度确实不一样，但不该简单地全放或全拒。

什么时候：上班时间以外的访问不是都要拦，但需要额外确认。这一条往往是最有效又不扰民的。

四个维度不必一次全上。先做”谁”和”访问什么”，就能解决绝大部分问题，”从哪来”和”什么时候”作为加固。

默认拒绝怎么落地才不挨骂

“默认拒绝”是零信任的基本原则，也是最容易被说成”什么都不能干”的一条。它真正的含义是：没有明确允许的，不放行。落地时有三个动作可以显著降低摩擦。

第一，先把业务清单采全。上线前花一周，让每个部门报一遍”你每天要访问哪些系统”，报上来的清单往往比 IT 自己猜的少一半。清单不全，默认拒绝就等于随机拒绝。

第二，常用访问走白名单优先。把每个岗位最高频的三到五个系统先明确放行，剩下的按需申请。员工的体感取决于高频操作顺不顺，低频操作的审批反而显得合理。

第三，拒绝要给出原因和出口。被拒绝的页面如果只写”无权限”，员工只能来找网管。如果写明”你需要访问 XX 系统，申请入口在 YY”，大部分工单会自己消失。

分阶段上线，每阶段有判据

一次性全量切换，是摩擦最大的做法。分三段走，每段都有可以核对的判据。

第一段，观察期。策略只记录不拦截，跑一到两周。判据：拿到一份真实的访问关系清单，能看出谁在什么时间访问了什么。这一段不改任何人的使用习惯，所以不会有投诉。

第二段，灰度。选一到两个配合度高的部门正式启用。判据：这两个部门的工单量在启用后一周内回落，说明策略基本贴合。如果工单一直不降，别急着扩，先回去改策略。

第三段，全量。判据不是”没人投诉”，而是”投诉集中在同一类问题上”。集中说明是策略问题，可以一次改掉；分散说明是认知问题，需要培训。

这三段加起来通常要一个月以上。听起来慢，比全量上线后花三个月打补丁要快。

如果公司还没有做过零信任，或者不确定从哪一类业务开始，可以先看零信任接入这一页列的能力范围，再回去对自家系统清单。

零信任解决不了的三件事

把不该它管的事推给它，是体验问题的另一个来源。

它管不了人把东西拷走。文件能被打开，就能被截图、拍照、另存。零信任管的是”能不能进这个门”，不是”进门之后往兜里装了什么”。这一块要靠终端管理、水印、审计这类手段，是另一套东西。这一点在零信任能防住员工把资料拷走吗里写得更细。

它管不了慢。如果员工抱怨的是速度，先排查线路和带宽，再看接入点位置。加密本身的开销在现代设备上通常不是主因。

它管不了流程。权限申请要找谁批、批多久，是管理问题。零信任只能把审批入口做得清楚，没法让一个三天才批的流程变快。

把这三件事分出去，剩下的问题基本都能在策略层面解决。

常见问题

问：员工说登录步骤太多，能不能只用一个密码？
答：可以把多个系统的登录整合成一次认证，这是体验优化。但不能为了少一步就把二次确认全部去掉，尤其是从非常用地点访问核心系统的时候。

问：老板要求”内部人全部放开”，怎么回应？
答：用数据回应。观察期的记录能直接回答”放开之后会多出哪些访问关系”。多数情况下，看到具体清单后，要求会变成”这几个系统放开就行”。

问：外部厂商要临时访问，怎么给权限？
答：给到具体系统、具体时间段，到期自动失效。不要给一个长期账号，也不要给整个网段。外部人员临时授权的做法可以参考外部人员临时授权怎么给。

问：策略调整过几次之后，怎么知道现在是不是还在正轨上？
答：每季度抽一次清单，核对三件事：离职人员的账号是否已经失效、长期未使用的授权是否还在、有没有出现”所有人都能访问”的策略。这三条能挡住绝大多数失控。

小结：员工嫌麻烦的时候，先问清楚是登录麻烦、权限被拒还是速度慢，这三种的解法完全不同。策略粒度按”谁、访问什么、从哪来、什么时候”四个维度叠加，先上两个维度就够用。上线分观察、灰度、全量三段，每段都有可核对的判据，比全量之后打补丁快得多。