去年深秋跟做连锁零售的CIO老周吃饭，他刚从一场跨部门骂战里脱身。
前一年他们家丢了近三百万条用户手机号数据，溯源下来是外包运维的VPN账号被盗，黑客拿着账号在公司内网晃了三天，没人发现。老板拍着桌子要求三个月内把零信任体系搭起来，老周咬咬牙订了行业顶贵的身份认证产品，上线第一天就炸了。
早高峰的门店收银台，收银员每扫三件商品，系统就弹一次人脸验证。排队的顾客从柜台排到了店门口，门店经理的电话从早上八点打到下午两点，老周躲在消防通道抽了半包烟，连客服的电话都不敢接。
最先搞砸的从来不是技术是业务场景
说实话，这不是老周一个人的问题。我见过太多团队上零信任，从一开始就走偏了——把身份认证等同于“所有操作都要多因素验证”，完全没去摸清楚一线业务到底是怎么跑的。
收银员扫商品码是高频、低风险的重复操作，你非要每次都加人脸验证，跟给早高峰的地铁口加三道安检有什么区别？黑客真要偷数据，根本不会在收银台耗时间，他们盯着的是没人值守的生产数据库接口，是没有权限校验的财务付款通道。
老周后来复盘的时候说，当时产品厂商的实施工程师连门店的作业流程都没问，直接把所有内部系统的访问规则都设成了“账号密码+人脸验证”，连员工登内部食堂的订餐系统都要刷脸。这种配置，不炸才怪。
身份认证的核心不是堆验证强度是做风险分级
很多人对零信任的“永不信任始终验证”有误解，觉得就是不管什么情况，都要把所有验证手段拉满。真不是。
你想想，你每天早上到公司开电脑，登自己的常用办公软件，要是每次都要插Ukey、刷人脸、输动态验证码，这班还上不上了？动态风险评分才是这套体系能落地的核心——系统会实时拉取访问的上下文信息，给当前的请求打个分，分数到了对应的阈值，才触发对应的验证规则。
比如你在公司常用的办公IP段，用已经绑定过的公司配发的笔记本，访问内部OA的普通公告页面，风险分极低，输一次密码就能过；要是同一个账号，突然在凌晨三点，用从来没登记过的境外IP，要访问财务系统的付款接口，不管登录的人是不是你本人，系统都要立刻触发最高级别的验证——人脸+直属主管的二次审批，甚至直接暂时冻结账号。
我之前碰到过吹得天花乱坠的销售，拍着胸脯说他们的产品能实现99%的无感知验证，结果细问才知道，他们连客户的业务系统访问频次清单都没梳理，上来就把所有规则都套上去，最后能有30%的无感知率就不错了。别信那些吹得没边的承诺，真正好用的系统，都是跟着客户的业务场景一点点磨出来的。
别上来就买全套先啃最痛的那一块
老周后来调整方案的时候，没有再追求全公司一步到位的覆盖。他先挑了两个最容易出风险、业务部门又最痛的场景下手。
第一个是外包供应商的远程访问。之前给的都是固定VPN账号，谁拿着都能登，权限还开得特别大。调整之后，所有外包账号都绑定专用的访问设备，只能登自己负责的那几个测试环境接口，连生产数据库的入口都看不到，所有操作全程录屏，留存六个月。第二个是财务的大额付款操作。之前只要财务主管输个密码就能转款，现在加了风险判断，只要转款金额超过五十万，必须主管刷脸+老板的二次确认，操作记录直接同步到审计部门的后台。
这两块改完，前后只花了一个半月，之前闹得最凶的业务部门连一句抱怨都没有。毕竟供应商乱碰生产库的风险没了，大额付款的安全责任也不用财务一个人扛，谁会反对？
很多团队上零信任最容易犯的错，就是追求大而全。刚启动就想把所有员工的所有系统权限都梳理一遍，光拉着各个部门开权限梳理会就能耗两三个月，还没等上线，业务部门早就怨声载道了。最小权限原则从来不是说要把所有人的权限都砍到最低，而是先把那些最容易出风险的口子堵上，再慢慢拓展。
还有个很容易被忽略的细节——身份生命周期的自动回收。之前我碰到过一个公司，员工离职都半个月了，还能登内部的云网盘，就是因为HR的离职流程和IT的身份系统没打通，中间漏了一个权限回收的节点。这种漏洞，比你给普通登录加三层验证的风险大得多。
上次跟老周通电话，他说现在系统跑了快一年，再也没出过账号被盗的事。门店的收银员早就忘了之前人脸验证的糟心事，因为现在收银系统直接绑定了固定的收银设备，只要是那台机器登上去，根本不需要额外验证。总部的人要登收银系统看销售数据，才需要走多因素验证流程。
其实哪有那么多高大上的技术概念啊。能让一线员工不觉得麻烦，又能把安全风险堵上的方案，就是好方案。