零信任是什麼：不是買一套產品，而是改變存取的方式

零信任的定義：NIST SP 800-207

NIST 在 2020 年 8 月發布 SP 800-207《零信任架構》^[2]。摘要開宗明義：零信任不會只因為資產或帳號所在的實體或網路位置（例如在公司區域網路內，而不是在網際網路上），或因為設備屬於公司，就給予隱含的信任；在連往企業資源的工作階段建立之前，要分別對使用者與設備完成鑑別和授權^[2]。保護的對象是資源（資產、服務、工作流程、帳號），而不是網段^[2]。

NIST 的正式定義是：零信任是一組概念與想法，目的是在把網路視為已遭入侵的前提下，對每一次存取請求做出精確、最小權限的存取決策；零信任架構（ZTA）則是企業運用這些概念所訂的資安計畫，涵蓋元件之間的關係、工作流程規劃與存取政策^[2]。NIST 也明說，零信任不是單一架構，而是一組關於工作流程、系統設計與維運的指導原則；轉換成零信任架構是一段評估風險的歷程，無法靠整批汰換技術完成，許多組織其實已經具備部分元素，多數企業也會有很長一段時間處於零信任與傳統邊界防護並存的狀態^[2]。

七項基本原則

NIST 列出零信任架構應遵循的七項基本原則^[2]：

1. 所有資料來源與運算服務都視為資源：包括 SaaS 與各種小型設備；能存取公司資源的個人設備，企業也可以列為資源。
2. 不論網路位置，所有通訊都要受保護：來自公司內網的存取請求，要符合和外部網路相同的安全要求，不能因為設備在公司網路上就自動信任。
3. 每個資源的存取以工作階段為單位授予：授權前先評估請求者的可信度，只給完成工作所需的最小權限；通過某一個資源的鑑別與授權，不會自動取得另一個資源的存取權。
4. 存取由動態政策決定：依使用者或服務的身分、應用程式、提出請求的設備狀態，以及其他行為與環境屬性判斷。
5. 持續監控並衡量所有自有與相關資產的完整性與安全狀態：沒有任何資產天生可信；有已知漏洞或不受企業管理的設備，可以被差別對待，甚至拒絕所有連線。
6. 所有資源的鑑別與授權都是動態的，並在允許存取前嚴格執行：這需要身分、憑證與存取管理（ICAM）及資產管理，並在部分或全部資源使用多因素驗證（MFA）；連線期間也依政策持續監控，必要時重新鑑別與授權。
7. 盡可能蒐集資產、網路基礎設施與通訊的現況資訊，用來改善安全態勢。

三個核心元件：誰決定、誰執行

NIST 把零信任架構的核心拆成三個邏輯元件^[2]：

• 政策引擎（Policy Engine, PE）：最終決定某個主體能不能存取某個資源。它依企業政策，加上持續診斷與緩解系統、威脅情資等外部資訊，透過信任演算法做出允許、拒絕或撤銷的決定，並把決定記錄下來。
• 政策管理器（Policy Administrator, PA）：執行政策引擎的決定，負責建立或切斷主體與資源之間的通道，並產生該次工作階段使用的鑑別權杖或憑證。
• 政策執行點（Policy Enforcement Point, PEP）：負責啟用、監控並在必要時終止主體與資源之間的連線。它可以拆成使用者端（例如筆電上的代理程式）與資源端（例如擋在資源前面的閘道），也可以是單一的入口網站。

NIST 用機場安檢說明傳統做法的問題：旅客通過安檢之後，在候機區裡的每個人都被視為可信；零信任的做法，是把決策點與執行點盡量移到靠近資源的地方，讓這種「隱含信任區」越小越好^[2]。用白話說，政策引擎是審核的人，政策管理器是發通行證、開關門的人，政策執行點是站在每一扇門口的警衛。

CISA 零信任成熟度模型：用五根支柱看自己在哪裡

NIST 說明零信任是什麼，美國網路安全暨基礎設施安全局（CISA）的零信任成熟度模型（ZTMM）則用來評估組織走到哪裡。目前的版本是 2023 年 4 月發布的 2.0 版^[3]。它是為了協助美國聯邦機關依第 14028 號行政命令規劃零信任而設計，但 CISA 也表示，所有組織都應檢視並考慮採用其中的做法^[3]。

模型由五根支柱與三項跨支柱能力組成：五根支柱是身分（Identity）、設備（Devices）、網路（Networks）、應用程式與工作負載（Applications and Workloads）、資料（Data），三項跨支柱能力是可視性與分析（Visibility and Analytics）、自動化與協作（Automation and Orchestration）、治理（Governance）^[3]。

每根支柱分成四個成熟度階段：傳統（Traditional）、初始（Initial）、進階（Advanced）、最佳化（Optimal）^[3]。傳統階段的特徵是手動設定、靜態政策、各支柱各自為政，最小權限只在開通帳號時設定一次；初始階段開始自動化屬性指派與政策決策，並有初步的跨支柱整合；進階階段在適用處自動化控管並跨支柱協調，集中可視性與身分控制，依風險與狀態調整最小權限；最佳化階段則是全自動、即時的動態最小權限與持續監控^[3]。以三個功能為例^[3]：

• 身分驗證：傳統階段用密碼或 MFA，存取權限是靜態的；初始階段使用 MFA（密碼可以是其中一個因素），並驗證地點、活動等多項屬性；進階階段開始對所有身分採用抗釣魚 MFA，包括以 FIDO2 或 PIV 智慧卡導入無密碼登入；最佳化階段則在整個存取期間持續以抗釣魚 MFA 驗證，不只在登入的那一刻。
• 網路分段：傳統階段是大範圍的邊界或粗粒度分段，網段內幾乎可以互通，並可能依賴承載整批流量的 VPN 通道；初始階段開始隔離關鍵工作負載；最佳化階段則是依應用程式設計的微分段，以及即時、剛好夠用的連線。
• 應用程式存取：傳統階段只讓關鍵應用程式透過私有網路或 VPN 等受保護連線存取；初始階段開始讓部分關鍵應用程式經由中介代理（brokered）的連線，在公開網路上提供給有需要的授權使用者。

CISA 強調，各支柱可以依自己的速度前進；零信任是可能要花上數年的漸進過程，初期還可能增加成本^[3]。實務上的用法是：把公司現況放進五根支柱，找出每根支柱目前在哪個階段，再挑業務最需要的一兩根訂下一階段的目標，而不是一次追求「全部最佳化」。

要補充的是，CISA 網站上這個模型的介紹頁已移到「封存內容」區，並註明封存區的資訊可能不反映現行政策或計畫^[4]。不過 2.0 版文件仍可下載，台灣資通安全署與國家資通安全研究院發布的政府機關導入指引，也以它的初始階段作為訂定身分與設備鑑別必要功能的參考^[5]。

NIST SP 1800-35：19 個實作範例的教訓

想知道零信任「實際上長什麼樣子」，可以看 NIST 國家網路安全卓越中心（NCCoE）的 SP 1800-35《實作零信任架構》。這份實務指引在 2025 年 6 月發布正式版：NCCoE 與 24 個合作單位簽訂合作研發協議，用市售產品組出 19 個零信任架構實作範例，整理最佳實務與經驗，並把零信任原則與技術對應到常用的資安標準與指引^[6]。範例涵蓋強化身分治理（EIG）、軟體定義邊界（SDP）、微分段與安全存取服務邊緣（SASE）等做法，網頁版並對應到 NIST CSF 1.1 與 2.0 及 SP 800-53 第 5 版^[7]，可以搭配 NIST CSF 2.0 閱讀。這份指引並不限於聯邦機關，但工控（OT）與物聯網環境不在範圍內^[7]。

對要選購產品的人，這份指引有幾個重要提醒^[7]：

• 沒有一套零信任架構適合所有組織：要依組織的需求、風險承受度與既有投資來設計。
• NCCoE 不認證、不驗證、也不背書任何產品：範例只是展示參與廠商的技術能做到什麼，組織應自行判斷哪些產品最能整合既有工具。
• 常見的阻礙是基礎沒打好：例如誤以為零信任只適合大型組織、需要大筆投資，而不了解它是一組適用於任何規模組織的指導原則；或是缺乏足夠的資產清冊、使用者角色定義，以及對內部通訊與使用模式的掌握。

NCCoE 依實作經驗建議七個步驟：盤點現有環境（硬體、軟體、應用程式、資料與服務）；依業務需求訂定預設拒絕、最小權限的存取政策；盤點既有資安能力，能沿用的盡量沿用；依資料價值以風險為基礎補齊缺口，決定如何分段；分階段導入，以身分、憑證與存取管理（ICAM）和依風險套用的 MFA 為基礎，再加上能評估設備健康並與 ICAM 整合的端點防護；驗證實際執行的政策與定義一致，並定期以各種情境測試；最後隨威脅、業務、技術與法規變化持續調整^[7]。

台灣的要求：政府機關與上市櫃公司

政府機關：身分鑑別、設備鑑別、信任推斷

台灣政府推動零信任，源自第六期《國家資通安全發展方案（110 年至 113 年）》：方案要求評估並導入零信任網路，逐步試行以驗證可行性，分年目標是 111 年推動 2 個機關導入身分鑑別機制、112 年 2 個機關導入設備鑑別機制、113 年 2 個機關導入信任推斷機制^[8]。

國家資通安全研究院（資安院）說明，政府零信任架構參考 NIST SP 800-207，採「資源門戶」部署方式：所有對資通系統的存取，不論來自內部或外部網路，都必須且只能經過以反向代理隱藏內部網路路徑的「存取閘道」，相當於 NIST 架構中的政策執行點；是否放行則由三大核心機制決定^[9]：

• 身分鑑別：多因子身分鑑別與鑑別聲明，以 FIDO2 等無密碼雙因子方式鑑別使用者。
• 設備鑑別：透過 TPM 或代理程式產生金鑰與憑證，完成設備註冊與鑑別，並持續監控設備健康狀態（作業系統、防毒與應用軟體是否更新、組態是否合規），換算成信任等級。
• 信任推斷：依每次存取的情境，包括身分鑑別方式、設備鑑別方式、設備健康、IP 位址與登入時間，計算信任分數，決定是否允許存取。

適用對象與時程方面，資安院表示，數位發展部資通安全署規劃投入經費，優先推動資通安全責任等級 A 級的公務機關導入^[9]；數位發展部 2024 年 4 月的列管資料也記載，規劃在 2024 年底前完成資安 A 級機關導入零信任身分驗證制度^[10]。第七期《國家資通安全發展方案（114 年至 117 年）》回顧，111 至 113 年已分別在文化部及退輔會完成三項機制的試行，並有 16 項身分鑑別產品與 3 項設備鑑別產品通過功能符合性驗證；接下來的工作是輔導中央機關導入零信任架構、研訂政府機關導入指引，並先以零信任工具建立身分鑑別機制，作為日後導入設備鑑別與信任推斷的基礎^[11]。

資安署與資安院在 2024 年 12 月發布的《政府機關導入零信任架構參考指引－身分與設備鑑別》寫明，政府推動優先以身分與設備鑑別為目標，信任推斷的指引之後再研訂；指引並建議先挑選重要資通系統的特權帳號、可接觸大量個資或機敏資料的高權限帳號，以及機關外部人員的帳號導入，從小範圍試行，再依結果逐步擴大^[5]。資安院也對廠商產品做零信任功能符合性驗證：截至 2026 年 8 月 14 日更新的名單，同時通過身分鑑別、設備鑑別與信任推斷驗證的產品有 4 項；但名單註明，資安院只檢測產品的零信任功能，產品本身的安全性不在檢測範圍，名單也只供政府機關推動部署時參考^[12]。

要分清楚法律層次：2026 年 1 月 7 日修正的《資通安全責任等級分級辦法》，附表一至附表十（各級公務機關與特定非公務機關的應辦事項、資通系統防護需求分級原則與防護基準）都沒有「零信任」這個項目^[13]。附表十的防護基準只要求防護需求等級「高」的資通系統，對系統的存取採取多因子鑑別；「中」與「普」的系統則要求識別及鑑別使用者、禁止使用共用帳號^[14]。換句話說，上述的零信任推動是政府對公務機關的政策計畫，不是加在一般企業身上的法定義務；受資安法規範的特定非公務機關，仍以分級辦法的實際條文為準，相關義務見資通安全管理法。

上市櫃公司：第二十二條要你「評估」

證交所在 2026 年 11 月修正《上市上櫃公司資通安全管控指引》，修正條文對照表的日期為 115 年 11 月 9 日^[15]。和零信任直接相關的有三條^[1]：

• 第二十二條：建立使用者密碼管理的作業規定，「並評估於核心資通系統採取多因子鑑別等零信任架構(Zero Trust Architecture)」。修正前（原第二十一條）的用語是「多重認證技術」；修正說明表示，這次修正參考了分級辦法防護基準中識別與鑑別、密碼管理及多因子鑑別的要求，並參酌政府及金融業推動零信任架構的相關政策^[15]。
• 第十八條：依網路服務需要區隔邏輯網域，並區隔開發、測試與正式環境；核心系統或機敏性資料區域，「宜進一步運用微分段(Micro-segmentation)技術細化隔離邊界」。
• 第二十五條：遠端存取要有安全的連線機制（如 VPN、VDI），並採多因子鑑別、加密連線、最小授權原則、完整的操作稽核軌跡、異常行為監控與漏洞更新等措施。

第二十二條用的是「評估」，不是「應導入」；指引第四十四條也規定，除法令與證交所、櫃買中心章則另有規定外，公司可以依產業特性、規模大小與資安風險適度採行^[1]。但評估最好留下書面紀錄：哪些是核心資通系統、各自用什麼方式登入、哪些已經有 MFA、還沒有的打算何時補上。指引其他條文的變動見上市上櫃公司資通安全管控指引。

一般企業的導入順序

零信任不是大企業專屬，NCCoE 明白表示它是一組適用於任何規模組織的原則^[7]。以下順序綜合 NIST、CISA 與台灣政府指引的建議，每一步都能單獨產生效益。開始之前要先盤點：NIST 指出，政策引擎要完整掌握資產、使用者與業務流程才能做決定，資訊不完整時最常見的結果是正常業務被誤擋，未被 IT 掌握的「影子 IT」尤其麻煩^[2]。先列出核心系統、誰需要存取、從哪裡存取，是後面每一步的前提。

第一步：身分，SSO 加上抗釣魚 MFA

把雲端服務、VPN 與內部系統盡量接到同一個身分提供者（SSO），全面啟用 MFA，管理者與核心系統優先改用 FIDO2、通行金鑰等抗釣魚 MFA。這對應 CISA 模型身分支柱的進階階段^[3]，也是 NCCoE 建議的起點^[7]。MFA 的選擇與推行順序見 MFA 導入指南；Microsoft 365 與 Google Workspace 的條件式存取與管理帳號設定見雲端辦公室安全基準；如果身分來源是 AD，先處理 AD 與特權帳號防護，否則身分層本身就是最大的破口。

第二步：設備，只讓受管且合規的設備進來

NIST 的第五項原則要求持續監控設備的安全狀態，對有已知漏洞或不受管理的設備可以限制甚至拒絕連線^[2]。NCCoE 把能評估設備健康、並與身分系統整合的端點防護，列為初期的另一個基礎元件^[7]。做法是用端點管理工具掌握每台設備的狀態，再讓存取政策參考這些狀態；台灣政府架構採用的設備健康項目（作業系統更新、防毒更新、應用軟體更新、組態合規）可以當作起點清單^[9]。

第三步：從「連進整個網路」改為「逐一應用程式存取」

VPN 的根本問題是：攻擊者只要用被入侵的設備或帳號連上 VPN，就可能存取組織網路內的所有服務^[16]。美國、紐西蘭與加拿大五個機關的聯合指引指出，CISA 已發現超過 22 個與 VPN 入侵相關的已知遭利用漏洞（KEV），並介紹零信任網路存取（ZTNA）等以細緻存取政策為基礎的方案：ZTNA 透過存取代理驗證使用者身分與政策規則，只授予最小權限，並可檢查設備安全狀態、強制 MFA^[16]。指引也提醒，從 VPN 轉換需要規劃並分階段進行，轉換期間要阻擋對控制平面的存取、使用專用管理介面、持續修補並分析 VPN 的遙測資料、使用 MFA^[16]。NCCoE 的做法可以參考：從全通道 VPN 轉換到以應用程式為單位的通道時，先維持全通道並觀察實際流量，再依使用者類型只開放必要的流量^[7]。VPN 設備本身的強化見邊界設備強化清單。

第四步：切分關鍵系統

NCCoE 指出，還在仰賴邊界防護時，等於所有資源都躲在同一道邊界防火牆後面；導入零信任時應把基礎設施切小，關鍵資源各自放在由執行點保護的信任區，價值較低的資源可以共用一區^[7]。CISA 模型的初始階段同樣是「隔離關鍵工作負載」^[3]，證交所指引第十八條也建議核心系統運用微分段^[1]。可以先從最重要的幾台伺服器、資料庫與管理介面做起，不必一次把全公司都微分段。

第五步：日誌與持續驗證

NIST 第七項原則要求盡可能蒐集資產、網路與通訊的狀態資訊來改善政策^[2]，CISA 則把可視性與分析列為貫穿五根支柱的能力^[3]。NCCoE 建議定期用各種情境測試政策是否如預期：受管與不受管的設備、有權與無權的使用者、從公司內部或從網際網路連線^[7]。身分、設備、存取閘道與 VPN 的日誌要集中保存，保存期間與優先順序見日誌策略。

常見陷阱

• 先買產品，身分基礎還沒打好：NIST 明說零信任無法靠整批汰換技術達成^[2]。如果帳號還在共用、管理者沒有 MFA，再昂貴的閘道也只是在驗證一組可能已外洩的密碼。資安院的驗證名單也只檢測零信任功能，不檢測產品安全性^[12]。
• 入口換了，扁平網路沒動：聯合指引提到，Volt Typhoon 就是利用 VPN 連線，以管理者憑證在受害網路中橫向移動，並混入正常流量躲避偵測^[16]。只把入口換成 ZTNA、內部網路仍然互通，攻擊者一旦進來，損害一樣擴散。
• 被單一廠商綁住：零信任要整合多種資料來源，NIST 提醒專屬格式可能讓企業被少數供應商綁定，評估廠商時要把資安控制、轉換成本與供應鏈風險一起納入^[2]。
• 政策散落在各個產品：NCCoE 發現存取規則常分散在端點、身分、網路與資料等不同元件，建議明確記錄每條規則的內容與設定位置^[7]。
• 決策元件成為新的單點：政策引擎與管理器一旦被入侵、設定錯誤或無法連線，可能放行不該放行的存取，或讓整個企業停擺；要嚴格限制設定權限、記錄並稽核變更，並考慮備援^[2]。

行動清單

• 用 NIST 七項原則當檢查表，請廠商逐項說明產品負責哪一部分、需要哪些既有元件配合。
• 盤點核心資通系統、使用者角色與存取來源，列出目前誰能從哪裡連到哪些系統。
• 以 CISA 五根支柱自評目前所在階段，訂出未來一年每根支柱的下一步。
• 所有雲端服務、VPN 與核心系統接上 SSO 並啟用 MFA，管理者與高權限帳號優先改用抗釣魚 MFA；核心系統只接受受管且合規的設備。
• 先強化現有 VPN，再挑一兩個應用程式試行以應用程式為單位的存取，觀察流量後逐步擴大。
• 把核心系統、資料庫與管理介面切到獨立網段，只開放必要的連線。
• 集中身分、設備與存取日誌，每季用固定情境測試存取政策是否如預期。
• 上市櫃公司：把第二十二條的評估結果寫成書面紀錄，納入向董事會或管理階層的資安報告。
• 需要外部協助盤點與做差距評估時，可以參考資安健檢服務。