零信任

一种IT安全框架，要求对每位试图访问专用网络资源的个人和设备进行严格的身份验证。

零信任是一种IT安全框架，其核心原则是“永不信任，始终验证”。传统的基于边界的安全架构常被描述为“城堡与护城河”体系——一旦用户或设备进入内部网络便予以信任——与之不同，零信任假设威胁同时存在于网络外部和内部。它要求对每一个试图访问资源的用户、设备和应用进行持续的身份验证、授权和校验，无论其位于何处。 为实施零信任，企业会部署多因素认证（MFA）、身份与访问管理（IAM）、微隔离以及终端安全等技术。企业不再授予宽泛的网络访问权限，而是将权限限制在用户完成其特定任务所需的绝对最低限度，这一理念被称为最小权限原则。 对科技和软件投资者而言，零信任代表着企业支出的一次长期结构性转变。随着企业迁移至云原生环境并支持远程办公，传统的虚拟专用网络（VPN）和防火墙正逐渐过时。提供原生零信任解决方案的公司往往享有高估值、高净收入留存率和强大的定价权，因为它们的产品对于防止代价高昂的数据泄露至关重要。 在评估这一领域的公司时，投资者应关注年度经常性收入（ARR）和客户获取成本等关键指标。一个常见的误区是高估传统网络安全厂商的能力；许多以硬件防火墙为主的老牌供应商试图通过收购或软件补丁将自己包装成零信任厂商，但它们可能缺乏云原生、纯零信任平台所具备的可扩展性和效率。

一家公司从传统 VPN 过渡到零信任网络访问（ZTNA）模式。在旧系统下，员工一旦输入密码，就能访问全部 50 个内部应用。在新的零信任模式下，员工必须通过 MFA 验证身份，并且其设备的安全状态会被检查。随后，他们仅被授予访问其工作所需的 3 个特定应用的权限，从而使公司的内部攻击面减少 94%（50 个应用中有 47 个对该用户隐藏）。