零信任喊了这么多年，真正卡脖子的是那堆没人敢动的老权限

零信任这个概念进入安全圈视野已经快十五年了。从最早“永不信任、始终验证”的理念宣贯，到后来各类架构指南、成熟度模型铺天盖地，再到近两年与身份治理、微隔离、SASE 打包成一套套解决方案，几乎每一场安全发布会都绕不开它。按理说，喊了这么多年，该踩的坑踩过，该交的学费交过，落地率总该好看了。但现实是，真正把零信任跑通并持续运转的组织，比例远没有宣传口径里那么乐观。

问题出在哪？很多人第一反应是技术不成熟、成本太高、组织协同难。这些说法都对，但都不够致命。真正卡住脖子的，往往不是新系统建不起来，而是那堆没人敢动的老权限——它们像建筑承重墙里的钢筋，锈迹斑斑，却支撑着整栋楼的现有结构，谁提拆除谁背锅。

所谓老权限，形态五花八门。最常见的是历史遗留的静态账号和长期有效的访问密钥。业务上线时图省事，给某个服务开了一个永不过期的凭证，后来服务迭代了七八轮，凭证还在用，责任人早已调岗，文档里查不到，监控里看不见。零信任要求每次访问都动态鉴权，可这些凭证天然绕过了鉴权链路，等于在城堡的侧墙上留了一扇没有锁的后门，而门后堆满了核心数据。

还有一类更隐蔽：基于网络位置形成的隐式信任。早年间的安全模型默认“内网即可信”，于是大量内部系统之间的调用直接靠 IP 白名单放行，数据库只对某个网段开放，中间件之间的通信不做身份校验。这种设计在当时是合理的效率选择，但放到零信任语境下就成了最尴尬的存在——你要做微隔离，就得先搞清楚这些调用关系；可这些调用关系往往没有任何登记，只能靠流量镜像一点点反推。反推出来的图谱还未必准，因为很多调用是低频的、季节性的，平时不出现，一到结算周期或大促就冒出来。贸然收紧策略，轻则业务报错，重则直接中断，没人敢签这个字。

更麻烦的是权限背后的组织惯性。一套跑了十年的权限体系，往往对应着一套跑了十年的审批流程和岗位分工。谁有权批、批到什么粒度、异常怎么兜底，这些都已经固化成肌肉记忆。零信任要求最小权限、持续评估、动态授权，本质上是把“一次性发通行证”改成“每次进门都验身份”。这在流程上意味着审批频次上升、责任边界重划，而很多组织的考核机制并不奖励“主动收权”，只惩罚“出事”。于是理性的选择就是维持现状，把老权限原封不动地供起来，新系统另起炉灶做增量，两套体系并行，风险敞口一点没少。

这几年行业里有个值得注意的动向：身份治理和权限清理由边缘话题逐渐走到台前。一些大型组织开始做权限盘点，把“僵尸账号”“过度授权”“长期凭证”单独列成治理专项。这其实是零信任真正落地的必经一步，也是最难的一步。技术工具能帮你发现哪些权限在沉睡，但删不删、什么时候删、删了谁负责，全是管理问题。很多项目卡在“发现了一万多个高风险权限，然后呢”这个问号上，报告写完就归档，没人推动闭环。

从技术路径上看，破解这个困局有几个方向值得认真对待。一是把凭证生命周期管理做成强制能力，短时令牌、自动轮换、用后即焚，让长期凭证没有生存土壤，而不是靠人工定期清理。二是用流量和行为数据自动生成调用基线，把隐式信任关系显性化，先观测再收敛，给业务方一个可回退的过渡期，降低“不敢动”的心理门槛。三是把权限变更纳入变更管理的主流程，和发布、扩容一样有评审、有灰度、有回滚，而不是当成安全部门的私活。这三点说起来平淡，但每一条都在跟存量惯性较劲。

还要泼一盆冷水：零信任不是一次建设就能一劳永逸的工程，它更像持续运营。老权限之所以没人敢动，很大程度上是因为过去的安全建设习惯了一次性交付、验收、结项，而权限治理没有结项这一说。今天清理完的过度授权，明天新业务上线又会重新长出来。如果没有常态化的发现、评估、收敛机制，再漂亮的零信任架构也会被新的技术债慢慢蛀空。

所以我的判断是，接下来一两年零信任领域的竞争焦点，会从“架构多完整、覆盖多全面”转向“存量权限能不能真正收敛”。谁能把老权限这块硬骨头啃下来，谁才算把零信任从 PPT 里拽到了生产环境。至于那些还在用新建系统数量来衡量零信任进展的团队，大概率会在下一次内部审计或攻防演练里，被一扇没上锁的老门教做人。安全这件事，从来不是看你建了多少新墙，而是看你还有多少旧门没关。