零信任落地难，卡在老权限没人敢动

过去两年，零信任几乎成了安全架构升级的标配词汇。从等保2.0的合规驱动，到远程办公和混合云带来的边界消融，再到勒索病毒与供应链攻击的轮番教育，企业决策层对“永不信任、持续验证”的理念已经不再陌生。但一个尴尬的现实是：真正把零信任跑通、跑稳的组织并不多。大量项目停在POC阶段，或者上线后只覆盖了少数新业务，老系统依旧裸奔。问题出在哪？不是身份网关不够强，也不是微隔离产品不成熟，而是那张盘根错节的老权限表——没人敢动。

所谓老权限，指的是过去十几年甚至二十年里，随着业务野蛮生长而沉淀下来的账号、角色、策略和访问关系。它们往往散落在AD域、老旧VPN、数据库直连白名单、跳板机脚本、甚至某个离职运维留下的本地管理员账号里。这些权限没有文档、没有责任人、没有生命周期管理，却支撑着核心交易和内部流程。零信任要求“最小权限”和“动态授权”，第一步就是把这些存量权限梳理清楚、收归统一策略中心。可一旦动真格，安全团队就会发现：改一条权限，可能瘫痪一条业务线；删一个账号，可能触发某个无人知晓的定时任务。于是，项目组只能绕道走——新业务上零信任，老系统维持现状。零信任被割裂成两张皮。

这种“绕道”并非技术无能，而是一场典型的组织博弈。老权限的背后是部门墙和歷史包袱。谁掌握老系统的账号，谁就掌握着业务连续性的命门。安全部门去要权限清单，运维部门担心背锅，业务部门怕影响KPI，最后往往演变成“谁提整改谁负责”的推诿。更微妙的是，许多老权限是当年为了快速上线而特批的“临时通道”，如今临时成了永久，特批成了惯例。零信任的持续验证机制一旦接入，这些通道就会暴露在策略引擎的审视之下，等于把过去的违规操作摆上台面。于是，沉默成了最安全的选择。

从技术视角看，老权限难动还有一层硬约束：身份治理的底账不清。零信任的决策依赖准确的身份上下文——谁、在什么设备、什么时间、访问什么资源、风险评分如何。但老系统往往没有标准化的身份源，应用内建用户体系与统一身份目录脱节，服务账号和人类账号混用，权限粒度粗到“部门级”甚至“全员级”。在这种数据质量下，强行上动态授权策略，误杀率会高得离谱。安全团队不是不想动，而是动之前需要先做身份清洗和权限重基，这本身就是一项跨部门的脏活累活，周期长、见效慢、不出彩。相比之下，采购一套新的零信任网关、做几次渗透测试、写几份合规报告，更容易向管理层交差。

但回避老权限的代价正在变得不可承受。攻击者早已摸清这个规律：新业务防护严密，老系统就是软肋。近两年多起勒索病毒事件中，攻击链的起点并非什么高深漏洞，而是通过供应链或社工拿到一个老旧VPN账号，或者利用某台无人维护的测试机上的弱口令横向移动。零信任若只覆盖新资产，等于把城堡的大门修得固若金汤，却把后门钥匙插在锁孔里。更现实的是，监管层面对于数据安全和访问控制的检查越来越细，等保2.0的“访问控制”条款不再接受“部分覆盖”的说辞。老权限不清，合规风险只是时间问题。

那么，破局点在哪？首先得承认一个事实：老权限不可能一次性推倒重来。可行的路径是“冻结增量、标记存量、逐步收编”。对现有老权限不做大规模删除，而是先做只读发现和依赖分析，把账号、策略、调用关系画成一张动态图谱。在此基础上，用旁路模式部署零信任策略引擎，先观察、再告警、后阻断，给业务方一个缓冲期。对于确实无法改造的老系统，可以用访问代理做协议封装，把直连收敛为受控跳转，至少把“谁在什么时候访问了什么”记录下来。这一步不追求完美的最小权限，但先把可见性拿回来。

其次，组织层面需要一个“权限清算”的合法载体。很多企业零信任项目失败，是因为安全团队单打独斗。更有效的做法是把老权限治理包装成业务连续性项目或数据治理项目，由CIO或风险委员会牵头，安全团队提供工具和规则，运维和业务团队负责确认依赖关系。对于“不敢动”的权限，建立例外审批和定期复核机制——可以保留，但必须有人签字、有到期日、有监控。把沉默的灰色地带变成透明的白名单，本身就是零信任的胜利。

最后，技术选型上要警惕“新瓶装旧酒”。零信任不是买一个网关就能实现的，它需要身份目录、设备指纹、行为分析、策略编排的联动。如果老权限的底账没有数字化，再强的策略引擎也只能对着残缺的数据做决策。因此，在预算分配上，身份治理和权限梳理的投入不应该低于零信任控制平面的采购。那些跑通零信任的组织，往往是在项目初期花了大力气做账号归一和权限基线，而不是急着上动态授权。

零信任的落地难，难在它本质上是一场存量利益的重新分配，而非单纯的技术升级。老权限没人敢动，是因为动了就可能暴露历史问题、打破部门默契、影响短期稳定。但安全架构的演进从来不是请客吃饭，当攻击面已经从边界蔓延到身份，继续绕着老权限走，只会让零信任变成一层昂贵的装饰。真正的破局，是从敢于给老权限做一次“体检”开始——不一定要立刻手术，但至少要知道病灶在哪。否则，零信任永远只能活在PPT和新业务的白名单里。