内部的访问控制，2026 年的主流答案是零信任——不因为你在内网就信你，每次访问都当场验一遍；它的矛盾是认同的人有 82%，做完的只有 17%。
9-5 讲的是怎么保护外面的用户，这一节讲怎么管住里面的人。它是 9-2 的直接延续：9-2 把内网称作【信任等级最高】的那一段，而这一节要问的是——内网就真的可信吗。教材 9-6 的并列关键词是【访问控制】。
一、内网并不天然可信
传统的安全模型是【城墙加护城河】：把内网守住，墙里面就默认安全。 这个假设在 2026 年已经站不住了，原因有三条：
- 远程办公成了常态——员工在家里、在咖啡馆、在手机上办公， 他们根本不在那圈城墙里面。
- 攻击者最爱用有效凭证——9-1 里的数字是，凭证在 39% 的泄露里出现过。 用合法账号登录进来的人，防火墙是看不出来的。
- 云上的资源没有【内网】这个说法——SaaS 和云数据库都在互联网上， 所谓边界早就模糊了。
零信任就是对这个变化给出的答案：不因为你在内网就信你，每一次访问都当场验一遍。 英文原话是【永不信任，始终验证】。
二、验的东西比传统登录多好几样
传统的访问控制基本只看一件事：口令对不对。零信任把要验的东西摊开到五样：
- 身份——口令之外还要第二个因素，也就是 9-5 讲的 MFA。
- 设备——这台机器是不是受管、补丁打没打、有没有装杀毒。
- 网络上下文——从哪来、走哪条路、是不是异常地点或异常时间。
- 会话——令牌有没有过期，登录一次管一天的做法是明确的漏洞。
- 应用与权限——这个角色该不该做这件事，也就是最小权限。
成效方面，成熟落地的组织给出的数字相当一致： 成功钓鱼攻击减少 47%、勒索事件减少 62%、内部人员威胁事件减少 55%； 而且采用零信任的组织支付赎金的概率低 3.2 倍，真付了也平均少付 41%。
有一组对照数据更能说明问题：没有零信任控制的组织， 基于凭证的攻击成功率高达 95%。
三、认同多、做完少的执行差距
零信任最大的特点不是技术难，而是这个框架已经赢得了共识，却卡在执行上：
- 82% 的组织认为零信任对安全战略至关重要。
- 只有 17% 全面实施完成。——中间的差距是 65 个百分点。
- 46% 处于部分部署状态，还有 24% 停在规划阶段。
- 组织对自身零信任有效性的平均打分只有 6 分（满分 10）。
这个 65 个百分点的差距，是这一节最值得记住的数字。 它说的不是【大家不想做】，而是【这件事做起来比想象中碎】。
卡在哪？最大的障碍出乎意料——不是预算，是工具太分散：
- 26% 把【工具与供应商分散】列为头号问题，超过预算、技能和遗留系统。
- 78% 在两个以上独立系统里管理安全访问策略。
- 只有 17% 运行在统一平台上。
策略散在好几个地方，就等于没有一份统一的口径—— 这也是为什么这类项目现在都在往统一平台（SASE）上收。
四、内部最持久的漏洞：权限给多了
外部攻击靠技术，内部风险靠的是【习惯】。最顽固的一条习惯是过度授权：
- 56% 的受访者把【员工权限过高】列为未授权访问的首要因素。
- 52% 承认过度授权【非常普遍】或【中度普遍】。
- 48% 指向 SaaS 与云应用的治理不善。
- 遗留系统（36%）和第三方访问（30%）仍是薄弱环节。
为什么这条最难改？因为它不是技术问题。 给权限是【顺手多给一点】，收权限是【要一个个去确认还谁不需要】—— 前者一秒，后者要开好几次会。于是权限只增不减。 最小权限原则就这样在规模和复杂性面前被一点点侵蚀掉了。
顺带说一句，教材在讲组织层面的安全时有一句话很值得抄下来： 最后一道防线是【人】。设备会被绕过、规则会配错， 而事故能不能早一小时被发现，往往取决于有没有人愿意多看一眼。
五、动手 Demo：把执行差距和权限问题算一遍
认同与落地之间的差距、以及分散管理的程度，都可以直接相减：
agree, done, partial = 82, 17, 46
print(" 执行差距 = %d 个百分点" % (agree - done))
print(" 还在规划里的 = %d%%" % (100 - done - partial))
print(" 策略分散 %.0f 倍于统一平台" % (78 / 17))
print(" 无零信任控制的凭证攻击成功率 = %d%%" % 95)
实跑输出：
--------------------------------------------------------------------
里面的人也不默认相信
--------------------------------------------------------------------
内部的访问控制，2026 年的主流答案叫零信任：不因为你在内网就信你，
每一次访问都要当场验一遍。它验的东西比传统登录多好几样。
验什么 怎么验 传统做法
---------------------------------------------------------
身份 密码之外的第二个因素 口令对就算数
设备 是不是受管、补丁打没打 不查
网络上下文 从哪来、走哪条路 只看是不是内网
会话 令牌有没有过期 登录一次管一天
应用与权限 这个角色该不该做这件事 按部门粗分
---------------------------------------------------------
成效方面，成熟落地的组织反馈：成功钓鱼攻击减少 47%，
勒索事件减少 62%，内部人员威胁事件减少 55%。
但它有一个绕不过去的矛盾——认同的人多，做完的人少：
口径 比例 说明
---------------------------------------------------------------
认为零信任至关重要 82% 共识已经有了
全面实施完成 17% 执行差距 65 个百分点
部分部署中 46% 多数人在这一档
对自身有效性打分 6 分（满分10） 自己也知道没做透
---------------------------------------------------------------
卡在哪？最大的一条不是预算，是工具太多、策略太散：
障碍 比例
----------------------------------------
把工具与供应商分散当首要问题 26%
策略分散在两个以上独立系统里 78%
运行在统一平台上的 仅 17%
----------------------------------------
内部最持久的漏洞还是权限给多了：
现象 比例
-----------------------------------------------
把员工权限过高列为未授权访问首因 56%
认为过度授权普遍 52%
指向 SaaS 与云应用治理不善 48%
遗留系统与第三方访问仍是薄弱环节 36% / 30%
-----------------------------------------------
小算例：82% 认同减 17% 全面实施 = 65 个百分点，这就是报告里的执行差距；
78% 管理分散减 17% 上统一平台 = 61 个百分点，这是差距背后的原因。
65 个百分点这个数字，比任何技术细节都更值得记住。 它说明零信任的难点在【把散落的策略收拢】，而不在买什么设备。 第二行的 37% 也不容乐观——超过三分之一的组织还停在纸面上。 第四行的 95% 是反面参照：没有这套控制，凭证攻击几乎必成。
30 秒实验
- 数一数你手上有多少个账号，其中有多少个其实不该有当前权限。
- 查一下你单位的离职流程——账号是不是当天就被关掉，这是最常见的漏洞。
- 打开手机里的某个 App，看它的登录是否支持【退出所有设备】。
常见误区
- 错误：内网就是安全的，防火墙里面不用再防。——纠正：远程办公和云服务已经让【内网】这个概念失效，而且攻击者最爱用的就是合法凭证。
- 错误：零信任是一个可以买到的产品。——纠正：它是一套架构和流程；26% 的组织卡住的原因是工具太散，不是没买设备。
- 错误：权限给多一点，工作更方便，风险不大。——纠正：56% 的组织把权限过高列为未授权访问的首要原因；权限只增不减是最常见的组织性问题。
自测三问（点开对答案）
1. 零信任的核心主张是什么？ —— **【永不信任，始终验证】**——不因为你在内网就信你，每次访问都要重新验身份、设备、上下文和权限。 2. 零信任最大的执行障碍是什么？ —— **不是预算，是工具与策略太分散**——26% 把它列为头号问题，78% 的策略散在两个以上的系统里，只有 17% 在统一平台上。 3. 为什么说【权限给多了】是最持久的内部漏洞？ —— 因为**它不是一个技术问题**：多给权限是一秒钟的事，收回权限要一个个确认，于是权限只增不减，最小权限原则被慢慢侵蚀。- ☐ 下一节（9-7 系统运行后的管理：进行管理、系统维护、Zabbix）