预算评审会上，安全负责人提了两个方案：安全管控，和零信任访问。
财务问：这两个不是重复了吗？能不能只留一个？
这个问题问得很实在，但前提错了——它们不在同一个层面上。
一个管"设备本身发生了什么"，一个管"谁能访问什么资源"。
砍掉任何一个，都会留下一个明确的缺口。
一、两者解决的是不同的问题
安全管控，回答的是：这台设备上发生了什么？
- 文件被谁创建、修改、复制、打印
- 数据通过哪个通道外发
- 设备是否合规
- 文件是否被加密、被越权打开
它的战场在设备内部。
零信任，回答的是：这个身份能不能访问这个资源？
- 用户是谁、设备是否可信、行为是否异常
- 每次访问都要重新验证，不因为"在内网"就默认放行
- 权限按最小化原则动态下发
它的战场在网络边界和访问链路上。
二、一个真实缺口案例
如果先上了零信任。
效果很明显：外部攻击者拿到账号也进不来，访问全部要二次验证。
但半年后出了一次事：一名在职员工，用合规设备、通过零信任正常登录，把客户名单导出到本地，然后用手机拍照带走。
零信任全程没告警——因为这次访问完全合法。
复盘时补上了终端侧的审计和打印水印，才发现问题的本质：
零信任管住了"进门"，没管住"进门之后干什么"。
反过来也成立：只做终端管控，攻击者从外部突破边界后，终端侧的策略可能已经被绕过。
三、架构上的关系：串联，不是并列
环节 |
谁负责 |
具体动作 |
接入前 |
零信任 |
身份验证、设备健康度检查、动态授权 |
接入后 |
终端安全 |
行为审计、数据防泄露、权限分级 |
异常时 |
两者联动 |
终端发现异常行为 → 反馈给零信任 → 动态降权或断连 |
关键在第三行。
很多单位两套系统各跑各的，数据不互通，等于买了两个孤岛。
踩坑细节：某企业终端侧检测到员工频繁批量输出敏感文件，但零信任侧不知道，账号权限一直没调整。两周后数据已经外流。
四、怎么排优先级
判断标准：你的主要风险在哪一侧？
优先做终端安全的场景：
- 数据是核心资产
- 泄密主要来自内部人员或供应链
- 有大量外发通道需要管控
优先做零信任的场景：
- 远程办公、外包人员、多分支机构接入
- 业务系统暴露在公网，边界攻击频繁
- 已有较完善的终端管控基础
踩坑细节：某企业预算只够做一件事，选了零信任。结果研发代码泄露问题没解决——因为泄露路径是U盘，跟访问控制无关。
五、落地时的三个常见误区
误区一：把零信任当成"更高级的VPN"
零信任不是一组硬件，是一套持续验证的机制。只换个入口，不改授权逻辑，等于没做。
误区二：以为零信任能替代终端管控
零信任看不到文件内容、看不到打印行为、看不到U盘拷贝。这些是终端侧的职责。
误区三：两套系统日志分开存
出事之后要跨两个平台拼时间线，效率极低。
建议：从第一天就把日志汇聚到同一个平台，统一时间戳。
六、落地节奏建议
阶段 |
动作 |
重点 |
风险盘点（2周） |
梳理主要泄密路径和攻击面 |
判断哪一侧风险更大 |
一期部署（6周） |
优先补风险更大的那一侧 |
不追求一次做完 |
打通联动（4周） |
日志汇聚、策略互通 |
避免两个孤岛 |
二期补齐（6周） |
部署另一侧能力 |
形成闭环 |
运营期（持续） |
每季度复盘一次联动效果 |
重点看异常反馈链路是否通 |
终端安全和零信任怎么选，答案很明确：这不是二选一的问题。
零信任管"进门"，终端安全管"进门之后"。
部署可以分先后，但别指望一个替代另一个。
责编：璇玑
