內網不能等同可信任
帳號、裝置與資料都要辨認
NIST 零信任架構強調不因網路位置就給予隱含信任。員工在辦公室或透過 VPN 連線，仍應根據身分與資源需求授權；混合雲更需辨認人員、服務帳號及系統間的資料流。
先盤點高風險功能，例如供應商銀行帳戶變更、付款核准、薪資查詢與大量匯出。這些功能不應只由「可以登入 ERP」決定能否操作。
角色權限要與業務責任一致
功能、資料範圍與簽核條件分開設定
可依職務建立基本角色，再依公司別、部門、金額與流程狀態設定限制。採購可建立付款申請，不代表能修改銀行資料並自行核准。職務分工應與 BPM 的簽核、代理及例外流程一起設計。
不要為了方便把主管帳號共用給助理。臨時代理需限定期間與權限，並保留實際操作者，避免事後只能看到同一個共用帳號。
帳號生命週期是核心控制
到職、轉調與離職都要驗證
人員轉調時常只增加新權限，沒有移除舊權限。應定期檢視角色與高權限帳號，讓資料負責人確認必要性。離職停權還要涵蓋既有工作階段、API token、外部平台及遠端維護帳號。
特權操作可要求多因素驗證或額外核准；系統服務帳號則應使用專屬身分與最小權限，避免使用管理員帳號處理每日排程。金鑰與密碼輪替需有責任人及失敗處理。
混合雲連線不應打開整個網段
只放行必要服務與資料路徑
把應用、資料庫、管理與備份分區，列出允許的來源、目的與服務。地端和雲端有專線或 VPN，仍要限制橫向移動；供應商維護宜經受控入口並設定時限，而非長期開放管理連線。
日誌應記錄權限異動、登入異常、匯出與重要交易，並注意避免保存密碼或完整個資。告警要有處理流程，否則只累積紀錄不會改善營運風險。
如何驗收零信任改善？
用拒絕情境證明邊界有效
建立角色與資料矩陣，測試跨公司查詢、越級簽核、過期代理、離職帳號及服務憑證失效。確認不只畫面隱藏按鈕，直接呼叫 API 也會拒絕。
改造可先從高權限與高敏感流程開始，逐步擴大。專案應交付權限清單、拒絕測試及停權生效紀錄，讓管理者能持續追蹤，而不是只取得一張架構圖。
常見問題
有 VPN 就算零信任嗎？
不是。VPN 提供連線能力，仍需對身分、資源與操作逐次授權。
零信任會讓操作變得很麻煩嗎？
可依風險分級，高影響操作增加驗證，一般作業維持適當的使用體驗。