概念地圖・零信任政策決策點
作者 山姆（謝冠生）・喵喵書評創辦人
發布
分類：系統
這一頁不只是把一個概念解釋一遍——一張自己畫的結構圖，加上拿台灣情境從頭走一次的實例演練、這個框架什麼時候會騙你，以及它接回 P.A.I.N. 之後長什麼樣。一頁必須交付的三層 →
零信任政策決策點：每一次連線都重新問一遍
一張三年前就該停用的外包門禁卡，昨晚兩點刷開了藥品庫的門。醫院資訊室把稽核紀錄拉出來，那一行安安靜靜，沒有紅字，因為系統從頭到尾只問過一次：這張卡是不是我們發的。零信任不是貨架上買得到的一套東西。它是一種判定方式——把這一次刷卡當成陌生人，重新問一遍你是誰、你手上那台機器乾不乾淨、現在幾點、你要開的到底是哪一扇門。這張圖畫的就是那個「重新問」的動線：訊號從主體送出，中央的政策決策點算出答案，執行點只把該開的那一扇打開。
四個角色，各自在這條線上負責什麼
整條線只有四個角色。名字很好記，難的是分清楚誰有權說話、誰只能照做。
| 角色 | 在這條線上做什麼 | 它做不到的事 |
|---|---|---|
| 主體 | 使用者加上他手上那台裝置，一起送出這一次的情境訊號：帳號、裝置狀態、時間、位置、正在做什麼 | 它不能自己宣稱自己安全，宣稱要由別人驗 |
| 政策決策點 | 收齊訊號、對照規則，算出「這一次准不准」。答案只對這一次有效，下一次重算 | 它算得出規則，算不出規則本身寫得對不對 |
| 政策執行點 | 拿到答案就照做，開門或關門，不加自己的解釋，也不留一條方便的側門 | 它不該有判斷權，一旦有，全公司就有了第二套規則 |
| 資源 | 被開通的那一個，同時把使用中的狀況回報給決策點，讓下一次的判定有新的材料 | 其餘資源維持關閉，不因為同一個人剛通過就一併打開 |
把這張表倒過來讀，會浮出一件事：真正被拆開的是權力。過去「發卡」這個動作同時包含了驗證、判定與開門三件事，一次做完、一次做完就算數。零信任把它們拆給三個角色，代價是流程變長，換到的是每一步都留下可以追問的接縫——是誰算出這個答案、根據哪幾個訊號、答案有效多久。答案有效多久這件事，往往是最先被偷偷放寬的一格。
導入之前，先確認手上有沒有這四樣
一、一份說得出口的身分清冊。零信任的第一道關卡是「你是誰」，可是很多組織連「現在有哪些人有卡」都要問三個部門。外包、代訓、實習、離職留任，每一種身分都在名單上有一列，而讓那一列消失這件事，往往落在誰的桌上都說不清楚。自問：外包廠商換人的那一天，是誰、在幾天內、把上一個人的卡停掉？
二、會回報健康狀況的裝置。裝置健康要當成持續的體溫來看——量一次就存檔的那張檢查表，撐不住這一格。系統更新到哪一版、防毒有沒有在跑、有沒有被越獄過——這些要由裝置自己回報，而不是由使用者勾選。使用者勾的那一格，永遠是「有」。自問：你們的裝置狀態是每天回報一次，還是入職那天填的那張表？
三、切得夠細的資源。控制流再精密，如果右邊那一格是「整層樓」，開通就等於全開。資源要切到「一扇門」「一張表」「一個資料夾」的顆粒度，這條線才有意義。切得太粗，判定再嚴格也只是把大門守得很用力。自問：你要開的那扇門，在系統裡是一個獨立項目，還是跟另外二十扇綁在同一個群組？
四、寫得成一句話的規則。政策決策點只是一台照著規則算的機器，規則本身還是人寫的。「誰、在什麼情況下、可以開哪一扇門、開多久」——這四段話要能被寫在同一句裡，而且寫完之後有人願意簽名。自問：這條規則如果明天出事，簽名的那個人知道自己簽了什麼嗎？
一家醫院的清潔外包帳號，六道關卡走一遍
- ① 身分驗證：一家醫院把病房清潔外包，外包公司派來的清潔人員拿到門禁卡與一組系統帳號。第一道關卡問的是這張卡屬於誰——屬於這個人，還是屬於「清潔班第三組」這個共用身分。共用身分一旦成立，後面五道關卡都在保護一個沒有臉的人。共用帳號，等於在第一格就把追問的線剪斷
- ② 裝置健康：清潔人員推的那台推車上有一部平板，用來回報每間病房清潔完成。平板是外包公司自己買的，不在醫院的資產清單裡。零信任要求它也得回報健康狀況：作業系統版本、有沒有裝來路不明的程式。做不到，就只能把它當成不健康的裝置對待，開通範圍再縮一格。承認自己管不到，比假裝管得到安全
- ③ 情境訊號（時間、位置、行為）：這張卡的正常樣貌是週一到週六早上七點到下午四點、在三樓到六樓的病房區、平均每十五分鐘刷一次門。昨晚兩點、在地下一樓、單獨刷一次——三個訊號沒有一個對得上。舊制度看不到這件事，因為舊制度只問卡是不是真的。卡是真的，情境是假的，這正是第三格存在的理由
- ④ 政策決策點判定：訊號送進中央，決策點對照規則算出這一次的答案。它不看「這個人以前刷過幾次」，只看「這一次的四項訊號合起來，落在准或不准」。答案還帶一個期限：這一次的通行只在接下來這段清潔工時內有效，過了就重算。答案有期限，才叫判定；沒期限的叫發卡
- ⑤ 執行點開通：判定通過，執行點只開藥品庫外的走道門，藥品庫本身不開。清潔工作需要走道與病房，不需要藥品櫃；同一次判定不會因為「反正人都進來了」就把隔壁那扇一起打開。其餘資源維持關閉，這是這一格唯一該做的事。開一扇，不是開一層樓
- ⑥ 持續監測回饋：開通之後，走道門的刷卡紀錄、平板的連線狀況，一路回送到政策決策點，而不是堆在門禁主機裡等年度稽核。回饋的終點是判定的那一端，下一次同一張卡再刷，決策點手上就多了昨晚那筆異常。回饋若沒回到判定端，六道關卡只剩五道
走完一遍會發現，六道關卡真正卡住的，是「一次判定、長期有效」這個習慣。這家醫院的外包帳號沒有人惡意濫用，它只是被遺忘——發卡那天的那個判斷，三年來沒有被重新算過一次。零信任把發卡那一刻的答案，改成每一次刷卡都重算的答案，代價是流程變重、要維護的規則變多、清潔阿姨可能要多等兩秒。值不值得，取決於藥品庫那扇門後面放的是什麼。這件事沒有標準答案，但至少它變成一個能被討論的問題，而不是一張沒人記得的卡。以上為說明結構用的示意情境，僅供理解框架之用。
這條控制流什麼時候會騙你
- 把零信任當成一件買得到的東西。市場上有大量產品自稱是零信任解決方案，買回來裝上，四個角色都湊齊了，圖也畫得出來。但決策點裡那份規則還是空的，或者照著預設值放行一切。這張圖畫的是判定的動線，不是判定的內容——動線可以買，內容只能自己寫。買完就宣布「我們已經零信任」，是這一族最常見的自我安慰。
- 決策點變成新的單點。把所有判定集中到中央，好處是規則只有一份，壞處是這一份掛掉，全公司連走道門都開不了。真的做下去會發現，你需要為決策點準備備援、為斷線準備降級模式，而降級模式裡那條「暫時放行」的規則，往往寫得比舊制度還鬆——因為它是半夜兩點在壓力下加的。這條規則從此沒人再回頭看。
- 「持續監測」被做成事後查紀錄。圖上那條回饋弧線的終點是政策決策點，不是執行點。很多導入案把紀錄乖乖寫進日誌系統，季報時撈出來看，而真正回到判定那一端的，一筆也沒有。這樣一來，昨晚那筆異常在今天早上的判定裡完全不存在，六道關卡永遠停在第五道。判斷這件事有沒有做對，只要問一句：異常發生後，下一次判定的答案會不會因此不同。
用痛點的眼光看這條控制流
這條線最難的一段，是把「信任」寫成一句機器讀得懂的話。
零信任把一個模糊的動詞，拆成一連串可以執行的判斷：誰、哪台機器、幾點、開哪一扇。可是判斷的內容還是人填的。這張圖畫得出每一次請求要經過哪幾道關卡、答案由誰算、門由誰開；它畫不出這家醫院到底在怕什麼——怕藥品被拿走，還是怕稽核來的時候交不出紀錄。兩種怕法會寫出完全不同的規則，也會在不同的地方偷工。P.A.I.N. 的第一格問「誰在痛」，套進來就是：那扇門一旦被錯的人打開，第一個被叫去說明的是誰。找不到那個人，六道關卡就只是六個開關，開多開少都沒人心疼。刷卡的那一秒沒有人重新問一次，那張卡就停在發卡那天的判斷上——而發卡那天簽名的人，可能早就離職了。今晚可以做一件小事：打開門禁或帳號系統的名單，挑出最近三個月一次都沒刷過的十張卡，一張一張看它們現在還開得了哪幾扇門。
關於零信任，常被問到的幾件事
零信任是不是要買一套產品才做得起來？
不用。零信任描述的是一種判定方式，市面上沒有哪個型號能替你把規則寫完。你手上多半已經有身分系統、有門禁、有裝置管理，缺的是把它們接成一條線：訊號集中送到同一個地方算、答案由執行端無條件照做、結果再送回算的那一端。真的要花錢的通常是兩件事——把資源切細，以及讓裝置能回報自己的狀態。先把這兩件事盤一遍，你會比較知道自己缺的是工具還是規則。
每一次連線都重新判定，會不會很慢？
會慢，這是誠實的答案。多一次判定就多一次等待，人在門口多站兩秒，系統多一次往返。實務上的處理方式是分級：低風險的資源給比較長的有效期，高風險的每次重算。危險的是分級之後就再也沒人回頭檢查——當初標成低風險的那個資料夾，兩年後可能已經放了完全不同的東西。把分級表排進固定的複查節奏，比一開始分得多精細更重要。
政策決策點和政策執行點一定要分開嗎？
概念上一定要分，實作上可以在同一台機器裡。分開的價值在於權責：算答案的那一端負責規則對不對，開門的那一端負責有沒有照做，出事時能問到不同的人。合在一起最常見的後果是執行端偷偷加了例外——「這個客戶太急，先讓他過」——而這條例外從來不會出現在規則文件裡。分開之後，例外只能寫進規則，寫進規則就會被看見。
只有十幾個人的公司，也要走完六道關卡嗎？
六道關卡講的是六個問法，不必對應到六套系統。十幾個人的公司同樣會遇到離職沒收帳號、共用一組密碼、外包廠商拿到超出需要的權限。差別在於你可以用很輕的方式回答這六個問題：一份手動維護的名單、一次季度清查、把共用帳號拆成個人帳號。規模小反而有優勢——你還來得及在資源長成一團之前，把它切成一扇一扇的門。
同一套問法，也可以拿去看你手上那台一直沒換密碼的印表機——它有帳號、有網路、每天有人在用，卻從來沒被問過第二次。想把資安的其他區塊一起盤一遍，可以接著看資安治理的六大功能那張圖；至於「每次都重新問」要付出的等待與摩擦，效率與韌性的取捨把這筆帳算得更細。
喜歡這篇文章嗎？
每週幫你拆二本好書，把判斷力、好書金句、好問題，直送你的信箱。
不適合你可隨時退訂 · 每週兩封，陪你把書讀進生活。
送出即表示同意我們依隱私權政策使用你的 email。