零信任安全基线：先做哪三件事
零信任不是某个单点功能，而是一套治理方法：默认不信任、持续验证、最小权限与可复盘的证据链。落地时先把身份强度、权限边界与审计留痕做稳，再扩展到外发治理与设备基线。
如果你需要对照权威定义，可以从 零信任安全架构 入门，再结合 最小权限原则 以及 身份与访问控制 的治理思路理解“持续验证”。
三件优先事项（建议顺序）
- 身份强度：强密码 + 二次验证 + 离职回收，先消除“共享账号/弱口令”这种高频风险源。
- 权限边界：岗位角色分级 + 最小权限，把“谁能看、谁能外发、谁能下载”变成清晰规则。
- 审计留痕：关键空间与关键动作可导出复核，让策略效果可验证、可复盘。
为什么“身份强度”必须放第一位
很多组织把零信任理解成“上了二次验证就完成”。实际问题是：如果组织仍存在共享账号、离职账号未回收、权限沿用历史人员配置，那么再强的二次验证也只能覆盖一部分入口，无法阻止内部误用与越权扩散。身份强度的目标是：让每一次访问都能映射到一个明确的责任主体，并能在审计中追溯。
建议清单
- 把账号生命周期做成流程：入职、转岗、离职、外包到期。
- 关键人员启用二次验证，并且明确“例外流程”。
- 禁止共享账号与公用密码，必要时引入岗位账号与审批留痕。
权限边界：如何把“最小权限”落到可执行规则
最小权限的难点不在理念，而在执行：谁可以创建外部联系人、谁可以外发文件、谁可以下载或转存、谁可以管理空间成员。可执行的做法是：按岗位角色定义一组权限包，把权限审批与授权周期固化，避免“临时给权限”后长期不回收。
一个可复制的角色分级思路
| 角色 | 可见范围 | 外发/下载 | 建议审计 |
|---|---|---|---|
| 普通成员 | 本部门空间 | 默认收敛 | 抽样复核 |
| 业务负责人 | 项目空间 | 审批后开放 | 周期导出 |
| 合规/安全管理员 | 全局策略 | 按制度配置 | 关键动作留痕 |
如果你想进一步理解“访问控制”的基本概念，可参考 Access control 与 Microsoft Entra 身份基础 的介绍。
审计留痕：把“日志”变成“证据链”
如果没有审计留痕，安全治理就无法证明效果，也无法解释“为什么要这么管”。建议从关键空间开始：明确哪些空间属于核心资产、哪些动作属于关键动作，然后设置固定节奏的导出与复核。你可以把它理解成轻量的“事件复盘机制”，而不是单纯堆日志。
复盘节奏（建议）
- 每周抽样：抽 10 条关键空间操作记录，复核权限是否合理。
- 每月导出：形成审计材料包（谁、何时、做了什么、是否符合制度）。
- 每次事件：复盘触发条件、策略是否有效、如何改进检查清单。
想了解更系统的“安全运营”概念，可以从 SIEM 安全信息与事件管理 的定义入手，再把它映射到你能执行的“导出—复核—复盘—整改”节奏上。
下一步：把策略扩展到 DLP 外发治理
当身份与权限边界稳定后，再做 DLP 外发治理会更顺：外发审批、水印、下载限制与有效期，是把“传播链路”纳入治理的组合策略。建议从高风险对象开始：外部协作、跨部门共享与大文件外发。
FAQ
零信任是不是等同于“上了二次验证”就完成？
不是。二次验证只是身份强度的一部分，零信任还需要最小权限、持续验证、审计留痕与可复盘的治理机制。
落地时最常见的失败点是什么？
权限边界不清、共享账号、离职回收不严，以及缺少审计数据来验证策略效果。
下一步应该做什么？
建议在身份与权限稳定后，再推进 DLP 外发治理与设备基线治理，并用审计复盘持续迭代。