零信任从哪开始?企业实战路径拆解

一家深圳连锁零售企业,200家门店、3000名员工,每年因账号被盗造成的损失超过80万——直到他们决定上零信任。但真正动手时最难的不是选产品,而是回答一个问题:零信任从哪开始? 这篇文章不铺概念,直接讲落地路径:从哪个场景切、身份和网络谁先行、SD-WAN怎么配合、预算怎么排。华南腾飞服务500+政企客户,零信任与SD-WAN项目覆盖零售、制造、金融,可提供路径评估。

一、先看三个真实信号,判断该不该动

1. 远程办公靠VPN硬撑:员工从家里、门店、客户现场连VPN,体验差且账号被盗风险高——2025年已公开的企业入侵事件里,远程接入是首要入口

2. 多分支互联混乱:分公司各自拉专线,成本高、管理散,分支互访绕总部

3. 合规审计提要求:等保或客户审计开始问"访问控制粒度""账号生命周期管理",答不上来

命中两条以上,就值得启动零信任评估——不是马上买设备,是先做差距分析。

二、零信任从哪开始:三条起步路线

起步路线	逻辑	适合谁	见效周期
身份先行	先统一账号+MFA+SSO	账号权限混乱、要过等保	1-2个月
网络先行	先SDP替代VPN管远程接入	远程办公多、VPN吃力	1-3个月
分支先行	先SD-WAN统一分支组网+安全	多分支、专线费高	2-4个月

大多数企业的推荐顺序:先做身份治理(账号统一是最底层的地基),再用SDP替换VPN(最痛的远程接入),最后用SD-WAN把分支串进统一架构。

三、SD-WAN在零信任里的角色

很多人忽略SD-WAN,但它其实是分支场景零信任的"载体":

• 分支接入从"拉专线+堆设备"变成"一条线路+云端策略下发"
• 访问控制策略集中定义,分支本地不配策略,减少人为错误
• 天然支持SASE:安全功能(防火墙/上网行为/ZTNA)随SD-WAN一起云端交付

对多分支企业来说,SD-WAN+零信任是一套组合拳:SD-WAN解决"怎么连",零信任解决"连上后谁能访问什么"。

四、预算怎么排(2026,深圳参考)

• 身份治理(200-2000人):IAM+MFA 10-30万/年
• SDP替换VPN(200-500并发):8-20万/年
• SD-WAN组网(10-50站点):15-60万/年(含硬件或云端订阅)
• 全面改造(500人+含等保):40-100万,分期12个月常见

省钱建议:别一次买全套。先花几千到2万做差距分析,按"身份→接入→分支"的顺序分批投入,每阶段见效后再推下阶段,老板也好批预算。

五、落地路径:五个里程碑

1. 盘点与差距分析(2-4周):清账号、清远程通道、清分支拓扑,输出差距清单

2. 身份治理上线(1-2个月):统一账号、强制MFA、SSO单点登录,账号生命周期管理(入职开、离职停)

3. 远程接入改造(1-3个月):SDP试点一个部门(30-50人)跑4周,再全量替换VPN

4. 分支组网统一(2-4个月):SD-WAN替换专线,策略云端下发,分支零配置

5. 持续运营(长期):策略定期review,新系统默认纳入,日志审计留存≥6个月

六、常见问题

Q:零信任和SD-WAN必须一起上吗?

A:不必。没SD-WAN也能上零信任(先做身份+SDP),但多分支企业建议一起规划,SD-WAN是分支接入零信任的天然载体,分开做容易重复建设。

Q:上零信任要不要推倒现有网络?

A:不用。SDP网关旁路部署、SD-WAN可叠加现有线路,主流是渐进切换,新旧双轨运行2-4周再收缩旧链路。

Q:200人以内小企业怎么起步?

A:先做MFA+SSO(几万到十几万),解决账号被盗这个高频问题;有远程接入需求再上SDP,预算8万内起步。别一上来就建全套。

Q:怎么验证零信任真的有效?

A:看三个指标:账号被盗事件是否下降、远程接入体验(时延增加≤5-15ms)、新系统上线是否默认纳管。数据说话,别靠感觉。