零信任是一種 IT 安全性方法，不僅假設受信任的網路周邊並不存在，也會先行驗證每一筆網路交易，再予以放行。

零信任會依循「永不信任，一律驗證」的原則，並運用其他多項網路安全性方法，包括網路分段和嚴謹的存取控制。零信任網路會定義一個「保護範圍」，以納入重要資料、資產、應用程式和服務，有時也稱為「桌面平台即服務」。此一保護範圍僅包含重要資產，因此規模通常遠不及整體攻擊範圍。

過去假設企業網路周邊內的資源皆可信任的觀念，已由零信任安全性取而代之；零信任安全性會將信任視為弱點；畢竟，「受信任」網路中的使用者，皆有能力在網路中四處移動，或造成自身可存取的任何或部分資料發生外洩。

零信任架構不會嘗試建構受信任的網路，而是完全排除「信任」的概念。一旦決定好保護範圍，就會運用多項關鍵依據來建立和強制執行受保護資料的安全存取原則，包括網路流量如何流經此一範圍、哪些使用者正在存取受保護資料並為所使用的應用程式建立目錄，以及採用何種連線方法。掌握這些相依性後，即可在保護範圍四周就近配置控管機制，以建立「微周邊」(Microperimeter)；這項作業通常會使用名為「分段閘道」的新一代防火牆 (NGFW)，其僅會允許來自合法使用者和應用程式的已知流量。新一代防火牆可提供流量能見度，並運用 Kipling Method 強制執行存取控制，依據人員、內容、時機、位置、原因和方法來定義存取原則。此舉有助於判斷哪些流量可通過微周邊，繼而排除未經授權的使用者和應用程式，並保護敏感資料。

由於員工分散於各地，或於遠端工作，因此，零信任並不會以任何特定地點為依據。使用者和資產可位於任何地點，包括地端環境、一個或多個雲端、邊緣、員工住家或物聯網裝置。

零信任概念源自於 Forrester Research 公司副總裁兼首席分析師 John Kindervag。在 2010 年，他體認到既有的安全性模式皆建立在「企業網路中的所有內容都可供信任」的過時假設上，因而提出了零信任概念。在 Google 於 2013 年宣佈於自身網路中實作零信任安全性原則後，採納零信任模式的速度就開始加快。在 2019 年，Gartner 公司已將零信任列為安全存取服務邊緣解決方案的核心要素之一。

儘管零信任經常給人難以實現且成本高昂等印象，卻可使用既有的網路架構，無需進行大幅升級。市面上並不存在零信任專用產品，不過，有些產品可相容於零信任架構和環境，有些則無法。

只要依循 Forrester 公司於 2010 年提出的五步驟方法，即可簡單部署和維護零信任架構。

識別保護範圍，包括敏感資料和應用程式。對此，Forrester 公司建議採用簡單的三大類別模式，將內容區分為公開、內部和機密。在分類後，就能將需要保護的資料劃分至微周邊中，然後將微周邊相互連結，以建構更廣大的零信任網路。

比對所有敏感資料的交易流量，以瞭解資料如何在人員、應用程式，以及連往商業合作夥伴及客戶的外部連線之間移動。接著，就能公開且保護網路和系統物件的相依性。此舉有助於實現流量最佳化，繼而提升整體效能和安全性。

定義每個微周邊的零信任架構，這項作業應以資料和交易在企業 (和外部合作夥伴) 流動的方式做為依據，並透過軟體定義的網路 (SDN)，以及使用實體或虛擬新一代防火牆的安全性通訊協定來達成。

在網路設計完成後建立零信任原則。許多企業會採用 Kipling Method，以判斷原則和網路的使用人員、內容、時機、位置、原因和方法。如此一來，就能制訂精密的第 7 層施行原則，只讓已知且經授權的應用程式或使用者存取保護範圍，同時假定所有個人裝置 (無論是公司自有裝置或用戶自攜裝置) 都不安全。

進行自動化、監控和維護，以透過監控周邊活動來判斷異常流量位於何處、掌握異常活動的發生地點、監控所有周邊活動；然後，將日誌記錄流量的檢查和分析作業自動化，進而在不影響作業的情況下傳輸資料。

「永不信任，一律驗證」。零信任採用的這項核心原則，旨在取代「網路中的任何項目皆安全無虞」的過時觀念。隨著人力型態改變、元件可存在於任何地點的微服務架構應用程式大行其道，以及業務流程型態日益講求協同作業，過往的安全周邊已不復存在。舉凡遠端員工或使用 VPN 連線的員工，皆不再受防火牆保護。所有裝置都面臨風險，無論智慧型手機或桌面平台，都無法倖免。

零信任並不是一項技術或產品，而是一種安全性做法，旨在防範關鍵業務資產遭到窺探，或遭受惡意軟體攻擊。零信任可透過多種產品建置，包括新一代防火牆、多重要素驗證、微分段原則和最小權限。

零信任無法藉由單一方法或技術達成。此架構與保護範圍以及所衍生的微分段規模息息相關，對於受影響應用程式、資料庫和其他資源的使用者體驗，架構設計師必須考量零信任原則將對其造成哪些衝擊。

為了推動零信任，企業可能需要重新評估每項資產的保護方式；畢竟，一旦實施零信任，就需要捨棄過去的網路周邊做法，改將個別系統和應用程式納入保護範圍內。零信任不會判斷要求來源及網路安全與否，而是嘗試驗證特定的使用者和裝置，以確保對方確實如所宣稱的一樣。因此，零信任要有能力根據所提供的其他驗證機制，對裝置授予信任，例如，只要提供適當的使用者 ID 和密碼，「已知」的智慧型手機就不需要取得權杖。

實施零信任後，不僅將限制存取，過去可隨意存取非工作所需應用程式的員工也會處處受限，因此可能會引發不滿。若能透過適當的教育和訓練來宣導零信任網路的必要性和優勢，將有助於提高初期導入成效，並協助新使用者順利進入狀況。