2022年混合办公行业之办公安全白皮书 混合办公驱动因素分析

一、混合办公发展历程

( 一 ) 工具萌芽和概念提出阶段

2006 年，美国 Google 公司推出了测试版在线协 作型文档工具 Google Docs（1），旨在解决不同员工 通过不同设备对同一文档对象进行协作。2009 年， 英特尔公司提出 BYOD（Bring Your Own Device）概 念。BYOD 指的是携带自己的设备（这里提到的设备 最初为 PC 和笔记本电脑，后续也随着科技发展，加 入了手机、平板电脑等（2）），在办公室内或办公室 外不固定的地点进行办公。这个时期混合 办公主要以 “远程办公”的形态进行呈现，可以视作混合办公的 萌芽期。

( 二 ) 工具丰富化和小范围流行阶段

移动互联网时代的来临，让办公设备日益多元化， 连接效率大幅提升，而知识经济的发展使得以互联网 行业为代表的知识密集型产业对沟通、协作的需求急 速增加。美国与中国市场纷纷涌现了大量的线上办公 和协同办公产品，以及对应的信息安全产品。混合办 公的概念在以互联网行业、咨询行业为代表的知识密 集型行业间开始普及。

在海外，2013 年远程会议软 件 Zoom 上市；同年，线上协作工具 Slack 上线。在 国内，2014 年腾讯推出企业微信，同时市场上诞生 大量协同办公产品，例如在线文档领域的石墨文档、腾讯文档；在信息安全领域，各类公司和工具也陆续 出现，例如主打移动安全的指掌易，360 公司“天机” 系列等；移动设备管理 (MDM)、移动应用的管理 (MAM)、 移动文档内容的管理 (MCM)、邮件安全管理 (MEM) 和 对 IM 管理 (MIM) 工具产品也持续诞生。在其他领域如 合同领域，也出现上上签等公司，整体来说在这一时期， 混合办公相关的工具开始快速丰富化。

( 三 ) 大范围加速流行的快速发展阶段

新冠疫情导致通勤和日常交通的不确定性和高昂 的成本代价，影响了几乎所有的行业。从而使得混合 办公跳出了原有的知识密集型行业，在推动几乎所有 的行业，例如金融、教育、文化传媒、公共服务（政 府、事业单位）开始加速普及。在美国，2020 年 5 月， Twitter 首席执行官宣布：可以选择永久居家办公，即 使是疫情结束之后。（3）2021 年 5 月，谷歌宣布将进 行混合工作周，办公室工作和远程办公并行。（4）同年 6 月，亚马逊宣布将为员工提供更加灵活的工作选择， 包括增加在家办公的选项，每周在办公室工作三天， 两天在家工作，具体日期因团队而异。（5）Uber 推出 灵活混合工作模式，员工可以选择 50% 时间在办公室 工作，50% 时间居家办公。

在中国，2020 年，国家发改委等 13 部门联合印 发《关于支持新业态新模式健康发展激活消费市场带 动扩大就业的意见》明确提出，当前各企业应该鼓励 发展便捷在线办公，支持推广远程办公应用，开发安 全可靠的远程协同办公工具。腾讯会议自 2019 年底推 出以来，用户量和参会量激增，从几千人到上线两周 年用户数已超过 2 亿。截至 2021 年底，腾讯会议用户 参会次数已超过 40 亿次，覆盖国家和地区超过 220 个。 (7) 目前，混合办公已经成为中国社会的新常态之一。

二、混合办公驱动因素分析

( 一 ) 外部显性因素：科技变革和疫情倒逼

在发展初期，混合办公主要是由科技变革带动。这一时期由个人电脑的快速发展带 来的电脑软件开发热潮，使得更多的线上协作办公成为可能，且工作也不再依赖于特定 的公司电脑设备。之后由于移动互联网的快速发展，在此浪潮中混合办公所需的各类应 用在智能手机上应运而生，随着软件与云计算的驱动，数字工具开始大量使用，为混合 办公提供了技术支撑，例如企业微信、腾讯会议等工具正在缩小同步沟通的鸿沟，这些 工具在虚拟环境中重塑了全新的办公体验。

这两个阶段，其实都是以科技为驱动力，在 为真正的混合办公大浪潮作积累和铺垫。在当前时期，混合办公的发展由外部因素推动。 疫情作为突发事件，将混合办公的应用率在各行各业大幅拉升，前期的各类能为混合办 公所用的软件、技术、工具，配合智能手机、手提电脑和平板，在混合办公模式下被大 幅使用，成就了混合办公的浪潮。Gartner 分析师甚至认为，疫情让混合办公趋势加快 5-10 年到来。

( 二 ) 深层次隐形因素：全球不确定性与人才国际化

一方面，世界不确定性的增加使得传统办公模式在各类物理风险面前越来越脆弱。 从近 10 年来看，在全球范围内，难以预测的“黑天鹅”事件频繁发生。从企业办公模 式效率上来看，传统的集中办公模式无法有效应对突发事件。即使许多企业拥有多个城 市的分支机构，通常也主要以业务线和职能划分，但当突发事件使得某个城市分部关闭 时，公司的某个业务线便可能直接瘫痪。随着远程会议、协同工作软件的发展，远程办 公在技术上已经趋向成熟，加上混合办公模式，打破了以往传统工作所建立的工作与生 活的边界，作为一种人力资源管理创新的弹性工作制，在物理空间及公司设备上都具有 灵活性，可以很大程度应对突发事件。

另一方面人才国际化的持续深化和对办公协作效率的追求。在当前的时代背景下， 不同国家的人才之间协作越发紧密。面对彼此之间文化与时差的差异，高效灵活的混合 办公模式成为了企业的运营核心。它可以促进同步沟通协作、完成异步协作。还可以记 录与同步工具与功能模块。自此，传统物理空间内集中的办公模式不再是唯一的选择。 在混合办公模式下，同城员工在效率提升的前提下可以采取办公室办公；需要与其他地 区同事协同工作时，这种模式可以打破时间、空间的限制，让不同地区的员工进行高效 的远程协作。混合办公模式具有的极致灵活性，可以使员工提升办公协作效率，增强对 于工作地点、时间和方式的控制权，企业管理者为实现弹性工作制所做的决定，以及企 业为人才让步的选择空间，将影响从文化和创新到组织如何吸引和留住顶尖人才的方方 面面。

此外，随着文化多元化发展，95 后逐渐进入就业市场，新一代的就业观念发生较 大变化，择业标准以创新、个性、灵活、价值实现等为主要衡量标准和因素。最直接的 表现就是灵活就业人员的比例越来越大，许多人选择成为自由职业者或者兼职工作者， 从而在地理上会变得更加分散。

三、混合办公趋势展望

混合办公，是未来已来的新的工作模式、 是新的企业生存策略和竞争战略

( 一 ) 混合办公是人类办公模式的历史性演进和迭代

通过对混合办公的发展历史脉络和驱动因素分析进行梳理盘点后，我们认为混合办 公的形成并不是仅仅由疫情这一外部因素的孤立推动，而是科技的发展，工具的丰富， 外部不确定性的增强，人才国际化和对办公效率的追求等多方面因素共同推动形成。纵 观历史，这些因素的发展本质是由生产力的提升和资源更大范围更高效地配置而推动， 都是不可逆的，故混合办公模式形态的出现不仅仅是疫情下的短暂现象，而实际上是人 类办公模式的历史性演进和迭代。

在混合办公时代，我们不再被传统的时间和空间所束缚，这是一个巨大的思维与行 为模式的转变。混合办公，是未来已来的新的工作模式、是新的企业生存策略和竞争战 略。所有致力于未来竞争的企业，都将向混合办公模式进行迁移，先行者将享有先发优 势。企业管理者须从根本上重新审视和设计企业的运作模式，制定能够赋予员工极大灵 活性的计划。具体来看，主要有三个特征：

1. 数字化

混合办公是数字经济的时代产物，是在数字化技术的助力下萌发新的工作模式。通 信技术、互联网技术的发展为实现混合办公提供了协作保障。尤其是随着互联网技术的 普及，让工作流程数字化程度不断提升：一方面为混合办公提供了技术支撑，另一方面 解放了固定的办公场所，人们可以通过移动互联设备进行随时随地的接入工作

2. 协同化

互联网平台、数字化工具等前沿科技产品 推动了混合办公发展。混合办公能够正常进行 离不开协同工具的支持。当前主要的线上协同 工具包括：以企业微信为代表的一站式协作平 台、以腾讯文档为代表的文档协作平台、以腾 讯会议为代表的云视频会议平台。

3. 弹性化

混合办公模式的变革将赋予工作者更多的自主性以 及时间安全和地点选择弹性。根据自身作息习惯和舒适 度选择办公方式。大部分员工将再不按照传统的时间进 行工作，而是将一整天的时间划分为个人时间、家庭时 间和工作时间等部分，以便更好地兼顾他们身负的角色。 这不是工作与生活的平衡，而是生活的整合。一天中， 我们需要整合我们的工作活动、家庭活动、社会活动和 个人活动。为此，工作团队需要设定每个人都有空的核 心时间。同时，他们还需要设定标准，在工作时间段以 外的时间可以联系到其他人。

( 二 ) 混合办公已然流行，但仍有很大的增长空间

混合办公模式已然流行。本次腾讯研究院联合腾讯安全，以企业员工为研究对象， 制作调查问卷并有效收回 3788 份的数据分析结果显示，有 57.6% 的受访者表示公司已 开启了混合办公。

从这超过一半的比例可以看出，许多企业已在时代形势下，积极采纳与尝试混合办 公模式。 混合办公模式广受企业员工支持。员工是混合办公的核心使用和受益主体，他们 的支持是混合办公继续发展的重要推动因素之一。调研结果显示，混合办公受到了员工 们广泛的支持。83.8% 的受访者表示支持或非常支持混合办公。员工支持主要有两点原 因：

一方面，混合办公能够省去员工 来回通勤的时间和精力，从而将更多 的时间投入工作生产。这在上下班高 峰期较为拥堵、平均单位时间价值较 高的一二线城市，其价值尤为明显。

另一方面，混合办公能让员工自主地灵活 地调节工作节奏，从而提高单位时间效率。混 合办公使得员工可以不受大多数物理条件的限 制进行高效率地沟通连接，及时了解最新情况， 调整工作计划，提升效率。例如，通过快速协 商随时随地进行远程会议，辅以异步沟通，使 得沟通的速度效率更高，目的性也更强。

总的来说，员工工作效率是驱动企业加大混合办公应用的支持因素。员工可以根据 自身家庭和个人的需要，减少无效时间耗费，增加有效的时间；较为灵活合理地安排工 作和生活的各项事务的顺序和时间点，从而提升时间利用率；在恰当的时间安排恰当 的事务，从而提升单位时间生产效率。调研显示，在进行混合办公的人群中，73% 的 人工作效率都达到了不同程度的提升。其中，28.1% 的人认为其工作效率大幅提升， 44.9% 的人认为其工作效率小幅提升，而 16.6% 的人认为没有变化。效率无疑是企业 最关注的维度之一，因此，企业从自身的企业直接收益的角度，也有动力扩大混合办公 应用的范围和频率。

混合办公将来仍有很大的增长空间。一方面从现状看，调研结果显示 57.6% 的受 访者表示所在公司已经开启了混合办公，但 83.8% 的受访者表示支持或非常支持远程 办公，可见还有相当一部分比例的企业目前正潜在受到内部自下而上的推动，发展应用 混合办公模式。我们预计，这些企业会进一步加大混合办公模式在企业中的人员覆盖范 围、人员覆盖比例、以及员工混合办公的频率。

另一方面从发展趋势看， 68.3% 的受访者表示希望有更多机会进行混合办公。这 意味着，许多员工对这种模式整体的体验非常认可，希望在将来也能够增大混合办公的 频率和覆盖面。

四、混合办公安全日益成为重要焦点

( 一 ) 在混合办公模式下，安全是主要关注点

从企业与员工的角度、员工体验与效率提升的角度，以及应对不确定的全球经济， 混合办公模式正在不断地被人们所接受且日益流行，日后的增长潜力不容忽视。但与此 同时，在混合办公模式下，安全的重要性已经被企业和员工在相当程度上关注。在我们 调研中，当被问及混合办公的重要要素时，安全（68.3%）排在了受访者认为第二重要 的要素，仅次于效率（82.6%）。

这说明，在混合办公领域，安全与效率拥有近乎并行的重要性，应当并举发展。许 多员工和企业已经初步意识到，混合办公相比集中的传统办公，会带来许多新的安全风 险。面对不同身份、用户、数据来源如何保证企业业务和数据安全成为巨大挑战。

从宏观层面看，近年来对企业安全造成威胁的外部安全攻击事件案例层出不穷，极 大地威胁着企业的正常办公活动。例如 2019 年，某远程会议软件被黑客发现漏洞，通 过该远程会议软件，攻击者能够获取苹果 macOS 用户的计算机控制权。而该远程会议 软件花了三个月的时间才解决漏洞。（8）2021 年初，国内多家安全厂商检测到蠕虫病毒 incaseformat 在国内大范围爆发，涉及政府、医疗、教育、运营商等多个行业，且感 染主机多为财务管理相关应用系统。感染主机表现为所有非系统分区文件均被删除，对 用户造成不可挽回的损失。（9）这些企业安全事故以及被发现的潜在安全漏洞案例，表 明企业无时无刻都受到外部各类安全威胁。

从微观层面看，企业每天都面临着大量员工在混合办公时，存在各类安全风险操作 行为。本次调研发现，目前处于混合办公状态的员工在工作中常常出现对企业具有潜在 安全风险的操作行为：一是有 52.4% 的受访者表示，他们曾经接入过公共场所的 WiFi 进行办公。二是有 51.6% 的受访者表示，他们曾在混合办公时，没有将个人文件和办 公文件分开，并加密重要文件。三是 48.4% 的受访者表示，他们曾因个人原因使用过 公司的设备。四是 21.6% 的受访者表示，他们曾在结束混合办公时，未及时退出公司 系统。

根据 ESET 分析数据，仅 2020 年三季度，利用远程桌面协议攻击的案例就增加了 140%。另一方面家用系统中运行着存在漏洞的 VPN 客户端以及没有打补丁的软件，安 全性较差。网络终端设备上的远程办公桌面协议配置不当，或者登录安全性薄弱的云服 务，包括使用弱密码且无多重身份验证，将面临安全风险。以上的风险行为，只需要极 小的比例，就有可能对公司的安全带来威胁，甚至实质的伤害。而我们的调研发现许多 行为已经达到了不可忽视的比例，甚至超过了 50%，值得引起企业高管和安全人员的 高度重视。

( 二 ) 混合办公模式下，安全的认知和保障不足

混合办公模式发展时间短，速度快。其本身分散办公、网络异构、设备多样等特点， 是企业在面对安全威胁和安全管理复杂度方面的新挑战。在混合办公模式下，如何应对 这些威胁，进而如何构建企业的混合办公安全体系，需要企业与员工树立系统性、完整 的认知和完善的安全能力。

然而，在我们的调研中发现，企业在混合办公模式下对安全的认知普遍不足。 41.2% 的受访者表示，其所在的企业没有指导 / 宣传过混合办公安全的相关要求和规范。 其中包括账号安全、数据安全、网络安全事项，另外有 45.4% 的受访者表示“有，但 指导说明得不充分”。仅仅 13.4% 的受访者表示其公司有进行充分的指导说明。

这说明，一部分企业还未开始宣传混合办公安全要求（有可能尚未明确和规划清楚， 或尚无相关意识），另一些企业认识到了混合办公安全的重要性，但对于具体其包含什 么，如何去推进、建设和落地缺乏认识。企业在混合办公模式下对安全的保障普遍不足。 调研结果显示，64.5% 的受访者所在企业的混合办公安全保障不佳，其中 37.3% 的受 访者表示，其所在的企业没有为混合办公提供技术支持和安全保障。另外有 27.2% 的 受访者表示不了解，这说明，这部分企业还未开始宣传或有可能尚未有任何安全保障措 施。仅仅 35.5% 的受访者表示其公司有一定的技术支持和安全保障。

( 三 ) 网络攻击规模化与攻击门槛降低

一是成规模网络攻击挑战。混合办公将成为新的威胁跳板，不仅仅是重大活动和 日常保障需要加强安全保护能力，在混合办公常态化时期更加普遍。基于传统 VPN 的 访问无法在数据、用户、终端和业务方面满足新的安全需求。视频会议、网络课程、移 动支付等快速普及。网络攻击也随之发生新的变化，尤其是针对个人信息泄露、企业数 据窃取、移动钱包支付被盗、威胁勒索等。2021 年 5 月，美国保险公司巨头就向 REvil 勒索团伙支付了 4000 万美元的赎金。高价值、大范围的攻击目标，为投资该技术的网 络犯罪分子提供大量回报。

二是网络攻击难度降低。混合办公导致企业员工将长期居家工作，但大部分家中的 联网设备都不是由企业 IT 部门进行配置，安全防护能力与企业不同。随着数字化转型 步伐加快，大量企业业务和数据向云端迁移，针对云服务的大规模攻击开始增加，放在 云上的数据具有高敏感性，当这些文件被员工共享出去以便协作的时候，将大大增加被 黑客截获的可能性。尤其是没有密码或者使用了弱密码的文件。卡巴斯基曾披露数据显 示，2019 年约 46% 的网络安全事件，是由粗心大意的员工引起的。而混合办公的常态 化，对漏洞和威胁的监测没以前及时，这让情况雪上加霜。例如，某视频会议软件曾被 披露出现重大安全缺陷，允许黑客访问用户的摄像头。

三是以假乱真的在线欺诈。当前，以假乱真的深度伪造诈骗还难以防范。包括窃取 死者身份进行欺诈的幽灵欺诈、通过语音克隆的身份欺诈、通过组合多人信息和图像创 新身份的虚拟欺诈等。2019 年，就有黑客通过 AI 语音克隆银行领导，从阿联酋一家银 行骗走 3500 万美元。同时，面部伪造技术也越来越逼真，在短视频领域深度伪造技术 把汤姆克鲁斯的脸复制到自己身上并生成视频，引发病毒式传播，导致人们对音视频内 容今后将产生较强的不信任感。

五、混合办公 5 大关键要素

( 一 )i-DEAN 5 大要素

企业为了能够更好地拥抱混合办公，在实现更高的效率和员工满意度之外，还需要 确保公司的全方位办公安全。在降低安全风险的同时，使得公司混合办公模式能够真正 实现长期可持续发展。为此，我们分析总结了混合办公安全的五大要素，我们将之称为 “i-DEAN 5 大要素”：

i: Identity Security. 身份安全

身份安全包括身份认证、身份标签管理、权限授权、访问控制以 及安全审计等。核心是要确认使用者的身份是否在企业允许的人 员范围内：具体属于哪个级别和权限的使用者，是否使用了被盗 用的身份信息，是否有中途被劫持身份信息的可能等。

D: Data Security 数据安全

数据对于现代企业来说非常重要。数据并非是静态，而是不断产 生和流动的，因此数据安全需要保证数据处理的全流程安全，包 括数据的收集、存储、使用、加工、传输、提供、公开等。

E: Equipment Security 设备安全

设备安全需要确保企业各类设备，云上与云下，员工私人端和企 业端的设备安全。需要实现对设备的属性管理、动态访问管理、 合规检测和实时保护。

A: Application Security 应用安全

应用安全涵盖了企业各类软件与系统，其中包括了企业内部应用 和企业外部应用。在企业外部应用中，又包括了面向 C 端用户的 应用和面向 B 端用户 / 价值链上下游合作商的应用。需要保护应 用层、虚拟机组件、计算容器等的安全。

N: Network Scurity 网络安全

对企业内部网络以及企业被外部目标用户访问和使用的网络进行 保护，使其不因偶然的或者恶意的原因而遭受到破坏、更改、泄露， 系统连续可靠正常地运行，网络服务不中断。

身份安全是混合办公安全的核心

在这五个要素中，身份安全是混合办公安全的核心，一切混合办公安全需要保证使 用者的身份是安全可靠的，是公司允许范围内的人员。在传统办公场景中，员工通常处 于集中式的办公环境，其身份相对容易确认。但在混合办公模式中，工作人员不再局限 于传统的集体物理办公空间中。居家办公或者在非公司的公共场所工作成为新常态，因 此原有的安全模式不再适应新的办公场景。

在数字经济快速发展的当下，员工的 定义本身也变得更加宽泛：不仅包括全职 员工，还包括了兼职、供应商人员、甚至 是 B 端的合作伙伴。这些不同类型的人员， 都需要拥有各自不同级别的权限访问公司 网络、应用、数据与设备。此外，由于不 在集体物理办公空间中，相关人员自身的 身份安全也不能被实时确认，因此其身份 存在被盗取或者劫持可能性大大增加。这 些新的变化都使得身份安全成为了混合办 公安全的核心要素。

基于身份安全这一核心，进一步地延展开来，还需要保护公司各方面的安全，包括 数据、设备、应用和网络的安全。

( 二 ) 混合办公安全成熟度的模型

基于混合办公模式仍在发展演变中，企业关心如何评估自身混合办公模式安全的成 熟度。当前，混合办公模式仍处于发展早期阶段，许多企业不确定自身正在施行的混合 办公模式是否高效、安全。其中一方面原因是，许多企业启动混合办公模式是由于外界 环境的突发变化、被动实施的，缺乏充分的规划和思考，因此这些企业并不知道混合办 公模式下的安全威胁来自哪里、安全部署应该如何建设、安全成熟度取决于哪些方面， 显得无从下手。另一方面，是因为混合办公模式发展的时间还不长，业内还没有出现权 威的混合办公安全规范指引，而企业自身也缺乏足够的经验和数据，去积累验证其安全 体系实施的准确效果，也缺乏与其它企业安全体系的途径和相关信息的横向对比。

因此，许多企业都迫切希望能够有更加科学的方法来评估自身混合办公模式安全的 成熟度，帮助企业更清楚地定位自身在混合办公安全领域的发展水平，以及持续发展和 优化的方向。若需要深刻理解和评判企业的混合办公模式安全成熟度，我们不仅需要安 全的视角，也需要业务的视角。前文总结的混合办公安全的“i-DEAN 5 大要素”，实 质上是在安全的语境角度下，对混合办公安全的要素解构。

( 三 ) 混合办公成熟度模型实践

下面，我们以国内一家互联网公司为例，运用混合办公安全成熟度模型进行评估， 让读者能更直观地理解如何使用混合办公安全成熟度模型。 假设，一家民营企业 A, 其员工规模为 30000 人，有 15 个业务部门，和 8 个职能部门。 企业有大量的混合办公需求。公司于 2021 年年初，明确了开启混合办公模式的基本原则， 并制定了细致的相关规章制度，以及具体的分阶段实施计划。公司由部分安全部门员工 组成了混合办公安全小组，隶属于企业安全部门。在该部门的努力下，公司改造并实现 了混合办公下的身份安全和数据安全的防护。企业的 3 个核心业务部门与混合办公安全 小组共同磨合打通了混合办公模式下的业务全流程与相应企业安全体系，并配备了相应 的运维保障人员，以传统在场运维为主。其它部门已有跟安全小组对接的计划，部分已 在进行中，部分尚未开始。

结论与分析： 该企业的整体混合办公安全成熟度评分为 3.05，属于初步成型阶段。公司初步形 成了有效的混合办公安全体系，且在大多数领域有了实施细节。但在整体混合办公安全 体系下，依然有许多不成熟的细节。 具体来看，该企业已经有了较完善的架构设计和规章制度，这些能引导企业从方向 上和管理上，走在混合办公模式里的正确发展道路。然而，企业在技术工具和运维保障 方面依然薄弱，处于起步阶段，急需重点补齐，尤其可以将其零信任的应用进一步增强， 这样能快速地提升技术和运维能力，否则会使得企业在这两个重要底层支撑方面无法给 予混合办公安全所需的足够保护。此外，该企业在业务契合度和团队配置两方面也尚处 于初步成型阶段，需要继续加强，尤其是以业务契合度作为混合办公安全成熟度的中坚 核心，也需要企业进一步将所有业务与其混合办公安全体系进行磨合。

六、零信任体系正在成为解决混合办公安全的重要手段

信息技术的快速演进，数字经济的蓬勃发展，助推各行业加速迈向数字时代。而 疫情的冲击，加快了企业推进业务移动化的步伐，纷纷开启远程办公、混合办公等办公 新模式。混合办公虽然缓解了当前疫情防控的燃眉之急，但是也突破了传统企业网络边 界，导致网络边界更加模糊，接入公司网络的终端更加多样、复杂，这对网络安全和数 据安全均提出了更高的要求。而基于“永不信任，持续验证”原则的零信任体系正在成 为解决问题的重要手段。如何通过架构零信任体系来解决企业办公场景中的安全问题， 也成为企业 CIO 和安全部分负责人关注的重点。

( 一 ) 零信任概念综述

传统的企业安全架构是基于企业网络 边界作为信任分界线，企业内网访问默认 受信的。虽然在互联网边界部署了防火墙、 WAF、入侵检测等设备以构建安全护城河。 一旦攻击者获得对网络的访问权，就可以自 由访问甚至控制内部的一切。与此同时，当 前很多企业将数据分布在不同云供应商之 间，这使得对整个网络进行单一安全控制变 得更加困难，加剧了城堡和护城河安全系统 中的漏洞。随着混合办公的兴起，企业过去 定义的边界逐渐失效，而“零信任”，作为 新理念，应运而生。

零信任的本质是一种安全理念，“持续验证，永不信任”是其基本观点，其核心在 于保护关键数据或者业务流程。零信任假定网络边界内外的任何访问主体（人 / 设备 / 应用），在未经过验证前都不予信任，需要基于持续的验证和授权建立动态访问信任， 其本质是以身份为中心进行访问控制。零信任架构则是一种企业网络安全的规划，它基 于零信任理念，围绕其组件关系、工作流规划与访问策略构建而成。

零信任的理念，非常适合当今网络边界 模糊的时代，尤其是在混合办公模式兴起的 背景下，企业中人、设备、应用所面临的安 全风险都大大提升。零信任理念在企业安全 领域拥有巨大潜力，这样的潜力也已经得到 了人们的认可。在调研中，65.8% 的受访 者认为，未来零信任会在企业安全领域起到 更大的作用。

除了认知上的认可，在行动上，零信任已经被许多企业积极拥抱，正成为保障混合 办公安全的核心武器。在了解零信任概念的受访者中，22.7% 的受访者所在企业零信任 产品已经到位。40.2% 的受访者所在企业零信任项目正在进行中。22.3% 的受访者所 在企业零信任项目已经计划好。可以看出，许多企业已经在使用或者计划使用零信任来 保障企业安全。

效率、安全与合规是企业对零信任的核心期待。零信任对于企业和员工来说，最大 的价值点在于其能够同时实现效率、安全与合规，这也是企业梦寐以求的公司运营“黄 金三角”。这样的期待同样体现在了我们的调研中。当在被问到，“你的公司决定是否 启动零信任安全管理程序的关键驱动因素有哪些？”时，排名最高的五项分别是：加强 安全 / 数据保护（50.7%）、提升业务效率（45.5%）、减少端点和物联网安全威胁（39.1%）、 提升对安全事件的响应（36%）、符合行业 / 监管合规（28.1%）。这其中，第一名、 第三名、第四名为安全相关；第二名为效率相关；第五名为监管相关。

( 二 ) 零信任在混合办公场景下的作用体现

在零信任的潜力得到了人们的认可后，下一步重点是如何让零信任的理念真正在混 合办公模式中得到具体应用及相应的准备。

首先，在落地零信任产品之前，企业需要系统地梳理其企业安全和零信任模式之间 的契合点与落地结构。企业需要盘点梳理自身拥有的资产，明确哪些资产需要保护、为 什么需要保护、以及防范的对象有哪些，以此确定其零信任模型的基础方向。这样的梳 理是和企业业务紧密相关的，应该与企业业务部门共同梳理与明确，防止错漏以及对企 业安全保护方向的偏差。

其次，企业应用“隐身”，缩小攻击暴露面。企业 VPN 端口暴露在外就会成为攻 击者的跳板，VPN 本身不会对访问终端以及异常访问进行动态验证，重要业务在外网 处于“裸奔”状态。同时，混合办公场景下，企业员工大量使用个人终端，导致企业数 据有可能会保存在员工的个人设备上，随时面临数据泄露的风险。零信任安全网关的作 用就在于，将企业内网应用“隐身”，只有安全浏览器才能与零信任网关建立加密链接，非授权的用户、工具均无法链接零信任网关，从而显著缩小攻击暴露面。同时，核心应 用可以配置为只接受来自零信任安全网关的链接，这样即使在同一网络内的非授权用户 也无法触及核心应用，从而实现了最细颗粒度的应用隔离。

第三，企业需要梳理其员工权限的层级，了解员工和服务账号目前的权限。并根据 业务需求和企业安全目标制定企业新的员工与账号的等级体系和权限体系，做到安全和 效率的兼顾。

第四，安全门户统一，提升用户体验。企业需要梳理和预判所有潜在的攻击来源， 梳理可能会被攻击的企业内外部的软件、系统、网络和设备，根据梳理的列表制定完整 的零信任安全方案，并建立统一工作台，实现多业务系统统一门户。系统支持 SSO 单 点登录，让用户不必切换账号，直接无缝访问多个环境的应用，解决业务系统账号繁杂 的问题。同时可以满足各类用户 Web 业务访问企业内部 OA、CRM 等、通过浏览器远 程桌面访问公司内网主机的远程研发、通过浏览器 SSH 工具访问公司内网设备的远程 运维等多种需求。在提升办公效率的同时，最大限度的消除地域限制，实现随时随地安 全办公。

最后，动态按需授权，确保终端访问安全。企业的零信任项目不是静态的，一成不 变的，而是会随着业务的发展，和内外部的安全形势的变化，而不断迭代优化的。比如， 业务的发展会带来新的安全方面的需求，这时零信任产品需要根据员工的需求进行迭代， 满足新的安全需求，同时保持员工作为产品用户的体验。基于零信任的理念，不自动信 任网络的安全性，任何访问用户的身份和设备都要“先认证、再接入”。

同时，对于接 入的授权用户，根据最小权限原则只允许用户访问其允许访问的业务系统。例如，只允 许财务部门的员工访问财务系统，不允许访问 CRM 系统。从而避免了用户被过度授权， 大大减少攻击面，也降低了用户泄密的风险。除了应用维度之外，还可以对用户的访问 设备、访问位置、访问时间等维度进行安全限制。系统可以为不同用户配置不同的安全 策略，并且基于来自终端环境、身份信息、审计日志等多源数据建立用户的信任模型， 对用户的访问风险进行实时评估，根据结果动态调整其安全策略。同时结合数据防泄密 功能，保护企业核心数据的安全访问。打造集终端环境安全和数据安全于一体的安全混 合办公新模式。

编辑：999感冒灵