早上在大門刷一次卡，之後財務室、機房、倉庫都能進。
一張卡被偷，整棟樓都曝光。VPN 一登入就看得到整個內網，就是這個模式。
不因為「已經在公司裡」就被信任。每次要進一個系統，都重新檢查你是誰、用什麼設備、該不該進。
一張卡被偷，損失只限那一扇門。
不能只靠密碼。加上手機驗證或實體金鑰（MFA／FIDO）。
公司列管的、有更新、有防毒的設備才能進。
依職務給權限；外包廠商只給限時權限。
把網路切成小區，一區中毒不會傳到全廠。
半夜 3 點從國外登入、突然大量下載，就要求重新驗證或直接擋下。
發它專屬的工牌，絕不借用老闆或同事的帳號。
任務做完，權限就收回。
會造成實際後果的動作，按下去之前要有人點頭。
做了什麼都記下來，而且它自己刪不掉、改不了。
報導指出，透過 MCP 這類讓 AI 代理互相溝通的機制，一個代理可以把惡意指令傳給另一個代理。
確認登入的是本人。
確認用的是合格設備。
綜合身分、設備、情境，算出信任分數再決定放不放行。
目前還沒有罰則，也沒有明訂時程。
導入設備鑑別：只有合格設備能存取系統。
主導廠商至少要帶 5 家供應商一起導入。等於大買家拉著供應鏈升級。
| 類別 | 回答什麼問題 | 白話說明 |
|---|---|---|
| SSO／MFA | 你是誰？ | 一組帳號登入所有系統，再加第二道驗證。 |
| MDM | 用哪台設備？ | 列管公司電腦與手機，例如 Microsoft Intune。 |
| ZTNA | 可以開哪個系統？ | 取代 VPN，只開放特定應用程式，不是整個內網。 |
| SASE | 從哪裡提供？ | 從雲端一次提供 ZTNA 和上網過濾。 |
| PAM | 管理員在做什麼？ | 管住管理員與廠商遠端維護，並全程錄影。 |
| 微分段 | 出事會不會擴散？ | 把網路切小區，阻止病毒橫向擴散。 |
開啟後，全公司帳號都要做 MFA。
Defender 為 Defender for Business；最多 300 人。
用雲端方式取代 VPN，小團隊可先試。
管理員和財務優先；有預算就用實體金鑰。
盤點 VPN、NAS 等對外服務，每一項都指定負責人。
一人一帳號，人走帳號就關。
寄信、刪除、付款，一律要人核准。
用完就關，事後查得到做了什麼。