踏上零信任之路，企業首先應根據自己的業務和資安需求建立一些基本原則。

• 將所有資料和服務都視為資源 – 今日的網路是由許許多多不同類型的裝置和服務所構成。軟體服務 (SaaS)、雲端服務等各類服務，以及存取企業資源的個人裝置，都可納入零信任的範疇之下。
• 絕不信任網路位置或身分 – 傳統的邊界防護僅靠一道門來把關想要存取企業資源的使用者。使用者只要通過認證，就能存取各式各樣的企業資產。但這樣的作法也為駭客開了一道方便之門。一旦駭客進入了企業，他們就能在內部網路四處遊走，順便安裝各種惡意程式和勒索病毒。
• 授予的資源存取權限只限用於當下的連線階段 – 先建立信任，然後再授予存取權限，並且只提供執行工作所需的最低必要權限。
• 根據動態的政策來決定存取權限 – 所謂的政策是指套用到某個對象、資產或應用程式的一套存取規則。根據您的業務需求以及您可接受的風險來建立政策。所謂動態的政策，可包含持續監控的使用者、裝置和行為 (例如觀察到的使用模式) 等條件的風險等級。也可包含環境周邊條件，例如：網路位置、時間、進行中的攻擊。
• 沒有任何資產天生值得信任 – 藉由一套持續監控系統在某項資源請求期間評估資產的資安情況。將個人裝置也納入考量，選擇這些裝置該有的存取等級。這樣的做法並不像表面上看起來那樣極端，原因在於，原本已經通過安全檢驗的伺服器，很可能因為某個漏洞的揭露或因為某個小元件 (例如某個開放原始碼函式庫) 稍有變動而瞬間陷入漏洞攻擊的危險。
• 不斷重複驗證是否繼續信任 – 信任並非永久。一旦使用者或裝置的風險升高，就必須斷然採取行動，立即將連線終止，或者將帳號重設。
• 嚴格執行認證與授權 – 使用動態原則在通訊過程當中持續掃描、評估威脅、做出調整，然後再重新評估是否繼續信任。建置一套身分、登入憑證與存取管理系統 (ICAM)，包括對適用的資源套用多重認證 (MFA)。根據時間、非預期活動或新的資源請求等等來重新評估政策。
• 盡可能蒐集越多資訊 – 有關資產安全狀況、網路流量，以及存取請求等等的資訊非常重要。好好利用這些資料來了解該如何改善資安政策以及政策的落實。