邊界防禦與零信任的差異：信任的前提、驗證的頻率、遠端存取比較
邊界防禦是信任公司內部網路的內側，在與網際網路的邊界配置防火牆或 VPN 設備，以阻擋來自外部攻擊的想法。零信任則不依網路位置給予信任，對使用者、裝置與存取對象的每一種組合，在每次存取時確認後，只允許必要的部分。美國 NIST 在 SP 800-207（2020 年）中定義了零信任架構。雲端服務與從公司外部的使用增加，需要保護的對象移到了邊界之外，是零信任普及的背景。
| 項目 | 邊界防禦 | 零信任 |
|---|---|---|
| 信任的前提 | 信任公司內部網路的內側，不信任外側 | 不依網路位置給予信任。來自公司內部的存取，也與外部一樣每次都要確認 |
| 防禦配置的位置 | 與網際網路的邊界（防火牆、VPN 設備、代理伺服器等） | 使用者、裝置與存取對象（應用程式與資料）之間的每一條存取路徑。設置判斷是否允許的地方（政策決策點），以及依判斷放行的地方（政策執行點） |
| 驗證與授權的時機 | 進入公司內部網路時（例如連上 VPN 時）一次 | 依存取對象、依工作階段進行。由使用者驗證（多因素驗證等）、裝置狀態、地點與時間等判斷，情況改變時重新評估 |
| 從公司外部的存取 | 以 VPN 連上公司內部網路，視同在公司內一樣對待 | 以 ZTNA（零信任網路存取）等方式，只連到允許的應用程式。不讓使用者進入整個網路 |
| 遭入侵後的橫向擴散 | 一旦被入侵內側，內部設備之間的通訊限制少，容易擴散到其他設備 | 細分存取並只給予必要的權限（最小權限），因此不易擴散 |
| 裝置的處理 | 容易信任連在公司內部網路上的裝置 | 裝置是否受管理、作業系統更新與惡意程式防護是否正常，每次存取時都作為判斷的依據 |
| 可視化與記錄 | 會記錄通過邊界的通訊，但內部設備之間的通訊不易看見 | 記錄所有存取的請求與判斷，用於持續的監視與判斷政策的改善 |
| 與雲端的契合度 | 雲端服務與在家使用增加後，需要保護的對象會移到邊界之外。若所有通訊都經由 VPN 集中到公司內部，線路與設備容易壅塞 | 不論地點都以相同的政策判斷，因此適合雲端服務與遠距工作 |
| 遷移的難度 | 機制容易理解，許多組織已經具備 | 需要身分管理、裝置管理、應保護資產的清單與存取政策的設計，需分階段遷移。並非導入一項產品就能實現 |
數值為具代表性的大致參考值，會因世代或產品而異。