不因網路位置（公司內部或外部）而默認信任，而是對每一個存取資源的要求，確認使用者的身分驗證、裝置的狀態與要求的內容，只允許必要最小限度存取的資安思維。常以「永不信任，始終驗證（Never trust, always verify）」來表達。美國NIST在2020年公布的SP 800-207中，提出了其原則，以及政策決策點、政策執行點等組成要素。隨著雲端服務與遠距工作的普及，它被採納為補足邊界防禦的思維。
日文名稱: ゼロトラスト
「零信任」出現在2領域的4道練習題中（網路攻擊與防禦實務, 密碼學基礎與應用等）。
這個名詞所屬的領域: 網路攻擊與防禦實務
傳統的邊界防禦把公司內部網路視為可信任的內側，以防火牆阻擋外部入侵。在這種方式下，一旦攻擊者透過網路釣魚等手法進入內側，就能在內部自由行動。零信任不以內側或外側決定信任，對來自公司內部的存取也進行相同的確認，因此能縮小入侵後損害擴大的範圍。
SP 800-207把判斷是否允許存取的政策決策點（PDP），與在使用者和資源之間執行判斷的政策執行點（PEP）分開。判斷時會使用身分管理與多因素驗證、裝置的管理狀態、威脅情資、日誌分析等資訊。實作上會組合零信任網路存取（ZTNA）、微分段，以及以身分為中心的存取控制等。
零信任不是買一項產品就能實現，而是盤點要保護的對象（資料、應用程式、資產）、掌握通訊流向，並逐步收緊政策的持續工作。一般會分階段推動，例如先落實多因素驗證與裝置管理，再把重要的應用程式移到ZTNA。
正確答案：A. 不因位於公司內部網路就給予信任，每次要求都確認使用者與裝置的狀態，只允許必要最小限度的存取
傳統的邊界防禦把公司內部網路視為可信任的內側，在邊界防止來自外部的入侵。隨著雲端與遠距工作讓要保護的對象擴展到公司外部，加上進入邊界內側的攻擊者能自由行動的問題，不以網路位置給予信任的零信任思維逐漸普及。美國NIST在2020年公布的SP 800-207中，提出了不依網路位置默認信任、對資源的存取按每次要求授權、依據使用者與裝置狀態等的動態政策判斷等原則。常以「永不信任，始終驗證（Never trust, always verify）」來表達。
正確答案：B. PDP把驗證結果與裝置狀態對照政策加以判斷，位於使用者與應用程式之間的PEP，依該判斷讓連線通過或予以切斷
在SP 800-207中，由政策引擎與政策管理者組成的PDP，會把使用者的驗證結果、裝置的狀態、存取對象的重要性、威脅情資等對照政策，判斷是否允許存取。PEP設置在使用者與資源之間的路徑上，依PDP的判斷啟用、監控或終止連線。把判斷與執行分開，就能在一處管理政策，同時在許多應用程式的入口以相同方式套用。此外，若裝置狀態等發生變化，即使在連線中也能重新檢視判斷並停止存取。
並不會立刻變得不需要。零信任是不只靠網路位置就給予信任的思維，邊界防禦作為減少攻擊的一層仍然有用。不過在遠端存取方面，有從VPN轉向按應用程式授權的ZTNA的趨勢。
不信任的是「網路位置」，經過確認後仍會允許必要的存取。透過單一登入與通行金鑰等方式，讓使用者不太感受到確認的負擔，只在使用新裝置或從不尋常的地點存取時才要求額外確認，以兼顧安全與易用性。
隨著雲端與遠距工作讓要保護的對象擴展到公司外部，加上進入邊界內側的攻擊者能自由行動的問題，不以網路位置給予信任的零信任思維逐漸普及。
關於以零信任思維為基礎的存取控制，正確的說明是下列何者？常用於微服務之間的通訊、IoT設備與伺服器的連線、基於零信任概念的網路等沒有人操作的機器之間的驗證。
關於相互TLS（mTLS）的說明，正確的是下列何者？TLS 入侵指標（IoC） 入侵偵測系統（IDS） 供應鏈攻擊 軟體物料清單（SBOM） 資安事件管理（SIEM） 資安事件應變 資安監控中心 滲透測試 端點偵測與回應（EDR）