默认不信任，始终验证：零信任安全模型假定网络内部和外部的所有用户、设备和资源都是不可信的，不给予任何默认的信任。无论是来自企业内部网络还是外部网络的访问请求，都需要进行持续的身份验证和授权，只有通过严格验证的实体才能被授予访问权限。
最小化权限原则：在零信任架构中，每个用户和设备被授予的访问权限应是完成其任务所需的最小权限集。这意味着用户只能访问其工作所需的特定资源，且只能执行必要的操作，从而限制了潜在的攻击面。
基于身份的访问控制：零信任强调基于用户、设备和应用的身份来进行访问决策，而不仅仅依赖于网络位置或 IP 地址等传统因素。通过对身份的持续验证和评估，结合上下文信息，如用户的行为模式、设备的健康状态等，来动态地确定是否授予访问权限。
持续监控与评估：零信任安全体系要求对所有的访问活动进行持续监控，实时收集和分析各种安全数据，包括用户行为、设备状态、网络流量等。通过对这些数据的分析，及时发现潜在的安全威胁和异常行为，并动态地调整访问权限和安全策略。
微隔离：将网络划分为多个微小的安全区域，每个区域之间进行严格的访问控制和隔离。即使某个区域受到攻击，攻击者也难以横向移动到其他区域，从而限制了攻击的传播范围。
数据保护为核心：零信任将数据保护放在核心位置，强调对数据的分类、分级和加密，确保只有经过授权的用户和设备能够访问和处理敏感数据。同时，对数据的访问和传输进行严格的监控和审计，防止数据泄露和滥用。
