8. 關於零信任安全架構（Zero Trust Architecture），下列敘述何者「不」 正確？
(A)零信任基礎認知，也就是假設不信任任何人為前提的安全架構
(B)從網路到裝置都是零信任控制點。換言之，不管是連接裝置、應用程式或是組件，都視為威脅向量，必須經過認可及驗證
(C)零信任包含：網路、設備、使用者、資料，不包含Workloads
(D)零信任安全架構四大支柱：身分可信、架構可信、存取可信、服務可信

• (A) 零信任基礎認知，也就是假設不信任任何人為前提的安全架構
• 正確。 零信任的核心格言就是「永不信任，始終驗證」(Never Trust, Always Verify)。它打破了傳統「內網即安全」的邊界防護思維，假設威脅可能來自外部或內部。
• (B) 從網路到裝置都是零信任控制點... 都視為威脅向量，必須經過認可及驗證
• 正確。 在零信任環境中，任何嘗試存取資源的請求（無論來自哪種裝置或應用程式）都必須經過動態的身分驗證、授權與加密。
• (C) 零信任包含：網路、設備、使用者、資料，不包含 Workloads
• 錯誤（本題答案）。 零信任的保護範疇涵蓋非常廣。根據美國 CISA 的零信任成熟度模型，工作負載 (Workloads) 是其中的關鍵支柱之一。工作負載指的是在雲端或伺服器上執行的應用程式、容器、虛擬機等，它們之間的溝通也需要經過驗證。
• (D) 零信任安全架構四大支柱：身分可信、架構可信、存取可信、服務可信
• 正確。 這是台灣數位發展部（及資安院）在推動政府零信任架構時定義的三大階段與核心支柱（身分鑑別、設備鑑別、信任推斷），選項中的描述符合現行實務架構的分類方式。
關鍵觀念補充：零信任的五大支柱
根據 NIST SP 800-207 與 CISA 的定義，一個完整的零信任架構通常包含以下五個領域（支柱）：
1. 身分 (Identity)： 確保存取者是本人（如使用 MFA 多重因素驗證）。
2. 裝置 (Device)： 檢查發起請求的設備是否安全、有無病毒或合規。
3. 網路 (Network)： 將網路微切分 (Micro-segmentation)，防止攻擊者橫向移動。
4. 工作負載 (Workload)： 保護應用程式、API 及運算資源（選項 C 錯在此處）。
5. 資料 (Data)： 確保資料在傳輸與儲存時皆有加密，並嚴格控管存取權限。