为什么终端安全厂商也必须做身份安全？

很多客户以为，身份安全是 IAM 厂商的事，终端安全厂商只要管好设备、管好准入、管好访问通道就够了。

直到审计问起几个问题：这个账号是谁在用？这台设备是否可信？这个人有没有权限访问这套系统？外包人员退场后账号有没有收回？高权限操作有没有审批和审计？

客户才会发现，终端、身份、权限和访问其实分不开。

所以，联软往身份安全扩展，并不是突然跨界，它更像是从终端安全、网络准入、零信任访问，继续走向身份、账号、权限、设备、访问和审计的一体化治理。

一、过去管设备，现在必须管“人和设备一起访问”

联软过去的优势，很大一部分建立在终端安全、网络准入和访问控制上。

这些能力解决的是：什么设备能接入网络，终端是否合规，访问链路是否安全，业务系统是否暴露在不可信环境中。

但今天客户会进一步追问：这台设备是谁在用？这个人有没有权限访问这个系统？他现在的访问行为是否正常？如果是外包人员、远程人员、管理员账号，是否需要更严格的审批和审计？

也就是说，安全判断已经不能只看设备，也不能只看账号，而要看“人、设备、权限、访问行为”放在一起是否可信。

这正是身份安全要解决的问题。

二、零信任天然要求身份安全能力

零信任不是简单替代 VPN，也不是只做一条安全通道。

零信任的核心是持续判断：谁在访问，从哪里访问，用什么设备访问，访问什么应用，是否符合策略，是否需要动态授权。

这里面，“身份”是第一判断条件。

没有身份治理，零信任就很容易停留在接入层；没有账号和权限治理，零信任也很难判断某次访问是否真的合理。

所以，联软从 SDP/NXG、NAC 继续扩展到 XIAM、PAM，本质上是在补齐零信任体系中的身份底座。

三、客户不再满足于单点工具

很多客户并不是没有安全产品。

他们可能已经有 AD、IAM、VPN、堡垒机、终端安全、准入系统、日志审计系统。但问题是，这些系统之间经常是割裂的。

身份系统知道“这个人是谁”，但不一定知道他的终端是否可信。终端系统知道“这台设备是否合规”，但不一定知道这个人拥有哪些业务权限。堡垒机能记录运维会话，但不一定知道这个管理员账号是否经过了权限复核。业务系统里还有大量共享账号、离职账号、长期未复核权限，平时没人能说清。

客户缺的不是更多单点工具，而是能把这些系统串起来的治理闭环。

联软往身份安全扩展，正是顺着这个需求：把身份目录、账号生命周期、权限复核、终端准入、零信任访问、特权账号管理和审计追溯联动起来。

四、合规要求正在从“有没有系统”转向“能不能证明”

等保、央国企内控、金融监管、攻防演练复盘，都会追问越来越具体的问题：

离职账号有没有全部回收？共享账号是谁在用？高权限账号有没有审批？权限有没有定期复核？外包人员访问核心系统有没有留痕？出事后能不能还原完整链路？

这些问题不是单靠终端安全或网络准入就能回答的。

它需要身份治理，也需要访问控制，还需要特权账号管理和审计能力。

联软如果只停留在终端和准入，就只能回答“设备是否合规、能不能进网”；扩展到身份安全后，才能继续回答“谁在访问、是否有权限、访问是否可信、操作是否可追溯”。

五、身份安全也是国产化和信创落地的关键环节

在央国企、金融、制造、能源、医疗等行业，身份安全不是简单买一套IAM 或 PAM 就能落地。

客户往往有大量本地业务系统、国产操作系统、国产数据库、内外网隔离环境、外包运维场景和复杂审批流程。身份治理必须能接入本地系统，适配国产环境，也要能配合客户既有安全体系。

联软在这些客户中已有终端、准入、零信任等基础能力，继续向身份安全扩展，可以更自然地接住客户的国产化、私有化、本地交付和合规需求。

六、从“接入安全”走向“身份访问安全”

可以把联软的路径概括为：

过去关注：设备是否安全、能否接入、访问链路是否可控。

现在扩展到：谁在访问、用什么账号、从什么设备、访问什么应用、权限是否合理、是否涉及特权、过程能否审计。

这不是推翻原有能力，而是在原有能力上增加身份治理维度。

XCAD 提供身份目录和账号基础；XIAM 负责统一身份治理和账号权限闭环；NAC 判断终端和设备是否可信；SDP/NXG 控制访问链路和应用访问；PAM 管住特权账号和高危操作。

这些能力组合起来，联软才能从“终端安全厂商”进一步走向“身份安全和访问控制平台”。

是因为客户的安全边界已经变了。联软往身份安全扩展，是从终端安全、准入控制、零信任访问向身份治理闭环的自然延伸，也是为了满足客户需求的变化。联软要解决的不是某一个单点问题，而是客户在真实业务现场中越来越突出的身份、账号、权限、访问和审计联动问题。

过去，安全边界在网络和终端；现在，安全边界正在转向身份、设备、权限和访问行为。

终端安全解决“设备能不能进来”，身份安全解决“谁能不能做这件事”。当客户的问题从“这台设备能不能进网”变成“这个人能不能以这个权限、从这台设备、通过这条链路访问这个系统”，身份安全就成了联软必须补齐的一环。