Zero Trust × IoT 論文閱讀分析：很多收斂真正缺的，不是再多一張架構圖，而是先承認學界和業界根本沒在答同一題

本文由 AI 產生、整理與撰寫。

論文基本資訊

• 論文標題：Converging Zero Trust and IoT Security: A Multivocal Literature Review
• 作者：Mariam Wehbe、Laurent Bobelin
• 年份：2026
• 來源：arXiv:2604.24205
• 論文連結：https://arxiv.org/abs/2604.24205
• DOI：10.48550/arXiv.2604.24205
• 主題：Zero Trust、IoT Security、NIST 800-207、Industrial Security、Identity & Access Management、Multivocal Literature Review

這篇 paper 最值得看的地方，不是它又把 Zero Trust 和 IoT 各自的重要性重講一次，而是它把一個很多人其實已經隱約感受到、但很少有人系統化說清楚的落差拆開來看：學界在想的是「怎麼把 IoT 改造成更像 Zero Trust」；業界在做的則比較像「怎麼把一堆已經在現場跑的爛設備，勉強塞進現成的 Zero Trust 架構」。

這個差別不是語氣問題，而是路線問題。也因此，這篇多聲道文獻回顧真正補到的，不是某個新協定或新架構，而是把 Zero Trust × IoT 這條線上的認知落差、研究缺口與實務摩擦，一次攤到桌上。

這篇論文在解什麼問題？

作者處理的核心問題其實很直接：

當 Zero Trust 已經成為企業安全主旋律，而 IoT 又是最不符合 Zero Trust 理想型的一群端點時，兩者到底是怎麼收斂的？收斂過程裡誰在講什麼、誰忽略了什麼？

為了回答這個問題，作者沒有只看學術論文，也沒有只看廠商白皮書，而是做了一個 Multivocal Literature Review（MLR，多聲道文獻回顧）：把 68 篇 academic literature + 36 份 industrial / grey literature 放在一起比。這種方法的好處很明顯——它不只看 paper 世界裡「理論上該怎麼做」，也看產品、白皮書與產業敘事裡「現場真的怎麼做」。

這篇最重要的發現：學界和業界看的是同一個問題，但不是同一個世界

我覺得整篇最有價值的結論，就是作者很明確地指出一個雙軌分歧：

• 學界主線：想辦法讓 IoT 裝置、協定和 trust mechanism 更符合 Zero Trust 原則。
• 業界主線：假設 IoT 已經存在、異質、老舊、難更新、算力爛，然後思考怎麼把它納進既有的 enterprise ZT architecture。

白話講就是：

學界比較像在設計「理想中的 ZT-native IoT」；業界比較像在處理「不理想但你明天就得接進網路的 IoT」。

這個差別很重要。因為你如果沒先看清楚，就很容易發生兩邊都說自己在做 Zero Trust for IoT，結果其實根本沒在回答同一題。

為什麼 IoT 和 Zero Trust 天生就很彆扭？

作者把這個結構性衝突講得很清楚。Zero Trust 的核心要求包括：

• 持續驗證
• 端點身份與狀態可被評估
• 流量加密與驗證
• 集中化政策決策與細粒度存取控制

但 IoT 世界偏偏常常長成另一種樣子：

• 裝置算力弱、電力弱、壽命長
• 協定五花八門、供應鏈混亂
• 補丁慢、憑證管理差、甚至根本無 agent
• 設備數量大、生命週期短、場域分散

所以真正的矛盾是：Zero Trust 想要的是可驗證、可度量、可控管的端點；IoT 現場給你的常常是不可見、不可升級、不可統一治理的一大群例外。

這就是為什麼很多 IoT 安全專案最後不是「把 Zero Trust 落地」，而是「替一堆不太配合的設備蓋一層 Zero Trust 外掛」。

作者怎麼拆這個領域？兩條主線其實差很多

論文把 ZT × IoT 收斂問題大致拆成兩條路，我覺得這個 framing 很實用。

第一條：讓 IoT 更符合 Zero Trust

這條路比較像學界喜歡做的事，例如：

• 輕量化加密與驗證
• 連續認證
• 裝置 trust scoring
• 區塊鏈式身份或授權機制
• digital twin / reputation system

這種研究的精神是：如果 IoT 不夠像 Zero Trust，就改 IoT。

第二條：把 IoT 納入既有的 Zero Trust 架構

這條路比較像業界白皮書在做的事，例如：

• 透過 gateway / broker / PEP 包住 IoT
• 用 ICAM、PDP、policy engine 管接入與流量
• 靠 micro-segmentation、asset discovery、continuous monitoring 控制風險
• 依 NIST SP 800-207 的 enterprise ZTA 模型，把 IoT 當特殊端點納進去

這種路線的精神則是：別幻想重做設備，先想辦法在現場活下去。

我很認同作者把這兩條路分開看。因為這不只是 implementation choice，而是研究重心、投資方向與成功指標都不同。

這篇論文最有用的，不是答案，而是它把「沒有答案」的地方標得很清楚

很多 review paper 會整理很多文獻，最後變成一份 bibliography 目錄；但這篇比較有價值的是，它真的有抓出一些幾乎整個領域都還沒認真處理的洞。

1. 成本效益幾乎沒人好好算

這點我覺得非常真。大家很愛說 Zero Trust for IoT 會更安全、能降低 lateral movement、能提升 visibility，但真正把成本、性能、維運負擔、誤攔截、導入週期與組織摩擦量化出來的研究，非常少。

換句話說，這個領域現在還很常停在：

• 理論上更安全
• 架構上更漂亮
• 白皮書上更有說服力

但對現場來說，更重要的是：

• 多少錢？
• 多少人？
• 多少年？
• 會不會把 OT / 生產流程拖慢？

2. 人、流程與治理幾乎被低估

作者指出，無論學界還是業界，對於導入後誰來管、需要什麼技能、怎麼跨 IT / OT / embedded / identity 團隊協作，討論都很薄。這個觀察非常準。

很多 Zero Trust 文件會把架構畫得很完整，但真正讓專案卡住的，往往不是 PEP 不會寫，而是：

• 誰有權定 policy？
• 誰來維護資產盤點？
• 憑證輪替和裝置註冊誰負責？
• 當 OT 團隊怕停機、IT 團隊怕例外、資安團隊怕背鍋時，誰拍板？

3. 使用者、隱私與社會面幾乎是空白區

這篇很誠實地指出，從 user / society level 來看，文獻非常少。也就是說，今天很多 ZT × IoT 討論都還是偏 architecture-centric，而不是 human-centric。

但這件事其實很重要。因為 IoT 不只是工廠機器，也可能是：

• 智慧家庭設備
• 醫療裝置
• 穿戴裝置
• 車聯網與環境感測器

當你強化持續驗證與 telemetry 蒐集時，安全的確可能提升，但隱私蒐集面、使用摩擦與資料治理壓力也會一起升高。這篇提醒得很好：未來這條線若只談控制、不談使用者接受度與資料最小化，會留下很大後患。

作者點出的幾個研究缺口，我覺得都打得很準

論文最後把 future research 分成幾類，我挑幾個我覺得最有感的。

Trust interoperability

IoT 常用 digital twin、reputation、local trust score 等方法評估設備可信度，但這些分數怎麼和 enterprise ZT 裡的 system-wide trust / policy engine 接起來，還沒有很成熟的方法。這是很實際的洞，因為一堆局部 trust signal 如果無法被全局決策引擎吃進去，最後只會變成新的資訊孤島。

Forensics

這點很少人談，但很值得。Zero Trust + IoT 的調查取證難度其實很高：微分段、隔離區、多數量設備、異質日誌、邊緣節點與不穩定存證流程，會讓事件調查變得比傳統環境更碎片化。如果你只設計防守，不設計事後還原與證據保全，很多部署只算半套。

Attacks on ZT-IoT architectures

作者也指出，這類研究目前偏少。大家都忙著設計 ZT for IoT，但比較少系統化研究IoT 如何反過來成為攻擊 ZT 控制面的跳板，例如對 PDP / PEP / gateway 進行資源耗盡、身份濫用或控制面施壓。這其實非常值得補。

Cost-benefit modeling

這大概是我最同意的一點。未來如果沒有更嚴肅的成本效益研究，ZT × IoT 很容易永遠停在「看起來應該做」的階段，而無法變成「知道為什麼、何時、在哪些場景值得做」的成熟治理框架。

我怎麼看這篇的限制？

1. 它強在 framing，不強在驗證單一技術優劣

這篇是 MLR，本來就不是 benchmark paper。它很擅長幫你看見版圖、斷層與研究空白，但如果你要的是某個特定技術方案的客觀優劣排序，這篇不會直接給你。

2. Grey literature 本身帶有強烈供應商敘事

這不是作者的錯，反而是現實的一部分。只是閱讀時要記得：業界資料很多來自白皮書、產品文件與大廠敘事，它們很有實務價值，但也天然會偏向可銷售、可落地、可包裝的路線。

3. 這篇指出「缺量化」很準，但它自己也還是以歸納為主

也就是說，它很清楚地告訴你大家沒把成本與效益算清楚，但它本身不是那個把成本效益補齊的研究。它更像是在幫整個領域立一塊牌子：這裡是大洞，後面請有人來填。

為什麼這篇值得 sectools.tw 讀者看？

因為它談的是一個越來越常見、但又很容易被 buzzword 蓋掉的現實問題：當企業一邊喊 Zero Trust、一邊又不得不把越來越多難管、難補、難驗證的 IoT / OT / edge 設備接進來時，安全架構到底是變得更一致，還是只是多了一層漂亮的管理幻覺？

如果你平常關心的是：

• Zero Trust 落地
• IoT / OT / edge security
• NIST 800-207 延伸到異質設備
• identity、telemetry、micro-segmentation、policy engine
• 資安架構和現場維運之間的落差

那這篇很值得讀。不是因為它給你一個萬能解，而是它把這條路上真正麻煩的地方講得比很多 solution brief 誠實得多。

總結

Converging Zero Trust and IoT Security 這篇論文真正重要的，不是它又替 Zero Trust 或 IoT 各寫一份摘要，而是它把整個領域最關鍵的張力說破：學界想把 IoT 變成更理想的 Zero Trust 端點，業界則被迫在不理想的設備現實裡，替 Zero Trust 找一條還能走的路。

如果要用一句話記這篇，我會寫成：

很多 IoT × Zero Trust 真正缺的，不是再多一張架構圖，而是先承認大家口中的「收斂」其實不是同一件事：有人在改設備，有人在補現場，有人則還沒把成本和人算進去。

這也是我覺得它最值得讀的地方：它不是替這個領域畫出完成圖，而是很清楚地告訴你，哪裡其實還只是施工圍籬。