零信任安全的覆盖范围并不仅仅是针对那些可以被看到的应用程序和数据。有许多应用程序和数据源是无法通过直接的用户界面来展示的，但它们却可以通过API被访问到。因此，在企业组织的零信任建设规划和策略实施模型中，应充分考虑并包含所有的API接口。
API流量指使用API在不同应用程序或系统之间传输的数据和请求，可以帮助不同的软件应用进行联系并交换数据，从而实现应用系统之间的有效集成和交互。
API技术逐渐成了现代数字业务环境的基础组成，也是企业数字化转型发展战略实现的核心要素，几乎所有的企业都依赖API进行服务连接、数据传输和系统控制。然而，API的爆炸式应用也为攻击者提供了更多的方法，而现有的安全工具却难以检测和减轻特定于API的威胁，使组织容易受到妥协、滥用和欺诈的影响。
根据Traceable近日发布的《2023年API安全状况报告》，过去两年74%的企业都遭遇了至少三次API攻击相关的数据泄露事件。
物联网安全的零信任方法采取更加谨慎和主动的立场。它并不假设用户、资产或资源始终安全。它专注于每个会话或数据事务的稳健验证和身份验证。这意味着实施严格的访问控制、强大的身份验证以及对所有网络流量的持续监控。
尽管API有无数的好处，但黑客也可以利用API中的漏洞未经授权访问敏感数据和隐私数据，从而导致数据泄露、财务损失和声誉受损。因此，企业需要了解API安全威胁形势，并寻找缓解威胁的最佳方法。
