身份成為網(wǎng)絡(luò)安全領(lǐng)域核心，保護(hù)身份安全是企業(yè)價值最高點(diǎn)！

過去，網(wǎng)絡(luò)定義企業(yè)安全邊界，保護(hù)網(wǎng)絡(luò)安全是價值最高的地方。所以，很多安全廠商憑借“一套防火墻打天下”！

然而，隨著企業(yè)數(shù)字化轉(zhuǎn)型深入演進(jìn)，遠(yuǎn)程辦公、云分布式應(yīng)用程序等出現(xiàn)，企業(yè)網(wǎng)絡(luò)邊界逐漸消失，由此帶來了嚴(yán)重的信任危機(jī)。

這時候，如果你已經(jīng)不能信任收到的消息，那你必須要信任發(fā)送消息的人。這就意味著你必須弄清楚這個人是誰，ta為什么試圖與你互動，以及你是否應(yīng)該打開該消息。

于是，身份成為了企業(yè)新的安全邊界，保護(hù)身份安全是企業(yè)價值最高的地方！

01

身份成為企業(yè)數(shù)字安全首要威脅

2023 年 11 月，Okta 向客戶發(fā)出警報稱其遭遇了漏洞。雖然這對于任何可能受影響的客戶來說都是一個可怕的消息，但大多數(shù)人只是希望自己不是受影響的客戶之一。不幸的是，100%的客戶都受到了影響。一個月前，Okta 估計(jì)只有約1%的客戶會感受到影響，而實(shí)際上卻差了一大截。

但 Okta 并不孤單。高達(dá)80%的違規(guī)行為都是由于身份問題（例如憑證泄露、弱密碼等）造成的。僅在 2023 年下半年，國外MGM、Caesar's和 New Relic 等公司都與Okta一起發(fā)生了影響身份信息泄露的事件。這些違規(guī)行為造成的損失可能高達(dá)數(shù)億美元。

實(shí)際數(shù)據(jù)調(diào)查顯示也再次證明身份成為企業(yè)數(shù)字安全首要威脅：截至 2023 年，75%的安全漏洞是由身份、訪問或權(quán)限管理不善造成的。2020 年的一份報告發(fā)現(xiàn)，79%的組織在過去兩年內(nèi)發(fā)生過與身份相關(guān)的泄露事件。

換句話說，如果企業(yè)做好了身份安全，企業(yè)的數(shù)字安全威脅就可以解決一大半。因此，從解決企業(yè)數(shù)字安全危機(jī)的角度來看，優(yōu)先保護(hù)你的企業(yè)身份安全！

02

身份管理是所有安全業(yè)務(wù)的核心記錄系統(tǒng)

身份管理是所有其他安全業(yè)務(wù)的核心記錄系統(tǒng)。無論是人的身份，還是機(jī)器設(shè)備等身份，身份作為他們登錄的身份憑證與數(shù)字軌跡的載體，不僅構(gòu)成了具有虛擬人格的數(shù)字檔案，而且承載了較高的經(jīng)濟(jì)價值，成為個體或機(jī)器設(shè)備等最寶貴的數(shù)字資產(chǎn)之一。

也就是說，如果企業(yè)可以識別用戶、工作負(fù)載或機(jī)器設(shè)備，那么企業(yè)就可以更好地分析他們在端點(diǎn)、網(wǎng)絡(luò)、應(yīng)用服務(wù)、SIEM（安全信息與事件管理）甚至開發(fā)人員供應(yīng)鏈中的活動，并基于此進(jìn)行業(yè)務(wù)創(chuàng)新與安全運(yùn)營管理創(chuàng)新等。

未來，身份數(shù)據(jù)甚至可以與來自端點(diǎn)、API、云服務(wù)、容器等數(shù)據(jù)流相結(jié)合，然后發(fā)送到某個通用授權(quán)層，以此動態(tài)判斷某些訪問行為是否應(yīng)該允許發(fā)生。這樣的身份與訪問創(chuàng)新實(shí)踐，又將進(jìn)一步強(qiáng)化企業(yè)身份安全，從而減少企業(yè)安全事件發(fā)生。

所以，從企業(yè)業(yè)務(wù)創(chuàng)新與安全運(yùn)營創(chuàng)新的角度來看，加強(qiáng)企業(yè)身份安全投入亦是企業(yè)獲取高價值回報的方式之一。

03

身份是未來中國網(wǎng)絡(luò)安全重要趨勢的核心

而從“以業(yè)務(wù)為中心的安全投資”的角度來看，Gartner認(rèn)為CIO需要就網(wǎng)絡(luò)安全風(fēng)險、網(wǎng)絡(luò)安全項(xiàng)目的有效性和業(yè)務(wù)價值進(jìn)行有效溝通，并確定以業(yè)務(wù)為中?的安全投資的優(yōu)先級，在審查網(wǎng)絡(luò)安全預(yù)算時從業(yè)務(wù)角度論證安全投資的必要性。身份作為所有業(yè)務(wù)應(yīng)用系統(tǒng)使用與訪問的基礎(chǔ)，又是所有其他安全業(yè)務(wù)的核心記錄系統(tǒng)，做好身份安全，業(yè)務(wù)才安全。

此外，從“網(wǎng)絡(luò)安全平臺整合”趨勢來看，中國企業(yè)機(jī)構(gòu)希望降低復(fù)雜性、簡化運(yùn)營并提高員工效率。精簡供應(yīng)商數(shù)量之后，企業(yè)可利用數(shù)量更少的產(chǎn)品降低運(yùn)營復(fù)雜性、提升員工效率、實(shí)現(xiàn)更廣泛的集成。身份的集成統(tǒng)一安全管理，就是一個很好的切入點(diǎn)。

剩下的其他3大趨勢，身份安全在其中也承擔(dān)著不可或缺的安全防護(hù)角色。所以，如果從Gartner預(yù)測的未來中國網(wǎng)絡(luò)安全重要趨勢來看，身份安全亦是企業(yè)數(shù)字安全建設(shè)的核心！

04

做好企業(yè)數(shù)字身份安全建設(shè)并不容易

所以，無論是從企業(yè)數(shù)字安全威脅，還是企業(yè)業(yè)務(wù)創(chuàng)新與安全運(yùn)營，亦或是未來中國網(wǎng)絡(luò)安全發(fā)展趨勢來看，做好企業(yè)身份安全，構(gòu)建統(tǒng)一身份與訪問控制平臺（IAM）是企業(yè)建設(shè)數(shù)字安全的價值最高點(diǎn)。

然而，要做好企業(yè)身份安全建設(shè)并不容易。有數(shù)據(jù)顯示，近一半的組織使用超過 25 個系統(tǒng)來管理身份和訪問權(quán)限。隨著公司的成長、收購、被收購，以及人員在短時間內(nèi)身份和權(quán)限的變化，分子公司業(yè)務(wù)系統(tǒng)的分散管控......身份管理的復(fù)雜性變得越來越糟。

身份就像一個復(fù)雜的野獸，它涉及組織的許多不同方面，每個職能領(lǐng)域都有自己的身份跟蹤理念。最重要的是，身份長期以來一直被認(rèn)為主要是一個IT問題。

而事實(shí)上，企業(yè)需要正確地認(rèn)識到，數(shù)字時代，網(wǎng)絡(luò)安全問題已經(jīng)從IT問題轉(zhuǎn)變?yōu)闃I(yè)務(wù)問題。網(wǎng)絡(luò)安全戰(zhàn)略亦從IT戰(zhàn)略轉(zhuǎn)變?yōu)闃I(yè)務(wù)戰(zhàn)略，并最終支持戰(zhàn)略業(yè)務(wù)目標(biāo)和增長。而身份越來越成為網(wǎng)絡(luò)安全領(lǐng)域的核心。企業(yè)需要思考將身份安全深度整合到現(xiàn)有業(yè)務(wù)流程及IT環(huán)境中；要從控制商業(yè)風(fēng)險的角度著手，而不是單純的一項(xiàng)技術(shù)控制。

05

做好企業(yè)數(shù)字身份安全建設(shè)的幾點(diǎn)建議

派拉軟件認(rèn)為，企業(yè)要做好數(shù)字身份安全建設(shè)，為數(shù)字安全奠定安全基石，可以從以下幾點(diǎn)建議著手：

1、基于業(yè)務(wù)風(fēng)險，定義信息資產(chǎn)的優(yōu)先級。清楚哪些信息資產(chǎn)需要保護(hù)，優(yōu)先級是什么?從而結(jié)合IAM平臺，對相關(guān)信息資產(chǎn)涉及的業(yè)務(wù)系統(tǒng)進(jìn)行對應(yīng)的強(qiáng)安全認(rèn)證與嚴(yán)格的細(xì)粒度權(quán)限訪問控制；

2、給最重要的資產(chǎn)提供特別保護(hù)，即對于優(yōu)先級高的資產(chǎn)，進(jìn)行特殊保護(hù)。例如采用特權(quán)訪問管理（PAM），加強(qiáng)對特權(quán)身份與訪問的管控，并對核心數(shù)據(jù)庫操作等進(jìn)行嚴(yán)格權(quán)限設(shè)置，從而加強(qiáng)重要資產(chǎn)的保護(hù)；

3、將身份安全融入企業(yè)全面風(fēng)險管理及治理過程。身份作為企業(yè)所有業(yè)務(wù)流程的起點(diǎn)，其安全問題幾乎與企業(yè)所有重要業(yè)務(wù)流程交織在一起；

4、培養(yǎng)員工安全意識，主動保護(hù)個人信息安全。員工往往是企業(yè)數(shù)字安全最大的弱點(diǎn)——點(diǎn)擊不安全鏈接、使用不安全密碼、敏感文件用郵件廣泛傳播......故因根據(jù)員工所需訪問的資產(chǎn)，對員工分類管理，并嚴(yán)格管控權(quán)限。

......