En 400-6655-581
5
返回列表
> 資源中心 > 文章>產(chǎn)品>IAM(身份與訪問控制)> 身份成為網(wǎng)絡(luò)安全領(lǐng)域核心,保護(hù)身份安全是企業(yè)價值最高點(diǎn)!

身份成為網(wǎng)絡(luò)安全領(lǐng)域核心,保護(hù)身份安全是企業(yè)價值最高點(diǎn)!

文章

2024-01-16瀏覽次數(shù):228

過去,網(wǎng)絡(luò)定義企業(yè)安全邊界,保護(hù)網(wǎng)絡(luò)安全是價值最高的地方。所以,很多安全廠商憑借“一套防火墻打天下”!

 

然而,隨著企業(yè)數(shù)字化轉(zhuǎn)型深入演進(jìn),遠(yuǎn)程辦公、云分布式應(yīng)用程序等出現(xiàn),企業(yè)網(wǎng)絡(luò)邊界逐漸消失,由此帶來了嚴(yán)重的信任危機(jī)。

 

這時候,如果你已經(jīng)不能信任收到的消息,那你必須要信任發(fā)送消息的人。這就意味著你必須弄清楚這個人是誰,ta為什么試圖與你互動,以及你是否應(yīng)該打開該消息。

 

于是,身份成為了企業(yè)新的安全邊界,保護(hù)身份安全是企業(yè)價值最高的地方!

 

 

 

01

身份成為企業(yè)數(shù)字安全首要威脅

 

2023 年 11 月,Okta 向客戶發(fā)出警報稱其遭遇了漏洞。雖然這對于任何可能受影響的客戶來說都是一個可怕的消息,但大多數(shù)人只是希望自己不是受影響的客戶之一。不幸的是,100%的客戶都受到了影響。一個月前,Okta 估計(jì)只有約1%的客戶會感受到影響,而實(shí)際上卻差了一大截。

 

但 Okta 并不孤單。高達(dá)80%的違規(guī)行為都是由于身份問題(例如憑證泄露、弱密碼等)造成的。僅在 2023 年下半年,國外MGM、Caesar's和 New Relic 等公司都與Okta一起發(fā)生了影響身份信息泄露的事件。這些違規(guī)行為造成的損失可能高達(dá)數(shù)億美元。

 

實(shí)際數(shù)據(jù)調(diào)查顯示也再次證明身份成為企業(yè)數(shù)字安全首要威脅:截至 2023 年,75%的安全漏洞是由身份、訪問或權(quán)限管理不善造成的。2020 年的一份報告發(fā)現(xiàn),79%的組織在過去兩年內(nèi)發(fā)生過與身份相關(guān)的泄露事件。

 

換句話說,如果企業(yè)做好了身份安全,企業(yè)的數(shù)字安全威脅就可以解決一大半。因此,從解決企業(yè)數(shù)字安全危機(jī)的角度來看,優(yōu)先保護(hù)你的企業(yè)身份安全!

 

 

 

02

身份管理是所有安全業(yè)務(wù)的核心記錄系統(tǒng)

 

身份管理是所有其他安全業(yè)務(wù)的核心記錄系統(tǒng)。無論是人的身份,還是機(jī)器設(shè)備等身份,身份作為他們登錄的身份憑證與數(shù)字軌跡的載體,不僅構(gòu)成了具有虛擬人格的數(shù)字檔案,而且承載了較高的經(jīng)濟(jì)價值,成為個體或機(jī)器設(shè)備等最寶貴的數(shù)字資產(chǎn)之一。

 

也就是說,如果企業(yè)可以識別用戶、工作負(fù)載或機(jī)器設(shè)備,那么企業(yè)就可以更好地分析他們在端點(diǎn)、網(wǎng)絡(luò)、應(yīng)用服務(wù)、SIEM(安全信息與事件管理)甚至開發(fā)人員供應(yīng)鏈中的活動,并基于此進(jìn)行業(yè)務(wù)創(chuàng)新與安全運(yùn)營管理創(chuàng)新等。

 

未來,身份數(shù)據(jù)甚至可以與來自端點(diǎn)、API、云服務(wù)、容器等數(shù)據(jù)流相結(jié)合,然后發(fā)送到某個通用授權(quán)層,以此動態(tài)判斷某些訪問行為是否應(yīng)該允許發(fā)生。這樣的身份與訪問創(chuàng)新實(shí)踐,又將進(jìn)一步強(qiáng)化企業(yè)身份安全,從而減少企業(yè)安全事件發(fā)生。

 

所以,從企業(yè)業(yè)務(wù)創(chuàng)新與安全運(yùn)營創(chuàng)新的角度來看,加強(qiáng)企業(yè)身份安全投入亦是企業(yè)獲取高價值回報的方式之一。

 

 

 

03

身份是未來中國網(wǎng)絡(luò)安全重要趨勢的核心

 

2023年底,Gartner發(fā)布了有關(guān)2024年及未來中國網(wǎng)絡(luò)安全重要趨勢報告。報告中提及了下圖所示的未來中國網(wǎng)絡(luò)安全7大趨勢。從這7大趨勢中,我們可以發(fā)現(xiàn)與身份直接強(qiáng)相關(guān)的就有2項(xiàng)——“身份優(yōu)先安全”和“零信任采用”。

 

圖片

 

從“以業(yè)務(wù)為中心的安全投資”的角度來看,Gartner認(rèn)為CIO需要就網(wǎng)絡(luò)安全風(fēng)險、網(wǎng)絡(luò)安全項(xiàng)目的有效性和業(yè)務(wù)價值進(jìn)行有效溝通,并確定以業(yè)務(wù)為中?的安全投資的優(yōu)先級,在審查網(wǎng)絡(luò)安全預(yù)算時從業(yè)務(wù)角度論證安全投資的必要性。身份作為所有業(yè)務(wù)應(yīng)用系統(tǒng)使用與訪問的基礎(chǔ),又是所有其他安全業(yè)務(wù)的核心記錄系統(tǒng),做好身份安全,業(yè)務(wù)才安全。

 

此外,從“網(wǎng)絡(luò)安全平臺整合”趨勢來看,中國企業(yè)機(jī)構(gòu)希望降低復(fù)雜性、簡化運(yùn)營并提高員工效率。精簡供應(yīng)商數(shù)量之后,企業(yè)可利用數(shù)量更少的產(chǎn)品降低運(yùn)營復(fù)雜性、提升員工效率、實(shí)現(xiàn)更廣泛的集成。身份的集成統(tǒng)一安全管理,就是一個很好的切入點(diǎn)。

 

剩下的其他3大趨勢,身份安全在其中也承擔(dān)著不可或缺的安全防護(hù)角色。所以,如果從Gartner預(yù)測的未來中國網(wǎng)絡(luò)安全重要趨勢來看,身份安全亦是企業(yè)數(shù)字安全建設(shè)的核心!

 

 

 

04

做好企業(yè)數(shù)字身份安全建設(shè)并不容易

 

所以,無論是從企業(yè)數(shù)字安全威脅,還是企業(yè)業(yè)務(wù)創(chuàng)新與安全運(yùn)營,亦或是未來中國網(wǎng)絡(luò)安全發(fā)展趨勢來看,做好企業(yè)身份安全,構(gòu)建統(tǒng)一身份與訪問控制平臺(IAM)是企業(yè)建設(shè)數(shù)字安全的價值最高點(diǎn)。

 

然而,要做好企業(yè)身份安全建設(shè)并不容易。有數(shù)據(jù)顯示,近一半的組織使用超過 25 個系統(tǒng)來管理身份和訪問權(quán)限。隨著公司的成長、收購、被收購,以及人員在短時間內(nèi)身份和權(quán)限的變化,分子公司業(yè)務(wù)系統(tǒng)的分散管控......身份管理的復(fù)雜性變得越來越糟。

 

身份就像一個復(fù)雜的野獸,它涉及組織的許多不同方面,每個職能領(lǐng)域都有自己的身份跟蹤理念。最重要的是,身份長期以來一直被認(rèn)為主要是一個IT問題。

 

而事實(shí)上,企業(yè)需要正確地認(rèn)識到,數(shù)字時代,網(wǎng)絡(luò)安全問題已經(jīng)從IT問題轉(zhuǎn)變?yōu)闃I(yè)務(wù)問題。網(wǎng)絡(luò)安全戰(zhàn)略亦從IT戰(zhàn)略轉(zhuǎn)變?yōu)闃I(yè)務(wù)戰(zhàn)略,并最終支持戰(zhàn)略業(yè)務(wù)目標(biāo)和增長。而身份越來越成為網(wǎng)絡(luò)安全領(lǐng)域的核心。企業(yè)需要思考將身份安全深度整合到現(xiàn)有業(yè)務(wù)流程及IT環(huán)境中;要從控制商業(yè)風(fēng)險的角度著手,而不是單純的一項(xiàng)技術(shù)控制。

 

 

 

05

做好企業(yè)數(shù)字身份安全建設(shè)的幾點(diǎn)建議

 

派拉軟件認(rèn)為,企業(yè)要做好數(shù)字身份安全建設(shè),為數(shù)字安全奠定安全基石,可以從以下幾點(diǎn)建議著手:

 

1、基于業(yè)務(wù)風(fēng)險,定義信息資產(chǎn)的優(yōu)先級。清楚哪些信息資產(chǎn)需要保護(hù),優(yōu)先級是什么?從而結(jié)合IAM平臺,對相關(guān)信息資產(chǎn)涉及的業(yè)務(wù)系統(tǒng)進(jìn)行對應(yīng)的強(qiáng)安全認(rèn)證與嚴(yán)格的細(xì)粒度權(quán)限訪問控制;

 

2、給最重要的資產(chǎn)提供特別保護(hù),即對于優(yōu)先級高的資產(chǎn),進(jìn)行特殊保護(hù)。例如采用特權(quán)訪問管理(PAM),加強(qiáng)對特權(quán)身份與訪問的管控,并對核心數(shù)據(jù)庫操作等進(jìn)行嚴(yán)格權(quán)限設(shè)置,從而加強(qiáng)重要資產(chǎn)的保護(hù);

 

3、將身份安全融入企業(yè)全面風(fēng)險管理及治理過程。身份作為企業(yè)所有業(yè)務(wù)流程的起點(diǎn),其安全問題幾乎與企業(yè)所有重要業(yè)務(wù)流程交織在一起;

 

4、培養(yǎng)員工安全意識,主動保護(hù)個人信息安全。員工往往是企業(yè)數(shù)字安全最大的弱點(diǎn)——點(diǎn)擊不安全鏈接、使用不安全密碼、敏感文件用郵件廣泛傳播......故因根據(jù)員工所需訪問的資產(chǎn),對員工分類管理,并嚴(yán)格管控權(quán)限。

 

......