身份成為網(wǎng)絡安全領域核心，保護身份安全是企業(yè)價值最高點！

過去，網(wǎng)絡定義企業(yè)安全邊界，保護網(wǎng)絡安全是價值最高的地方。所以，很多安全廠商憑借“一套防火墻打天下”！

然而，隨著企業(yè)數(shù)字化轉(zhuǎn)型深入演進，遠程辦公、云分布式應用程序等出現(xiàn)，企業(yè)網(wǎng)絡邊界逐漸消失，由此帶來了嚴重的信任危機。

這時候，如果你已經(jīng)不能信任收到的消息，那你必須要信任發(fā)送消息的人。這就意味著你必須弄清楚這個人是誰，ta為什么試圖與你互動，以及你是否應該打開該消息。

于是，身份成為了企業(yè)新的安全邊界，保護身份安全是企業(yè)價值最高的地方！

01

身份成為企業(yè)數(shù)字安全首要威脅

2023 年 11 月，Okta 向客戶發(fā)出警報稱其遭遇了漏洞。雖然這對于任何可能受影響的客戶來說都是一個可怕的消息，但大多數(shù)人只是希望自己不是受影響的客戶之一。不幸的是，100%的客戶都受到了影響。一個月前，Okta 估計只有約1%的客戶會感受到影響，而實際上卻差了一大截。

但 Okta 并不孤單。高達80%的違規(guī)行為都是由于身份問題（例如憑證泄露、弱密碼等）造成的。僅在 2023 年下半年，國外MGM、Caesar's和 New Relic 等公司都與Okta一起發(fā)生了影響身份信息泄露的事件。這些違規(guī)行為造成的損失可能高達數(shù)億美元。

實際數(shù)據(jù)調(diào)查顯示也再次證明身份成為企業(yè)數(shù)字安全首要威脅：截至 2023 年，75%的安全漏洞是由身份、訪問或權(quán)限管理不善造成的。2020 年的一份報告發(fā)現(xiàn)，79%的組織在過去兩年內(nèi)發(fā)生過與身份相關的泄露事件。

換句話說，如果企業(yè)做好了身份安全，企業(yè)的數(shù)字安全威脅就可以解決一大半。因此，從解決企業(yè)數(shù)字安全危機的角度來看，優(yōu)先保護你的企業(yè)身份安全！

02

身份管理是所有安全業(yè)務的核心記錄系統(tǒng)

身份管理是所有其他安全業(yè)務的核心記錄系統(tǒng)。無論是人的身份，還是機器設備等身份，身份作為他們登錄的身份憑證與數(shù)字軌跡的載體，不僅構(gòu)成了具有虛擬人格的數(shù)字檔案，而且承載了較高的經(jīng)濟價值，成為個體或機器設備等最寶貴的數(shù)字資產(chǎn)之一。

也就是說，如果企業(yè)可以識別用戶、工作負載或機器設備，那么企業(yè)就可以更好地分析他們在端點、網(wǎng)絡、應用服務、SIEM（安全信息與事件管理）甚至開發(fā)人員供應鏈中的活動，并基于此進行業(yè)務創(chuàng)新與安全運營管理創(chuàng)新等。

未來，身份數(shù)據(jù)甚至可以與來自端點、API、云服務、容器等數(shù)據(jù)流相結(jié)合，然后發(fā)送到某個通用授權(quán)層，以此動態(tài)判斷某些訪問行為是否應該允許發(fā)生。這樣的身份與訪問創(chuàng)新實踐，又將進一步強化企業(yè)身份安全，從而減少企業(yè)安全事件發(fā)生。

所以，從企業(yè)業(yè)務創(chuàng)新與安全運營創(chuàng)新的角度來看，加強企業(yè)身份安全投入亦是企業(yè)獲取高價值回報的方式之一。

03

身份是未來中國網(wǎng)絡安全重要趨勢的核心

而從“以業(yè)務為中心的安全投資”的角度來看，Gartner認為CIO需要就網(wǎng)絡安全風險、網(wǎng)絡安全項目的有效性和業(yè)務價值進行有效溝通，并確定以業(yè)務為中?的安全投資的優(yōu)先級，在審查網(wǎng)絡安全預算時從業(yè)務角度論證安全投資的必要性。身份作為所有業(yè)務應用系統(tǒng)使用與訪問的基礎，又是所有其他安全業(yè)務的核心記錄系統(tǒng)，做好身份安全，業(yè)務才安全。

此外，從“網(wǎng)絡安全平臺整合”趨勢來看，中國企業(yè)機構(gòu)希望降低復雜性、簡化運營并提高員工效率。精簡供應商數(shù)量之后，企業(yè)可利用數(shù)量更少的產(chǎn)品降低運營復雜性、提升員工效率、實現(xiàn)更廣泛的集成。身份的集成統(tǒng)一安全管理，就是一個很好的切入點。

剩下的其他3大趨勢，身份安全在其中也承擔著不可或缺的安全防護角色。所以，如果從Gartner預測的未來中國網(wǎng)絡安全重要趨勢來看，身份安全亦是企業(yè)數(shù)字安全建設的核心！

04

做好企業(yè)數(shù)字身份安全建設并不容易

所以，無論是從企業(yè)數(shù)字安全威脅，還是企業(yè)業(yè)務創(chuàng)新與安全運營，亦或是未來中國網(wǎng)絡安全發(fā)展趨勢來看，做好企業(yè)身份安全，構(gòu)建統(tǒng)一身份與訪問控制平臺（IAM）是企業(yè)建設數(shù)字安全的價值最高點。

然而，要做好企業(yè)身份安全建設并不容易。有數(shù)據(jù)顯示，近一半的組織使用超過 25 個系統(tǒng)來管理身份和訪問權(quán)限。隨著公司的成長、收購、被收購，以及人員在短時間內(nèi)身份和權(quán)限的變化，分子公司業(yè)務系統(tǒng)的分散管控......身份管理的復雜性變得越來越糟。

身份就像一個復雜的野獸，它涉及組織的許多不同方面，每個職能領域都有自己的身份跟蹤理念。最重要的是，身份長期以來一直被認為主要是一個IT問題。

而事實上，企業(yè)需要正確地認識到，數(shù)字時代，網(wǎng)絡安全問題已經(jīng)從IT問題轉(zhuǎn)變?yōu)闃I(yè)務問題。網(wǎng)絡安全戰(zhàn)略亦從IT戰(zhàn)略轉(zhuǎn)變?yōu)闃I(yè)務戰(zhàn)略，并最終支持戰(zhàn)略業(yè)務目標和增長。而身份越來越成為網(wǎng)絡安全領域的核心。企業(yè)需要思考將身份安全深度整合到現(xiàn)有業(yè)務流程及IT環(huán)境中；要從控制商業(yè)風險的角度著手，而不是單純的一項技術控制。

05

做好企業(yè)數(shù)字身份安全建設的幾點建議

派拉軟件認為，企業(yè)要做好數(shù)字身份安全建設，為數(shù)字安全奠定安全基石，可以從以下幾點建議著手：

1、基于業(yè)務風險，定義信息資產(chǎn)的優(yōu)先級。清楚哪些信息資產(chǎn)需要保護，優(yōu)先級是什么?從而結(jié)合IAM平臺，對相關信息資產(chǎn)涉及的業(yè)務系統(tǒng)進行對應的強安全認證與嚴格的細粒度權(quán)限訪問控制；

2、給最重要的資產(chǎn)提供特別保護，即對于優(yōu)先級高的資產(chǎn)，進行特殊保護。例如采用特權(quán)訪問管理（PAM），加強對特權(quán)身份與訪問的管控，并對核心數(shù)據(jù)庫操作等進行嚴格權(quán)限設置，從而加強重要資產(chǎn)的保護；

3、將身份安全融入企業(yè)全面風險管理及治理過程。身份作為企業(yè)所有業(yè)務流程的起點，其安全問題幾乎與企業(yè)所有重要業(yè)務流程交織在一起；

4、培養(yǎng)員工安全意識，主動保護個人信息安全。員工往往是企業(yè)數(shù)字安全最大的弱點——點擊不安全鏈接、使用不安全密碼、敏感文件用郵件廣泛傳播......故因根據(jù)員工所需訪問的資產(chǎn)，對員工分類管理，并嚴格管控權(quán)限。

......