https://www.informationsecurity.com.tw/Seminar/2024_TCM/
https://www.informationsecurity.com.tw/Seminar/2024_TCM/

觀點

SailPoint:強化企業資安,身份管理主動防禦

2023 / 06 / 09
編輯部
SailPoint:強化企業資安,身份管理主動防禦
隨著全球工業4.0浪潮,數位轉型成企業必然發展趨勢。近年來台灣發生多起大規模資料外洩和攻擊事件,僅仰賴基本網路安全措施已然不足,政府單位也正積極佈建「零信任安全」技術。企業身份安全管理解決方案公司SailPoint亞太區高級副總裁梅正宇認為,「零信任」應從身份安全開始,針對員工、非員工、機器,與外部供應商等進行身份管理,主動防禦,佈建更堅固且全面的網路安全策略。
 
過去十多年來,各產業紛紛進行數位轉型,IT環境數位化,特別在新冠肺炎疫情影響下,過去三年數位轉型速度加快,企業開始意識到,需採取零信任架構,才能真正做到安全防護。
 
他指出,過去大家談起企業資安防護,是防火牆、邊界等概念,認為某個身份(ID)只要進入企業防火牆內,便受到信任。
 
隨著數位轉型,大家隨時隨地可用各式裝置存取服務,一旦使用外部或家中網路連上公司內網,很可能將外網的攻擊帶入企業內部,造成駭客、勒索軟體入侵。

 
此外,企業的數位身分大量增加。過去可能只有員工或客戶,如今增加很多機器身份,或約聘等非傳統員工及第三方外包、供應商等,這些身份都需透過自動化或AI輔助進行有效管理。
 
梅正宇說,2022年ISDA身份定義安全聯盟研究指出,企業84%資料外洩都跟身份有關,過去三年也出現愈來愈多這類型攻擊。SailPoint台灣區總經理傅孝淇也表示,過去身份安全只考量員工身份問題,但如今需全盤考量整個供應鏈的身份安全。
SailPoint亞太區高級副總裁梅正宇 (左) 及 台灣區總經理傅孝淇 右))

AI管理的身份生命週期

零信任架構下的身份管理,可看成新的防火牆。每看到一個身份時,需確認其是否值得信任,再給予正確的存取權限。
 
梅正宇說,每個身份都有其生命週期,不論是員工、第三方或供應商還是機器等。
 
生命週期分JML三階段。第一階段J(Joiner/到職者),意即某個身份剛進入企業時,給予恰到好處的權限,降低駭客風險。
 
第二階段是M(Move/調動者),意指某身份在企業內進行調動,升職或改變職位時,權限也需跟著改變。梅正宇說,此階段對外包商或約聘人員特別重要,因他們會很快速的改變或移動他們的職能。
 
第三是L(Leaver/離開者),不論是約聘包商或員工,離職時,企業應立刻關閉其所有權限。
 
他說,JML是SailPoint進行主動式身份防禦很重要一環,當中的核心是AI。若一間擁有2萬名員工,5000多個App的企業,彼此關係錯綜複雜,需透過AI將這些關係有效整合,同時能主動偵測、識別異常身份。

非員工、機器身份管理

梅正宇說,約聘、非正式員工身份安全有其風險,如零售店面店員,多為約聘人員,他們會共用一套帳號密碼,可進入公司存取資料,若一人離職,帳號密碼便有流失風險。
 
「約聘人員最大問題,在於企業沒有針對他們的中央管理人資系統,常常僅有一個Excel名單表,是非常不準確且風險很高的做法。」
 
他認為,企業需有一個自動化管控機制。SailPoint提供NELM非員工風險管理方案,可將所有非員工、外包人員或機器身份,用中央管理方式監控其身分生命週期。
Sailpoint表示「機器身分」佔一般企業身分總數高達43%。

台灣身份管理意識待加強

台灣企業對於身份安全的意識並不高,有積極做到這方面的產業多因於合規要求。
 
梅正宇說,SailPoint先前針對台灣千大企業進行身份安全成熟度調查,從1000家企業中拿到的200份有效樣本進行分析,發現97%企業員工認為他們公司已做好身份安全管理,87%認為他們這方面做得更好,如有存取控制等。然而當他們訪問資安的專責人員,卻發現僅43%認為他們有做到身份安全管理。由此可知,大部分企業員工對身份管理了解層次是比較低的,也並未意識到身份管理是非常複雜的議題。
 
Sailpoint也將身份安全意識分成五等級。第一等級是企業完全沒有身份管理; 第二等級是有一點身份管理,但是手動操作。第三等級是已有數位工具進行身份管理。第四等級是擁有較進階的數位工具,如AI等。而最高等級,是企業已將身份管理完全融入公司數位系統中。

 
Sailpoint發現,45%企業還處於第一等級,29%為第二等級,20%第三等級,第四等級有6%,而沒有公司達到第五等級。
 
傅孝淇表示,過去一年多他們與台灣客戶溝通時,發現大部分企業主並未真正理解身份安全該如何做好管理,怎樣進行主動式防禦。
 
梅正宇說,各國在這方面狀況並不相同,例如澳大利亞已是個成熟市場,當地法規也嚴格,相較亞太地區,如台灣等,這方面需更多相關教育。
 
他表示Sailpoint在亞太地區的重點,是讓客戶了解依據安全規劃程度,將身份安全做現代化管理,提供一個可視性,並透過AI進行相關自動化,發現異常身份時,可立即進行處理,最後是將整個身份安全概念,整合到企業數位生態系統中。

ARM超前部署

風險管理一直是企業重大挑戰,特別是管理與技術存取相關風險。梅正宇提及存取風險管理(ARM,access risk management)的重要性。
 
他說,ARM可以說是企業資源規劃(ERP)內一個管理身份的作法。企業內很重要的部分是權限不能衝突,如採購與核准經費者的權限,不能放在同一身份上,對一間有許多員工的大公司而言,如何進行權限管理,比對不同身份之間的切換,職權轉換時權限是否有需修改等,是很困難的。
 
SailPoint的ARM存取風險管理技術,可自動化整合所有身份彼此關聯性,了解每一身份可有哪些權限等,管理者可獲得關於該身份安全性的可視性,未來還可連接其他相關應用程式。