調查：2023年人類及機器身分數量翻倍，身分是資安攻擊核心

2023 / 08 / 30

編輯部

人類和機器身分幾乎是所有資安攻擊的核心。《CyberArk 2023身分安全威脅情勢報告》顯示數位轉型趨勢下，企業組織採用新技術越來越多，也因此人類和機器身分數量預期將成長240％，而對數位和雲端計畫的投資速度高於資安投入，將快速擴大未受保護的身分攻擊面，種種因素可能導致「資安債」的持續擴大。

CyberArk今日發布《CyberArk 2023身分安全威脅情勢報告》。結果顯示近乎全部（99%）的受訪者預期在今年會出現與身分相關的威脅，這源於經濟壓力下的裁員、地緣政治因素、雲端採用以及混合工作型態等因素。58%受訪者表示威脅將在諸如雲端部署或舊有應用軟體遷移等數位轉型計畫中產生。

由於員工異動帶來的威脅，例如不滿的前員工或被濫用的遺留憑據，超過三分之二（68%）的企業組織預期在2023年會出現員工流動所導致的資安問題。

企業在未來12個月內將部署比現有數量多出68%的SaaS工具。大量的人類和機器身分可透過SaaS工具取得敏感資料，如果缺乏適當保護，極可能成為攻擊的入口。

CyberArk 北亞區總監謝文駿表示：「儘管攻擊手段不斷翻新，但侵害身分仍然是繞過網路防禦並存取敏感資料和資產的最有效方式，這樣的風險讓『信任誰和信任什麼』成為所有資安措施最首要工作，進而可以預防資安債的持續累積，並為組織建立長期資安韌性。」

63% 的受訪者表示，最高敏感性的員工存取未得到充分保護，而擁有機敏資料存取權的機器數量比人類更多（45% vs. 38%）。憑據存取仍然是受訪者認為最大的風險（被35% 提及），其次是防禦規避（31%）、執行（28%）、初始存取（28%）和提權（27%）。

由於未知和未受管理的身分存取，關鍵商用軟體（例如對外的營收相關應用軟體、ERP和財務管理軟體）被視為風險最高的領域。只有 46% 的組織採取身分安全控管以保護關鍵商用軟體。合作夥伴、顧問和服務提供商等第三方公司被認為是風險最高的人類身分類型。

在整體威脅情勢面向上，93%受訪的資安專業人員中，預計在2023年會面臨 AI威脅，其中 AI生成的惡意軟體被列為頭號憂患。

CyberArk建議落實零信任原則。受訪企業計劃在2023年引入的三個改善身分安全的措施是：JIT即時存取（32%的受訪者提到）；採用最小授權原則保護業務關鍵應用軟體（32%）；以及自動供裝和撤銷存取權限（31%）。

IAM PAM 身分安全特權管理機器身分 SaaS 供應鏈安全 AI安全 API安全