企業為何必須重新制訂2024年的身份安全策略

九成企業曾經歷身份資料外洩問題，由此可預視，身份安全在2024年仍將成為加強企業網路安全的關鍵要素。然而，44% 企業的身份安全仍處於初期發展階段，當中60%亞太區企業的身份成熟程度仍處未成熟的階段。特別是隨着AI 興起，亞洲開闢新發展領域，我們同時目睹隨之而生的新安全考慮。企業將繼續加大數位投資的力度，但對身份安全策略的投資亦必須同時增加。

AI是網路安全的雙刃刀

AI與企業業務變得越來越息息相關，能帶來自動化，增強決策能力，提高安全度、效率和生產力等優勢，以前所未見的方式促進現代企業創新。

然而，其中一個負面影響是，網路攻擊者也趁機從AI中獲利。預計到2025年，AI驅動的資安市場將達到190億美元，並會變得越來越普及和先進。AI技術持續演進，網路攻擊者料將利用相關技術，掌握空前的精準度來發動針對性網路攻擊，以超越人類駭客所能達到的速度和規模找出漏洞並不當利用。例子包括撰寫可信度高的釣魚電郵、編寫能應對安全措施的惡意軟體，甚至自動從遭入侵的系統中攫取別具價值的數據資料。這類安全考慮突顯以人工主導的身份管理急需要轉型，由於所需管理的身份數量已經超出人力可應付的範圍，企業必須進一步採納更自動化，更先進的安全措施。

不過，AI同時亦是企業防範網路攻擊者的關鍵。配備AI驅動的身份解決方案的企業能夠分析大量數據，偵測可能存在潛在威脅的模式。智慧化的存取權限能確保合約員工、第三方及非人類等所有數位身份僅能存取必要資源，並在毋須再存取資料時立即撤銷相關權限。這種敏捷的反應能力有助企業迅速應對新冒起的風險，減低資料外洩或其他安全事故的機會。除此之外，企業還可實現速度，自動化和靈活的三重身份安全管理優勢。鑑於企業身份急速增長，採用自主的身份安全方案是確保可靠、安全和合規的必要關鍵。善用AI及機器學習 (ML)技術，才能追趕以雲端主導的現代企業的發展規模、速度以及不斷變化的需求，對於維持安全有效的身份安全基礎建設尤為重要。

非結構化資料越多漏洞越多

數據資料仍將是企業業務的命脈，這點毋庸置疑。數據資料能夠實現進一步智慧化並提升效率，是企業成功實現數位發展目標的重要因素。再者，任何企業若希望乘着AI潮流獲取具有意義的優勢，更需憑藉數據來度身制訂出準確適用的方案，以滿足業務需求。

與此同時是，隨着企業建立、共享及儲存的數據量達空前之多，更多盲點也隨之浮現。具體而言，現今的企業資料當中，80%為非結構化資料，對安全構成重大挑戰。非結構化資料包括在公司通訊和協作應用程式上傳送的文件、電郵、文字和檔案等，通常散佈在多個平台、裝置和資料儲存庫中，難監管亦難以保證安全，令安全管理蒙上一層額外的複雜性。再加上數據量每兩年便會翻倍，故目前的情況叫人堪憂。

要有效降低與非結構化資料相關的風險，企業必須改善身份安全管理策略，加入管理這類資料存取權的措拖。畢竟，非結構化資料在業務營運中有着核心的重要性，它的存在無可避免，故企業所需要做的，是擴大身份安全計劃的範圍，以堵塞漏洞。例如，企業可採納自動化身份安全解決方案，透過中央控制點管理應用程式和非結構化資料，並根據需要擴展存取權政策，統一掌握整體存取權情況。企業必須彌合資料與應用程式身份管理之間的落差，才能真正掌握所需視野，應對與身份相關的威脅。

統一的身份安全方案成業務必備

AI日益普及，意味着業務以雲端為中心的程度達前所未見之高。現代企業業務更數位化，廣泛依賴自動化技術和智慧設備，導致所需管理的設備、​​應用程式和身份激增。在2024年的數位演變進程中，身份安全的着眼點將會從以設備為中心，轉移為以身份為中心。

在可預見的未來，遠距工作和混合工作模式(Hybrid Work) 將持續，企業應繼續確保安全管理所有身份。隨着越來越多個人需要存取企業資源，存取憑證變得薄弱甚至遭入侵或盜用的機會亦可能增加，成為潛在切入點，令試圖利用公司安全基礎建設漏洞的網路犯罪份子有機可乘。由此可推斷，企業續因未能妥善控制第三方實體而容易成為攻擊目標亦不足為奇。事實上，59%企業曾經歷由第三方造成的資料外洩問題。

畢竟，目前現代企業擁有的身份種類繁多，不僅限於人力員工，還包括承包商、供應鏈夥伴、軟體機器人、機器人流程和智慧設備等。另一方面，企業追求更高的營運效率，機器人流程自動化 (RPA)、實體機器人和物聯網 (IoT) 系統等非人類實體與人力不斷整合，其中亞太區在採納物聯網方面更處於領先地位]。儘管這類實體有助提高生產力，卻同時帶來新安全挑戰，尤其企業對很多物聯網設備的存取憑證控制薄弱，容易成為網路攻擊的目標。

事實上，我們近期的報告顯示，一家企業內超過30%身份並未獲身份解決方案適當保護，第三方身份、機器身份和資料之間的管理及保護存在落差。

因此，企業採納配備機器學習技術的自動化先進身份安全解決方案，絕對是當務之急。這類解決方案以自主、統一整合的方式，有系統地管理企業內錯綜複雜的身份和應用程式網路。由AI/ML技術支援的統一身份安全管理平台運用豐富的身份背景資料、存取活動情報和嵌入式AI技術，提供獨特的洞察報告，執行身份安全程序。管理平台的規模可擴縮，具備靈活度並可自行配置，能助企業根據自身的獨特業務需求，建構合適的身份安全基礎。相比起讓終端使用者和管理員在不同系統中存取帳戶或特權，統一的身份安全管理方案才是企業應對身份挑戰的出路。這意味着企業可憑藉單一的自動化工作流程、單一控制政策、統一的連接架構、一致的API和統一的資料模型，掌握前所未有的控制能力，保護所有企業身份，並解決現代企業目前所面對、以至未來不斷演變的複雜因素。

企業轉移至統一的身份安全模型，便能對身份和存取權掌握更深入了解，視察跨混合環境的完整存取情況，制訂統一控制政策來管理各類身份和資料，而無礙於身份和資料所在位置、帳戶屬特權或非特權。統一全面的身份解決方案會根據政策，授予關鍵資料和資源的及時存取權，企業能成熟駕馭及減輕整體營運範圍內的風險，推動業務加速發展。

本文為投稿文章，不代表社方立場。原稿作者:SailPoint亞太區高級副總裁梅正宇。