長期以來,企業為確保機密資料的安全,每年都會投入大筆預算添購各種資安設備,如防毒軟體、防火牆等軟、硬體設備,尤其隨著個人資料法於2012年10月正式上路之後,不少公司更重新設計資料流程,以確保資料傳遞過程的安全。但是根據多家研究機構的調查結果,資料外洩事件發生的原因有超過80%是內部管理不當,僅有少數是駭客從外部入侵所致,顯見從企業內部管理著手,才能夠建立更好的資安防護機制。
市面上有不少資安廠商推出各種帳號監控解決方案,從記錄帳號存取主機資料軌跡出發,協助資安管理員掌握每個帳號存取狀況,但是卻忽略高權限帳號管理的重要性,以致於發生資料外洩事情時,根本找不到外洩根源,更遑論徹底解決資安防護漏洞。
力悅資訊業務經理彭國達表示,多數員工的帳號權限本來就不高,根本沒有讀取機密資料的權限,所以導入帳號監控軟體的效益並不大,僅能符合稽核與個資法規範,所以企業應該從管理高權限帳號著手,才是確保機密資料安全的最好方法。但是企業擁有高權限帳號密碼的人不在少數,除管理階層或資訊人員外,也被使用在應用程式進行資料交換,以致於被儲存在電腦設定檔中,顯見帳號管理是非常複雜的工作。
CyberArk亞太區副總裁Dan Dinnar(左上圖)指出,很多企業因為營業上的需求,會提供管理階層高權限帳號的密碼,但是一般應用程式或Windows網域的管理方式很呆板,僅提供每個帳號搭配一組密碼,萬一不幸發生密碼外洩事件,資安人員也無法從帳號使用軌跡找出外洩的管道。
為協助資訊部做好帳戶管理的工作,CyberArk針對不同應用模式推出多種高權限帳號管理的解決方案,可在不影響員工原有工作流程的狀況下,能夠做好帳號與密碼管理的工作。以Enterprise Password Vault為例,便可以針對資料庫、應用程序、管理程序、網路設備的高級帳號進行管理,也就是先發給每個用戶、應用程式專屬的使用憑證,再搭配後續管理與追蹤的工具,詳細記錄每個憑證的存取狀況、時間、日期,以及該憑證的擁有者。
換句話說,在CyberArk高權限帳號管理工具的協助下,一旦發生資料外洩情形,系統管理員就可以從存取憑證中查詢到各種資料,不僅可以降低事後追尋的困難度,快速找出資安防護缺口,還能符合台灣個資法的要求,達到企業需善盡保管人的規範。
Dan Dinnar表示,高權限帳號管理的概念雖然問世多年,但直到3~4年前才廣泛被美國大型企業接受,隨後才普及到一般中小型企業中。台灣是被駭客攻擊次數排名第二多的國家,發生機密資料外洩的可能性也很高,若能及早導入高級帳號管理解決方案,將有助於台灣企業提升自我防護的能力。