如何提昇 SaaS 安全的優先順序並保障身分安全的未來

對所有組織來說，提升網路安全都是迫切要務，尤其是如今網路攻擊的頻率與嚴重程度持續增加。不過，決定應該採取哪些步驟以及先後順序時，掙扎也隨之而來。採行 SSO、實行 MFA、擴充零信任 (Zero Trust) — 這些都是解決方案的重要環節，但是如何排定優先順序？企業若要為安全的未來做好準備，應該採取的最重要步驟是什麼？

上述的未來受到了疫情深遠影響，某些組織可能長久都是 100% 遠端運作，員工每天都必須存取幾十種甚至數百種不同的業務應用程式，橫跨多種環境及各種想得到的裝置。

能克服這項挑戰的公司將成為贏家。可是貴組織該如何辦到？

答案是找出將所有業務應用程式、使用者帳戶、資料存放庫、雲端平台，甚至是 ERP 系統這一切串連起來的關鍵，並且確保這項關鍵完全固若金湯。這項關鍵就是身分，其中的關注重點則是身分安全。

善用安全的超能力

身分安全是管理及治理組織內部所有數位身分的能力。身分安全讓公司得以賦予員工能力，提供更多 (也更好) 的雲端工具，同時保護公司遠離不斷惡化的網路安全威脅，可以說是究極超能力。

原因在於，數位身分形成了關鍵，讓複雜的運算系統輕鬆決定，應該允許使用者存取企業技術環境的哪一部分。身分安全應該是強健安全計畫的基礎，成為所有策略及工具的起點。

這是因為，如果缺乏強健的身分策略，就會浪費下游工具規劃投入的時間與資源，例如 SSO 與 MFA，卻未能顧好源頭。將所有身分維持在最新狀態、協調良好、保持安全 – 而且隨時如此 – 正是關鍵，才能取得完整可見性。未能實現身分安全只會招致認證遭竊，最終引發又一次後果嚴重的資料外洩，就像過去多次重演的事件一樣。

如同本系列先前探討過的，管理 SaaS 應用程式上的身分是關鍵，不過身分安全的拼圖還有許多片。例如生命週期管理，這片拼圖著重的是 IT 團隊隨著人員加入、解除或變更公司內角色時，有效管理員工存取權限的能力。或是雲端治理，也就是組織對於 AWS、Microsoft Azure、Google Cloud 等平台所擁有的可見性與管控程度。還有企業存取風險治理，這是預防有害存取組合的一項關鍵，有害的存取組合可能產生嚴重風險並導致違反法規遵循。

身分安全還有許多層面，例如取得非結構化資料 (例如儲存在 Dropbox 或 Google Drive 上的公司文件) 更全面可見性的重要，提升授予及驗證存取&速度與安全程度的需要，甚至是自動化密碼重設的能力，以便維持員工生產力，讓 IT 團隊有餘裕處理其他事務。以上都是身分計畫裡一樣重要的環節。

不過，有一件事很清楚：以人力管理上述任何一項 – 更別說同時管理全部 – 是不可能實現的任務。即使是最投入的 IT 專業人員，以人力管理也超出其能力範圍。管理的祕訣是善用人工智慧 (AI) 與機器學習 (ML) 的能力。組織唯有將上述多項環節自動化，才能取得全面身分安全解決方案的所有益處。

自動化成效優異

身分安全若是超能力，AI 與 ML 就是戰力加乘因子，讓公司在管理身分計畫的所有層面上變得更全面、更快，並且規模化。例如，AI 能善用對等群組分析、身分屬性、即時存取活動，提供存取批准機制與驗證的自動化建議，給予驗證者更多洞見，利用資訊做出決策，防止橡皮圖章。此外，機器學習能幫助公司大幅強化識別具有風險的異常情況，以便立即補救潛在的利益衝突。

不過，最強大的優勢應該是零信任，在這種安全模式中，預設是對企業網路中的一切採取零信任，所有存取要求都必須完全驗證，才能獲得允許。零信任是每一個組織都必須邁向的新型模式，能提高適當平衡生產力與安全所需要的資料分析程度。施行零信任的唯一方法是透過仰賴 AI 與 ML 的身分安全計畫，這些技術則有賴於掌握精確的可見性，瞭解組織內的所有身分。

現在的企業會花上大量時間，思考競爭對手或瞬息萬變的市場情況所構成的風險。不過，就像本系列文章先前探討過的，其實隱藏的風險才最危險：組織的認證洩露卻未發現時，將引來嚴重的外洩或有害存取組合，結果招致詐騙或違反法規遵循。貴組織的第一優先應該是保護好所有身分，而看不見的身分卻無法保護。

若要掌握整個作業的全面可見性與管控，現在不正是最佳時機嗎SaaS 管理正是最佳起點。立即報名，免費試用 SailPoint SaaS 管理二週，開始看見效率與安全上的立即成效。掌握安全，刻不容緩。</p>