如何提昇 SaaS 安全的優先順序並保障身分安全的未來

對所有組織來說,提升網路安全都是迫切要務,尤其是如今網路攻擊的頻率與嚴重程度持續增加。不過,決定應該採取哪些步驟以及先後順序時,掙扎也隨之而來。採行 SSO、實行 MFA、擴充零信任 (Zero Trust) — 這些都是解決方案的重要環節,但是如何排定優先順序?企業若要為安全的未來做好準備,應該採取的最重要步驟是什麼?

上述的未來受到了疫情深遠影響,某些組織可能長久都是 100% 遠端運作,員工每天都必須存取幾十種甚至數百種不同的業務應用程式,橫跨多種環境及各種想得到的裝置。


能克服這項挑戰的公司將成為贏家。可是貴組織該如何辦到?

答案是找出將所有業務應用程式、使用者帳戶、資料存放庫、雲端平台,甚至是 ERP 系統這一切串連起來的關鍵,並且確保這項關鍵完全固若金湯。這項關鍵就是身分,其中的關注重點則是身分安全。


善用安全的超能力


身分安全是管理及治理組織內部所有數位身分的能力。身分安全讓公司得以賦予員工能力,提供更多 (也更好) 的雲端工具,同時保護公司遠離不斷惡化的網路安全威脅,可以說是究極超能力。


原因在於,數位身分形成了關鍵,讓複雜的運算系統輕鬆決定,應該允許使用者存取企業技術環境的哪一部分。身分安全應該是強健安全計畫的基礎,成為所有策略及工具的起點。


這是因為,如果缺乏強健的身分策略,就會浪費下游工具規劃投入的時間與資源,例如 SSO 與 MFA,卻未能顧好源頭。將所有身分維持在最新狀態、協調良好、保持安全 – 而且隨時如此 – 正是關鍵,才能取得完整可見性。未能實現身分安全只會招致認證遭竊,最終引發又一次後果嚴重的資料外洩,就像過去多次重演的事件一樣。


如同本系列先前探討過的,管理 SaaS 應用程式上的身分是關鍵,不過身分安全的拼圖還有許多片。例如生命週期管理,這片拼圖著重的是 IT 團隊隨著人員加入、解除或變更公司內角色時,有效管理員工存取權限的能力。或是雲端治理,也就是組織對於 AWS、Microsoft Azure、Google Cloud 等平台所擁有的可見性與管控程度。還有企業存取風險治理,這是預防有害存取組合的一項關鍵,有害的存取組合可能產生嚴重風險並導致違反法規遵循。


身分安全還有許多層面,例如取得非結構化資料 (例如儲存在 Dropbox 或 Google Drive 上的公司文件) 更全面可見性的重要,提升授予及驗證存取&速度與安全程度的需要,甚至是自動化密碼重設的能力,以便維持員工生產力,讓 IT 團隊有餘裕處理其他事務。以上都是身分計畫裡一樣重要的環節。


不過,有一件事很清楚:以人力管理上述任何一項 – 更別說同時管理全部 – 是不可能實現的任務。即使是最投入的 IT 專業人員,以人力管理也超出其能力範圍。管理的祕訣是善用人工智慧 (AI) 與機器學習 (ML) 的能力。組織唯有將上述多項環節自動化,才能取得全面身分安全解決方案的所有益處。


自動化成效優異


身分安全若是超能力,AI 與 ML 就是戰力加乘因子,讓公司在管理身分計畫的所有層面上變得更全面、更快,並且規模化。例如,AI 能善用對等群組分析、身分屬性、即時存取活動,提供存取批准機制與驗證的自動化建議,給予驗證者更多洞見,利用資訊做出決策,防止橡皮圖章。此外,機器學習能幫助公司大幅強化識別具有風險的異常情況,以便立即補救潛在的利益衝突。


不過,最強大的優勢應該是零信任,在這種安全模式中,預設是對企業網路中的一切採取零信任,所有存取要求都必須完全驗證,才能獲得允許。零信任是每一個組織都必須邁向的新型模式,能提高適當平衡生產力與安全所需要的資料分析程度。施行零信任的唯一方法是透過仰賴 AI 與 ML 的身分安全計畫,這些技術則有賴於掌握精確的可見性,瞭解組織內的所有身分。


現在的企業會花上大量時間,思考競爭對手或瞬息萬變的市場情況所構成的風險。不過,就像本系列文章先前探討過的,其實隱藏的風險才最危險:組織的認證洩露卻未發現時,將引來嚴重的外洩或有害存取組合,結果招致詐騙或違反法規遵循。貴組織的第一優先應該是保護好所有身分,而看不見的身分卻無法保護。


若要掌握整個作業的全面可見性與管控,現在不正是最佳時機嗎SaaS 管理正是最佳起點。立即報名,免費試用 SailPoint SaaS 管理二週,開始看見效率與安全上的立即成效。掌握安全,刻不容緩。</p>


Discussion