大咖御谈 | 什么是身份治理与管理？

背景

据IDSA《国际2023年数字身份安全趋势报告》显示，90%的组织在过去一年中至少经历过一次与身份相关的泄露，比2022年的84%增加了6%，68%的组织因此遭受了直接的业务影响，从而损害企业声誉。

可见，“身份安全”已成为新的安全边界下，企业需要面对的重要现状：身份的数量和性质正在发生变化，而这些变化对企业IT安全构成了直接风险。

企业可能面临如下“身份安全”问题：

1、权限可见性不足

在企业发展早期，访问应用程序和数据的用户数量很小，通常在身份验证后一次授予应用程序访问权限，而不跟踪后续发生的情况，如下图所示。

随着企业数字化程度加深，基于云的服务、移动设备、5G网络等应用激增，使企业的工作模式趋于混合，用户可能不断调整物理位置和企业职位（或岗位），因此，对软件类型的需求、不同软件的许可权限等要求会随时发生变化，加大了企业用户身份和访问权限的管理难度，如下图所示。

2、难以快速适应业务变化

企业发展不是一成不变的，部门重组、建立虚拟组织、客户与合作伙伴的更换与调整、员工流动等情况时有发生，但“安全”可能滞后于业务变化。一些企业倾向于将其访问状态的更新限制在规定的时间范围内，这可能为潜在的威胁者提供利用空间和时间窗口。因此，需要一种即时性的内部服务机制帮助决策者及时做出调整，以适应不断变化的状态，有助于员工快速融入组织，提升业务开展速度，降低运营成本。

3、非机构化数据的安全隐患

数据是企业的命脉，而占企业数据80%的非结构化数据可能存在安全隐患。由于非结构化数据通常分散在各个平台（包括非标准应用程序，52%的企业经历过由非标准应用程序引起的数据安全事件）中，增加了复杂性，监控难度加大，难以保证安全。因此，需要弥合跨数据和应用程序身份管理之间的差距，企业才能真正拥有解决身份相关威胁所需的可见性。

分析

企业身份是一个复杂的问题，它涉及到企业发展的方方面面。无论是销售、人力资源还是财务，每个职能领域都有着对自己身份的追踪与理解。一旦身份类型、数量和复杂性的增加与身份相关违规行为的增加同时发生，就可能改变身份管理状态，转而迈向下一阶段，即身份治理和管理 (IGA，Identity governance and administration)。它提供了管理身份、访问权限和合规性的整体方法，这需要现代化身份和访问管理 (IAM) 进行支撑，因为人们往往重管理，而忽视治理。

从战略上讲，IGA需要一种务实的方法，通过保护关键企业资产免受损害，平衡改善企业的安全状况，同时支持最终用户工作流程的业务敏捷性。为此，企业应该做出如下评估：

企业混合式的工作状态是否是一种常态？

员工、供应商、第三方的身份识别异常困难吗？

是否存在多个身份源？

访问配置与确认是否手动操作，成本只增不减？

业务人员是否经常被权限拖慢工作进度？

监控凭据是否困难？

.........