SailPoint 今公布「2023年全球身分安全趨勢預測」，針對企業抵禦不斷變化的網路威脅情勢，提出最需關注的五大關鍵預測，顯示身分安全將在全新年度中成為網路防禦的最前線。

SailPoint台灣區總經理 傅孝淇

依據Identity Defined Security Alliance（IDSA）的研究數據，高達84%企業組織曾遭受身分相關的攻擊事故，其中78%的業務受到直接的影響。SailPoint亦在最新發表的研究報告《The Horizons of Identity》中，探究身分相關的網路攻擊成為資訊安全漏洞的主要原因，來自於機器身分在企業需要管理的所有身分組成的佔比逾4成；平均而言，機器身分的數量更可能比人類身分多出45倍。為妥善管理所有人類與非人類身分的擴張，同時抵禦不斷演變的新形態攻擊威脅，50%調查受訪者表示已經實施或計劃在未來兩年內實施AI/ML資安模型提高身分安全治理能力，以落實數位身分的即時偵測。

SailPoint 台灣區總經理傅孝淇表示：「企業必須充分了解組織在身分安全成熟度發展階段中所處的位置。從SailPoint的研究調查觀察到55%的企業組織仍然使用傳統的人工手動流程進行存取權限的調整，而45%的公司才剛開始身分安全之旅，這意味著他們有機會能夠從頭開始建構一個支援AI人工智慧的全面身分安全策略，並從中獲得巨大收益。隨著身分數量的不斷增加，企業需要超越傳統的身分治理方法，轉而採用強大而智慧化、全面性、自動化的身分安全方案，來保護所有應受管理的身分與權限，從而降低業務成本和網路風險。」

SailPoint公佈《2023年全球身分安全趨勢預測》的五大關鍵

趨勢1：以「身分」為攻擊對象的網路威脅，仍將是造成安全漏洞的主要原因

非法使用權限已成為更加普遍的違規行為，在各類漏洞的佔比中，已從2017年的37%，至2021年上升至48%。

而雲端應用程式和服務的採用帶來了影子IT的指數成長，員工在沒有明確的IT核准下使用IT系統、裝置、軟體、應用程式和服務，儘管員工認為這是提高工作效率的一種方式，然而當IT部門無法確實掌握身分與權限的關係時，也就無法確保其使用的安全性。

隨著身分管理成為資訊安全的第一道防線，CISO需要確保所有未受到管理的應用程式和裝置具備360度的全方位可視性，以確保全面的身分安全，作為有效的身分安全策略的起點。

趨勢2：零信任從身分安全開始，身分管理成為企業資安的基本要求

零信任是一種資安架構，以「絕不信任，一律查證」作為基礎原則，在現今資訊安全領域越來越受到歡迎。透過「最小權限原則(PoLP)」，基於使用者的角色職能和政策邏輯，僅在需要時提供剛好足夠的存取權限。組織應避免依賴單一登入和多因素身分驗證（MFA）等基本驗證方法提供存取權限，有效的零信任計畫應以身分安全作為基石，以實現身分生命週期的自動化，管理身分屬性的完整性，透過動態的存取控制和以角色作為依據的政策達成特權最低化，並確保絕對的職責分離（SoD, Separation of Duties）。存取權限需要不斷地被加以監控、分析、評估和調整，善用AI和ML等先進科技，才能確保嚴格的身分治理，實現存取風險的即時回應。

趨勢3：保護非人類身分是身分和存取權限管理（IAM）的未來趨勢

機器身分為駭客提供了數位攻擊路徑，尤其當組織不採取任何工具進行機器身分的存取控制與授權，並不受到持續性的身分驗證時，機器身分通常會暴露在外帶來高度風險。根據GSMA預測，至2025年將有250億台聯網裝置，因此超過50%的組織認為保護機器身分成為極具挑戰的任務。為了在IT基礎設施中實施有效的集中式身分安全策略，組織需要精心安排以保護各種類型的身分。相較之下，零碎地採用IAM工具將為攻擊者開啟通道，成為駭客侵入破壞系統的破口。

趨勢4：雲端的複雜性將推動雲端身分安全的龐大需求

隨著疫情推動企業組織加速採用混合雲方案，38%的企業認為2023年駭客將透過雲端進行更嚴重的網路攻擊。為了有效地部署和擴展身分治理計畫，企業組織應考慮採用軟體即服務（SaaS）平台，幫助組織實現靈活性、提高安全性和自動化，同時減少工作中斷並節省成本，達到在更短的時間內創造價值。更重要的是，雲端SaaS解決方案可使企業敏捷地進行創新，以滿足快速變化的客戶需求。

趨勢5：身分安全是企業營運的重要環節，AI/ML驅動的身分安全成為未來大勢

企業組織不應冒險在未實施清楚的身分安全控制支援每一個存取點的情況下，就貿然提供能讓他人存取企業組織內部技術資源的權限。藉由AI/ML驅動的身分安全能提供360度的可視性，達到即時偵測和補救，因此企業可以自信地面對威脅，甚至防範於未然。

SailPoint以AI驅動的身分安全方案善用可信賴的數據智能來主動發現、管理和控制所有使用者的存取權限。透過可信賴的智慧和全面性的自動化，再加上全方位整合的支援，當員工加入公司、調職或離職時，公司即可輕鬆且安全地撤銷或恢復員工的存取權限，所有程序都無需經過實體流程，大大簡化員工入職、調職和離職的存取權限啟用和撤銷流程。