CyberArk發布的一份全球報告顯示，經濟環境不佳和AI等技術創新的速度，正在提高從身分切入的資安風險。《CyberArk 2023身分安全威脅情勢報告》中顯示，人類和機器身分數量預期將成長240％，而對數位和雲端計畫的投資速度高於資安投入，將快速擴大未受保護的身分攻擊面，種種因素可能導致「資安債」的持續擴大。

CyberArk北亞區總監謝文駿(右)、CyberArk大中華區技術顧問黃開印(左)

經濟緊縮加上數位轉型加速，使企業面臨更高風險

企業組織在2022年經歷了資安債的增長，主要因為疫情期間資安支出普遍落後於更廣泛的數位業務計畫投資。到了2023年，包括經濟緊縮、員工流動率升高、消費支出下降以及全球環境的不確定性等因素，更可能造成資安債持續惡化。而隨著企業領導者仍持續投資數位和雲端計畫，以追求更大的效能和創新，更對資安造成了連鎖反應。

●近乎全部（99%）的受訪者預期在今年會出現與身分相關的威脅，這源於經濟壓力下的裁員、地緣政治因素、雲端採用以及混合工作型態等因素。58%的多數受訪者表示威脅將在諸如雲端部署或舊有應用軟體遷移等數位轉型計畫中產生。

●由於員工異動帶來的威脅，例如不滿的前員工或被濫用的遺留憑據，超過三分之二（68%）的企業組織預期在2023年會出現員工流動所導致的資安問題。

●企業在未來12個月內將部署比現有數量多出68%的SaaS工具。大量的人類和機器身分可透過SaaS工具取得敏感資料，如果缺乏適當保護，極可能成為攻擊的入口。

2023整體威脅情勢

報告揭示了今年身分與資安的關注領域。

●93%受訪的資安專業人員中，預計在2023年會面臨AI威脅，其中AI生成的惡意軟體被列為頭號憂患。

●近九成的受訪組織（89% - 較2022年報告的73%增加）在過去一年中遭受勒索軟體攻擊，其中60%的受影響企業支付了兩次或更多次贖金以復原資料，這顯示他們很可能是雙重敲詐勒索攻擊的受害者。

●67%的能源、石油和天然氣公司預計他們無法阻止或甚至偵測到來自軟體供應鏈的攻擊（相較於所有組織的59%）。但這個行業的大多數受訪者（69%）同時也承認他們在過去12個月中並未嘗試透過實施更好的資安措施來改善此問題。

以身分為中心的攻擊面更為擴大

包括人類和機器的身分，是所有攻擊，或幾乎所有攻擊的核心。近一半的身分必須存取敏感資料以完成其工作，因此成為攻擊的首選途徑。該報告發現IT環境中的關鍵區域並未獲得足夠的保護，並辨識出具重大風險的身分類型。

●63% 的受訪者表示，最高敏感性的員工存取未得到充分保護，而擁有機敏資料存取權的機器數量比人類更多（45% vs. 38%）。

●憑據存取仍然是受訪者認為最大的風險（被35% 提及），其次是防禦規避（31%）、執行（28%）、初始存取（28%）和提權（27%）。

●由於未知和未受管理的身分存取，關鍵商用軟體（例如對外的營收相關應用軟體、ERP和財務管理軟體）被視為風險最高的領域。只有 46% 的組織採取身分安全控管以保護關鍵商用軟體。

●合作夥伴、顧問和服務提供商等第三方公司被認為是風險最高的人類身分類型。

●69% 的受訪者表示，由於安全隱患，機器人流程自動化（RPA）和bot部署腳步放緩。

CyberArk 北亞區總監謝文駿表示：「即使在裁員和宏觀經濟的巨大壓力下，企業追求不斷提高業務效率和創新的渴望依然不減。以數位和雲端計畫為主的業務轉型不斷導致企業身分數量激增。儘管攻擊手段不斷翻新，但侵害身分仍然是繞過網路防禦並存取敏感資料和資產的最有效方式，這樣的風險讓『信任誰和信任什麼』成為所有資安措施最首要工作，進而可以預防資安債的持續累積，並為組織建立長期資安韌性。」

CyberArk 能做些什麼？

●落實零信任原則：身分安全對於堅實的零信任實施至關重要。受訪者表示，身分管理（79%）和端點安全/設備信任（78%）對支援零信任具有「關鍵」或「重要」的作用。

●安全存取敏感資料的策略：受訪企業計劃在2023年引入的三個改善身分安全的措施是：JIT即時存取（32%的受訪者提到）；採用最小授權原則保護業務關鍵應用軟體（32%）；以及自動供裝和撤銷存取權限（31%）。

●與可信賴的合作夥伴整合：超過一半的受訪者（51%）將尋求可信賴的資安合作夥伴的協助，以預測和規畫未來2023年的資安風險解決方案。