身份和訪問管理是任何公司網絡安全戰略的重要組成部分。Simeio公司解決方案和咨詢總監James Quick表示，要避免這些常見錯誤，否則就會面臨數據泄露的風險。

61%的數據泄露歸因于證書被盜。根據威瑞森公司的2022年調查報告，82%的已確認的數據泄露涉及所謂的“人為因素”，包括社交攻擊、錯誤和針對個人的一般濫用，從而造成人為錯誤。威脅行為者通常以個人為目標，制造一種令人困惑的場景，即個人愿意在不知道后果的情況下授予訪問權限。

但這并不是威脅行為者發現安全漏洞的唯一方法，這就是為什么企業必須避免最常見的身份和訪問管理(IAM)錯誤。

最常見的IAM錯誤:

(1)糟糕的或部分的IAM實現使您的業務容易受到攻擊，并使您的安全團隊成為同謀。

(2)沒有明確的IAM治理會導致缺乏全面的策略和易于理解的策略。

(3)所示。沒有行政領導團隊“支持”或為員工提供明確的指導。

(4)所示。缺少熟練的網絡安全專家:IAM工程師、架構師和管理人員。

(5)多個不一致的身份授權來源，這意味著存在多個具有重復身份憑證的記錄系統。

(6)關于數據和應用程序所有權或責任的政治內訌。

(7)缺乏組織變革管理流程來解決問題，并領先于黑客的最新策略。

(8)制度上的“分析癱瘓”導致對降低復雜性的厭惡和對自動化的恐懼，從而導致對有風險的、耗時的手動過程的依賴。

(9)未清理的數據被移除并轉移到新的IAM系統中。

(10)不切實際的IAM推出方法對贊助商和用戶無效。

理解為什么它很重要

解決任何IAM問題的第一步是理解它。IAM是一種信息技術安全策略框架，它確保正確的用戶(員工、客戶和合作伙伴)能夠適當地訪問他們做好工作所需的資源。它需要管理用戶身份的生命周期和路線圖，管理他們的訪問，并通過身份分析適當地監視他們的身份和憑證的使用。有效的IAM確保有適當的控制來控制用戶與他們需要“特權”訪問的關鍵系統交互的能力，這是特權訪問管理(PAM)的基礎。

例如，許多公司在實施這些計劃時需要更適當的治理，這通常源于缺乏在整個組織內溝通的戰略愿景。因此，員工在沒有審查的情況下獲得并保持對系統的訪問權的時間過長，并且當系統碎片化時，不容易看到這種情況可能發生在哪里。

當使用多個不同的網絡安全系統時，就會出現信息孤島。然而，這對許多企業來說是司空見慣的。必須盡快通過統一系統的實施來解決這個問題，否則可利用的漏洞將繼續使您的業務容易受到數據泄露的影響。隨著監管機構表明他們愿意對無效的網絡安全戰略和缺乏透明度進行定罪，如今網絡安全專家做出改變以保護員工和客戶數據或面臨法律訴訟的風險比以往任何時候都更重要。

接觸IAM的正確方法

許多公司在推出IAM戰略時犯的主要錯誤是未能獲得公司執行領導團隊的支持、可見性和贊助，包括首席執行官、首席財務官和首席運營官。身份安全永遠不應該依靠CISO或CIO來管理和溝通。所有的業務領導者必須在IAM方面擁有相同的戰略愿景，并在組織內部推動其取得成功。

但要知道你的安全系統是否容易受到攻擊，唯一的方法就是聘請網絡安全專家并不斷地進行測試。如果您不進行測試和不斷改進，您怎么可能知道您的數據是受保護的呢?威脅行為者每天都在改進他們的方法，以發現安全系統中的新漏洞。你的適應速度比他們快嗎?

確保安全團隊有明確的責任和所有權制度，并定期與員工溝通更新的方法是至關重要的。無論員工是否承認，他們都站在對抗黑客、惡意軟件和勒索軟件的第一線，因此任何企業都需要定期發布通訊或交流關鍵安全變化的方法。如果更新是復雜的，適當地提高員工的技能，同時確保訪問管理過程盡可能簡單和直觀。

要有這樣做的基礎，可以雇傭具有這方面專業知識的新員工，或者打破常規，聘用那些基礎扎實、學習能力強的人。擁有精通IAM和機構變更管理流程的網絡安全專家可以極大地幫助您實施和管理戰略。不過，這一領域仍存在人才短缺，因此可能有必要引入第三方專家。

此外，機構分析癱瘓和對自動化的恐懼可能導致IAM實現失敗。手動流程和“這是我們一直做的方式”的心態對任何網絡安全計劃都是危險的，因為更新是消除漏洞差距和促進更好的用戶體驗所固有的。

聚焦融合

當您在多個身份管理系統中分布和復制身份時，冗余會造成混亂，并導致一些用戶訪問敏感信息的時間遠遠超過他們應該訪問的時間。確保您組織的數據在被提升和轉移到新的IAM系統之前得到了清理。通過直接征求資源、贊助商和用戶的反饋，確認您的推出方法對他們有效。

檢查當前的冗余工具，這可以幫助您節省大量資金，同時降低風險。最近，對于一個客戶來說，發現了可以退役的冗余IAM工具(其中一些仍然是貨架軟件)，這使得每年可以節省20%的許可成本。網絡安全工具的授權成本降低20%會為您節省多少?

如何確定IAM策略是否有效

獲得正確的IAM策略將需要持續的時間和精力，即使是在已建立的系統上工作的經驗豐富的網絡安全團隊。當組織使用來自不同供應商的各種解決方案和產品，而沒有身份編排(IO)平臺時，情況尤其如此，IO平臺將多個系統聚合到單個編程視圖中，并允許采用更主動的方法進行威脅檢測和解決。

如果你不確定當前安全系統的有效性，定期測試它們。全面的IAM評估可以診斷出您在哪些方面做得好，哪些方面需要改進，以及您未來需要做些什么來實現真正的身份安全。一個成功的IAM計劃依賴于透明的文化。除非領導已經就目標達成一致，在團隊中共享，并且歡迎公開的反饋，否則您無法識別系統中的差距。

很明顯，IAM是一家全球戰略投資企業，每年都在變得越來越有價值。BusinessInsights公司最近的一份報告預測，IAM全球市場將從2021年的134.1億美元增長到2028年的345.2億美元。不要等到太晚了才修復IAM策略中的問題。一旦數據泄露發生，要將其全部清除是一項挑戰。