文／Mhicole A. Moral，專題與內容撰稿人

隨著組織加速數位化營運，身分識別已成為企業網路安全領域的關鍵優先事項。越來越多企業仰賴身分識別與存取管理（IAM）來管控誰能取得關鍵資訊、存取權限何時核准，以及如何持續監控。雲端的廣泛採用與軟體即服務（SaaS）應用程式的普及，進一步放大了此一趨勢，使安全團隊必須管理的使用者帳號與存取路徑數量大幅增加。

在 BusinessWorld 網路安全高峰會的第三場專題座談——主題為「企業中的身分識別與存取管理」——技術高階主管們探討了為何更強大的身分識別與存取系統已成為現代組織不可或缺的一環。

超越密碼與多重要素驗證

Tonik 首席資訊安全長（CISO）Catherine Anne Paleracio 指出，身分識別的樣貌已隨著數位服務日益普及而演進。雖然組織過去曾重度依賴傳統驗證方法，但當前的威脅環境要求安全團隊的思維必須遠遠超越使用者名稱、密碼與多重要素驗證。

「約 30% 的攻擊屬於憑證型攻擊，」Paleracio 女士表示。「這要求組織必須根據我們目前所處的環境採取行動，也促使我們重新思考過去處理 IAM 的策略。」

Maya Philippines, Inc. 資訊安全總監 Jan Martin Encina 強調，身分識別與存取管理一直是安全與稽核專業人員的核心關切議題，因為控管存取權限是保護企業資源的基石。

雖然存取管理看似例行性工作，但 Encina 強調組織應建立健全的實務作法，以釋放遠超降低網路安全風險的效益。

「如果一個組織能把 IAM 做好，它就會成為該組織非常重要的價值驅動力，」他指出。「你能讓流程變得更加高效，也確實能讓員工更投入其中。」

這種對業務的影響也解釋了為何攻擊者經常在嘗試技術上更精密的攻擊手法之前，先鎖定身分識別。

「存取權限就像是我們對手的首要選擇，因為它太基本了，每個人都有，」Encina 先生說道。「在威脅行為者嘗試任何複雜、精密的攻擊手法之前，他們會先試圖取得存取權限。如果你能從管理員那裡取得密碼，從那位可以轉帳的財務經理手中取得密碼，從某個能提升你的權限的人那裡取得密碼——這完全沒有技術成分可言。全都是社交工程。」

遠端端點的挑戰

PwC Philippines 風險服務——網路安全與隱私執行總監 Mark Anthony P. Almodovar 指出，組織已不得不從將安全防護集中於企業辦公室，轉向保護數以千計的遠端端點。

例如在 COVID-19 疫情期間，許多公司讓員工帶著桌上型電腦回家辦公以維持營運，這大幅擴大了安全團隊需要防護的環境數量。

「端點實際上是與個人綁定的，」Almodovar 先生解釋道。「所以保護它也確實非常困難。我們仍然依賴信任基礎。」

他指出，組織通常假設登入企業帳號的人就是經過授權的員工，但每天在數千名使用者之中驗證這項假設，仍然是一項艱鉅的挑戰。

人：最薄弱的環節

企業安全的進步也改變了攻擊者的行為。隨著組織透過更精良的技術與更廣泛的安全意識強化技術防禦，威脅行為者將注意力轉向鎖定人員與憑證。

「有時候鏈中最薄弱的環節不是流程，不是技術，而是人，」Encina 先生解釋道。「即使你擁有最精密的安全系統，如果你的管理員把自己的密碼給出去了，那就忘掉你在安全上的數百萬美元投資吧。」

Almodovar 先生呼應了此一觀點，表示存取控制仍然是最根本的資訊安全控制措施，因為攻擊者發現操縱個人比擊敗技術更容易。

「就大部分而言，人仍然是最脆弱的一環，」他說。「至少技術在促使人們使用某種程度上更精密的驗證方面，確實發揮了良好的作用。」

Paleracio 女士補充道，網路釣魚活動仍然是最簡單卻最有效的攻擊媒介之一，因為它們針對的是已經擁有重要存取權限的個人。她表示，攻擊者可能會集中鎖定管理員、供應商以及有權存取關鍵資訊的員工，因為攻陷一個受信任的帳號可以直接開啟進入系統的管道，而不需要複雜的技術性攻擊。

零信任作為漸進的歷程

雖然身分識別已成為企業安全的核心焦點，但與會的座談者一致認為，實施零信任是一個循序漸進的過程，其成敗與治理和業務目標的契合程度息息相關，技術本身同等重要。此一概念正式確立於美國國家標準暨技術研究院（NIST）特別出版品 800-207 中，將安全模式從基於網路位置的隱性信任，轉向對每一次存取請求進行持續驗證。

Paleracio 女士將零信任描述為一個可靠的安全概念，但她提醒，將其轉化為日常營運需要持續的投資與審慎的規劃。各組織在採用此模式的能力上也存在顯著差異，因為規模直接影響複雜度。例如，較小的企業可能可以更快速地導入零信任控制措施，而擁有數千名員工的組織則必須管理更為龐大的使用者、系統與存取關係網絡。

「挑戰基本上在於定義你真正需要什麼，並根據業務需求加以限制，」Paleracio 女士補充道。「歸根結底，網路安全將是每個人的角色、每個人的責任。我們必須確保在建立安全控制措施的同時，自己也能成為推動者。」

Encina 先生同樣強調，零信任若無所有利害關係人的積極參與，便無法成功。

「安全是每個人的責任，因為零信任只有在所有利害關係人實際執行的情況下才能落實，」他指出。

他警告，當員工繞過安全控制措施時，這些措施就會變得無效。過度嚴格的政策可能會促使使用者轉向個人裝置、未經批准的人工智慧應用程式或未經授權的技術——進而產生組織無法監控或控制額外風險。

Encina 先生主張，與其在系統建成後才施加控制，不如透過「安全設計」（secure-by-design）方法，將安全整合到開發的最早期階段。他認為，組織應該在選擇或部署新技術之前，就先定義身分識別與存取管理需求。無法與企業身分識別平台整合的系統，應被視為從一開始就未能滿足業務需求，而非在部署後才作為安全例外來接受。

高階主管支持與治理

Almodovar 先生表示，高階主管的支持同樣至關重要，因為政策若無真正的組織承諾便無法成功。他回憶與一些組織的討論，這些組織在面對高階主管的抗拒時，仍試圖強化驗證政策——這些主管質疑，在多年未發生安全事件的情況下，為何需要更強的控制措施。他指出，這種不情願的態度往往會延遲安全投資，直到組織實際遭受損失。

「存取控制是資訊安全中最基本、最根本的控制措施，」Almodovar 先生說道。「大多數時候，只有當他們親身經歷了——當他們被入侵了、當他們損失了金錢、當他們的帳號被接管了——那時他們才會開始實施。」

座談者們反覆回到領導力與組織文化這兩個決定安全計畫成敗的關鍵因素。由於每位員工都對系統、應用程式和資訊擁有某種程度的存取權限，每個人都對組織的整體安全態勢有所貢獻。

「組織中的每一個人都有存取權限。組織中的每一個人在你的系統中都扮演著角色，」Encina 先生說道。

他強調，有效的身分識別與存取管理需要高階主管的贊助，因為安全計畫同時影響技術、業務營運與員工行為。若缺乏領導階層的明確支持，組織往往難以在各部門之間建立一致的身分識別治理。

他也警告，不應將法規遵循要求視為衡量安全的唯一標準。

「讓人們在沒有適當政策和治理的情況下實施技術是極度危險的，」他解釋道。「但如果只有治理而不在技術上採取任何行動，同樣是無效的。」

Almodovar 先生進一步強調，保護組織最終取決於保護人員。由於許多網路犯罪分子利用的是網路安全意識有限的個人，領導者應推動超越密碼與一次性 PIN 碼的更強控制措施計畫。即便如此，單靠技術也無法彌補不良的安全習慣。

「在實施技術之前，治理與管理層面仍然是首要前提，」Almodovar 先生表示。「如果我們不了解自己試圖保護的是什麼，又怎能保護它呢？」

他強調，組織必須先對自身的資產、核准流程、權責歸屬與決策架構建立清楚的理解，然後才能自動化身分識別管理。

座談者們一致同意，組織必須先了解自身的風險、可能的對手以及整個員工隊伍的安全意識水準——而非假設僅靠法規遵循就能提供充分的保護。