CyberArk調查報告指出暴漲的數位身分導致「資安債」持續擴大

新發表的 CyberArk 2022 身分安全威脅情勢報告清楚指出動輒數十萬計的人類和機器身分，正導致「資安債」不斷累積，使公司組織面臨更大的資安風險。

隨著勒索軟體、釣魚與資料外流事件不斷出現，讓人感受到資訊安全的重要性，畢竟沒有做好，小至個人資料，大至國家安全受到威脅。隨著企業數位轉型的風潮，企業面對資安問題更加嚴峻。

CyberArk 北亞區總監謝文駿

CyberArk 大中華區技術顧問黃開印

過去以特權管理見長，現在正擴大至身份安全領域的 CyberArk，近日發表新的全球報告指出，79% 的資深資安專家認為過去的一年間資安已被各式數位商業計畫所取代而退居次要位置。CyberArk 2022 身分安全威脅情勢報告清楚揭示動輒數十萬計的人類和機器身分，正導致「資安債」不斷累積，使公司組織面臨更大的資安風險。

加速數位化也讓數位身分大量增加

每個 IT 或數位轉型計畫都會增加人員、應用系統和作業程序間更多的連動，因而創造出大量的數位身分，如果這些數位身分缺乏適當管理且存在安全隱患，將形成巨大資安風險，包括 68%的非人類或機器人(bots)可存取機敏資料和資產、平均每個員工擁有30個以上數位身分、機器身分數量如今平均是人類身分的45倍等問題，而且 87% 的組織將秘密資訊存放於 DevOps 環境的各處，且 80% 受訪者表示開發者通常會擁有更多比正常所需要的權限。

數位身分沒有做好控管將為資安帶來極大的威脅

身分存取是 2022 排名第一的風險領域

數位轉型、雲端遷移和攻擊者創新的長期趨勢正在擴大受攻擊面，該報告深入挖掘資安團隊所面臨網路威脅的類型和嚴重性以及他們認為最具風險的領域，其中身分存取(credential access)是排名第一的風險領域(40%)、再來則是躲避防禦(defense evasion)(31%)、執行惡意程式(execution) (31%)、初始存取(initial access)(29%)以及提高權限(privilege escalation)(27%)。62% 的受訪者在 SolarWinds 攻擊後沒有採取任何措施來保護軟體供應鏈，而大多數 (64%)受訪者更表示軟體供應商的淪陷意味著攻擊在其組織內無法阻止。而超過70%企業組織在過去一年平均曾遭受兩次勒索軟體攻擊。

不安全與未控管身分將欠下資安債

資安專家們同意其最近加速部署的數位轉型計畫需要扛起「資安債」代價，即資安規劃和資安工具跟不上公司強化營運支援所採行的措施。所謂的「資安債」是由於沒有對機敏資料和資產的存取進行適當的管控，且缺乏身分安全控管導致風險升高而產生不良後果。

最近的地緣政治緊張局勢對於關鍵基礎設施直接產生衝擊，也加劇「資安債」的嚴重性，公司組織更應該正視網路攻擊對於實體設施可能造成的傷害。調查中 79%受訪者同意在過去的12個月內，公司組織將維持企業營運的順序置於完善資安之前，而且僅有不到一半(48%)受訪組織在其企業關鍵系統有落實身分安全控管措施。

面對威脅的對應方式

面對這些問題，便需要強化透明度，另外也要導入管理機敏存取(Manage Sensitive Access)的策略，並將身分安全控管視為推動零信任原則的首要工作。