如果您的身分治理方案感覺像是來自過去簡單時代的遺物，您並不孤單。傳統的認同治理和自動化 (IGA)是為職位頭銜能說明一切的時代而設計的。軟體工程師就是軟體工程師，銷售代表就是銷售代表。分配存取權限原本應該像將人員指派到預先定義的角色中一樣簡單。
如今，這種模式已顯老舊。您的組織可能正感受到這種壓力。您現在可能擁有臃腫的職位，卻附帶成千上萬個權限，而這些權限卻無人能真正理解。由於管理者缺乏做出更明智決策所需的背景信息，訪問權限審查已淪為走過場的橡皮圖章。而您的安全團隊則必須苦苦思索，攻擊者會先發現這成千上萬個權限中的哪一個。
靜態的、基於標籤的存取控制方式弊大於利。是時候採用更聰明的方式了，這種方式能夠真正理解人：他們是獨特而動態的個體集合。
傳統的認同治理與分析（IGA）將人視為靜態標籤，扁平化了認同，忽略了現實世界風險的細微差別。這會導致一種“角色疲勞”，從而引入嚴重的風險。一些初衷良好的角色挖掘項目往往會演變成維護噩夢，有時甚至會創造比公司實際人數更多的角色。
這種過時的做法為安全領導者帶來了幾個嚴峻的挑戰：
為了彌補這些差距，我們需要超越職位名稱這個單一維度，審視現代勞動力的實際複雜性。
人的價值遠不止於其職位頭銜。一個人的身分包含多個層面，這些層面共同決定了其真正適當的存取權限。這些層面受到許多因素的影響，例如部門、地點、團隊分配、當前項目，甚至其特定的訪問行為。真正決定一個人實際所需存取權限的，應該是這些屬性，而不是一成不變的職位頭銜。
現代身分認同治理方法並非將所有人強行塞進一個僵化的框架中，而是從個人出發，將身分認同視為一系列動態層次的集合：
1. 基本存取權限：每位員工入職第一天即可享有的基本權限，涵蓋電子郵件、人力資源入口網站和公司內部網路等基本功能。
2. 基於角色的存取權限：基於核心工作職能的存取權限，例如開發人員取得程式碼庫的存取權限。在這種模式下，傳統角色仍然存在，但其層級更加精簡。
3. 基於同儕的存取：這是系統更聰明的地方。透過分析功能性同儕的訪問模式，我們可以給予智慧建議。如果團隊中其他所有資料科學家都在使用某個特定工具，那麼新加入的團隊成員可能也需要它。
4. 單獨存取：最後一層，用於處理特殊專案或特定任務所需的獨特權限。
這種分層模型能夠更精確、更動態地展現個人的認同特徵。它反映了人們實際的工作方式，並承認存取需求是動態的、情境化的。
雖然這種分層模型提供了一個更完善的概念框架，但大規模實施卻完全是另一回事。手動追蹤整個組織內的這些動態屬性是不可能的。而人工智慧正是在此發揮作用。
AI 檔案運用機器學習技術分析組織內的身份資料。該系統持續監控使用者屬性、存取模式和使用情況，為每個身分建立動態智慧檔案。這並非旨在取代人工監管，而是為了利用數據驅動的洞察力來增強人工監管能力。
以下是這種方法如何解決傳統治理的核心挑戰。
利用人工智慧驅動的推薦簡化訪問
與其讓經理審批新員工的 50 項晦澀難懂的權限清單，不如讓人工智慧系統提供一個簡單而強大的建議：“此人的個人資料與團隊中其他高級工程師的匹配度高達 95%。您是否要授予他們相同的訪問權限？”
這使得討論從細緻的技術審查轉變為以業務為中心的簡單決策。經理無需精通每項權限，只需確認員工的角色與其同級人員的職責相符即可。這有助於將入職流程自動化，確保員工從第一天起就擁有適當的存取權限。
透過基於異常的訪問審查來減少疲勞
橡皮圖章式審批問題是資訊過載的直接後果。人工智慧分析透過突出顯示異常情況來過濾掉噪音。它不會向管理者展示使用者擁有的所有權限，而是標記出代表真正風險的異常值。例如，警報可能會顯示：“該專案經理擁有其他專案經理無法存取的財務資料庫的存取權限。是否應該撤銷此存取權限？”
這為管理者提供了清晰、可執行的決策基礎。透過重點審查例外情況，他們可以更快、更有效率地降低風險。
透過使用模式賦能資料擁有者
除了簡化管理者的體驗之外，AI 個人資料還能確保合適的人，特別是資料所有者，了解情況。
歸根究底，最了解數據的人才是數據擁有者。然而在傳統模式下，他們很少參與訪問決策。人工智慧設定檔可以根據使用模式和組織結構識別特定應用程式或資料集的擁有者。當收到對該資源的存取請求時，系統可以將其直接路由給資料擁有者進行審批，確保由最了解情況的人做出最終決定。
轉向人工智慧驅動的身份治理模型並非追逐潮流，而是為了解決長期存在的難題，這些難題不僅會為組織帶來風險，還會拖慢營運速度。透過採用更動態、更聰明的方法，您可以徹底擺脫存取審查的繁瑣流程，實現安全註冊流程的自動化，從而使您的團隊能夠專注於降低實際風險，而不是疲於應對繁雜的行政事務。
目標是增強安全態勢，提升組織效率。您的員工將獲得完成工作所需的存取權限，不多不少。這是一種以人為本、由人工智慧驅動的方法，能夠實現真正符合個人需求的存取權限，而不僅僅是基於其標籤的權限。
Brian Smits 是 CyberArk（Palo Alto Networks 旗下公司）的解決方案策略架構師。
準備好將您的 IGA 專案提升到標籤之外的水平了嗎？參加由 Brian Smits 主持的本次網路研討會，了解分層 AI 身分設定檔如何提高存取決策的準確性、減少認證疲勞並加強合規性。
文章來源/CyberArk Blog CyberArk Blog
返回