Раджат Бхаргава – предприниматель, инвестор, автор и в настоящее время генеральный директор и один из сооснователей компании JumpCloud.
Распределенные глобальные рабочие силы. Ускоренное облачное и цифровое преобразование. Сложные, основанные на искусственном интеллекте угрозы безопасности. Экономическая неопределенность и растущие бюджетные давления. Эти развития, усугубленные пандемией, создали растущую проблему управления идентификацией и доступом (IAM), которую никакая организация не может игнорировать: фрагментацию пользовательских идентификаторов по системам и программному обеспечению.
Проблема имеет широкий резонанс. Она может подорвать безопасность организации, снизить производительность пользователей и обременить уже перегруженные ИТ-команды. Идентификаторы распределены по устройствам, программам, системам, приложениям, сетям и за их пределами. Каждая операция доступа – потенциальное нарушение.
Слишком многие организации просто заплатинировали множество решений для конечных точек. Такой подход увеличивает их расходы на технологии, но на самом деле не решает кризиса идентификации. В 2021 году корпоративные ИТ-команды управляли в среднем 76 различными инструментами безопасности, однако частота и воздействие нарушений продолжают расти.
Что касается хороших новостей? Организации осознают проблему. Исследователи Gartner сообщили, что в 2023 году IAM была второй по популярности темой обсуждения среди лидеров отрасли, и две трети организаций планируют увеличить инвестиции в возможности IAM. Гибкие и адаптивные подходы к IAM могут укрепить безопасность, но еще есть куда двигаться.
Обработка в облаке и цифровое преобразование, без сомнения, помогли организациям сделать значительные успехи в эффективности и продуктивности. Но цена была одинаково высокой: неуклюжий и более нарушенный опыт из-за децентрализации пользовательских идентификаторов.
Аутентификация без паролей в конечном итоге могла бы решить эти проблемы, но для большинства организаций это пока далекая перспектива. Согласно собственному исследованию компании JumpCloud, для 83% малых и средних организаций все еще требуется аутентификация на основе пароля, по крайней мере, для некоторых своих ИТ-ресурсов. Что пароли чрезвычайно уязвимы к атакам, уже не новость. Но это не привело к массивным изменениям в поведении пользователей – они по-прежнему регулярно повторно используют пароли или создают слабые или легко поддается догадке.
К недостаткам кризиса идентификации ИТ относится необходимость в большей централизованной видимости и контроле над учетными записями пользователей. ИТ-команды не имеют представления или возможности обнаруживать и реагировать на подозрительную активность – и они часто даже не до конца знают все идентификаторы, созданные пользователями на неодобренных или новых приложениях. Поскольку пользователи экспериментируют с новыми технологиями или создают обходные пути для повышения эффективности, достижение точного перечня SaaS- и киберактивов организации затруднено, если не невозможно.
С разбросанными идентификаторами и правами доступа по различным системам ИТ-команды работают без точного или всестороннего взгляда на технологический стек. Уязвимости существуют через теневые ИТ и несанкционированный доступ, рискуя потенциальными утечками данных, из которых вы не восстанавливаетесь.
Фрагментированные идентификаторы влияют также на производительность пользователей и эффективность ИТ. Постоянное переключение между входами, призывы к смене паролей и проблемы интеграции являются раздражающими и разрушительными для сотрудников. Предоставление прав новым пользователям, сброс забытых паролей и устранение проблем с доступом все больше увеличивают ответственность ИТ-команд и мешают им сосредоточиться на более стратегических инициативах. Усилия по обеспечению соответствия тормозятся, когда нельзя обеспечить соблюдение однородных политик безопасности, контроля доступа и журналов аудита, потому что вы не управляете, контролируете или даже не знаете, к каким ресурсам обращаются пользователи.
Результат? Пользователи не могут сосредоточиться на своих основных обязанностях. ИТ-команды не могут обеспечить безопасность своих организаций.
Пора для организаций пересмотреть, действительно ли точечные средства безопасности решают или способствуют их кризису идентификаторов. Консолидация пользовательских идентификаторов через централизованный подход IAM устраняет большую часть риска, а также издержек патчеванного технологического стека. Это также может значительно улучшить повседневную жизнь как пользователей, так и ИТ-администраторов, управляющих ими с помощью открытых и гибких интеграций между облачными и локальными приложениями, а также различными видами устройств.
Начните с аудита всех существующих решений IAM, процессов и проблем. Определите количество и типы источников идентификации, методы аутентификации и практики предоставления и управления. Рассмотрите использование системы управления активами, которая автоматически обнаруживает и показывает скрытые приложения и идентификаторы. Эти знания помогут сформировать голистический подход IAM, охватывающий ключевые бизнес-задачи, требования и желаемые результаты.
С централизованным подходом к платформе организации также могут проложить путь для аутентификации без паролей, продолжая обеспечивать безопасность устаревших ресурсов, зависящих от паролей. Опции, такие как односеансная аутентификация (SSO), многофакторная аутентификация (MFA), условные политики доступа и автоматическое предоставление прав пользователей, увеличивают безопасность и производительность без внесения ненужного трения или тормозов для пользовательского опыта. Создание фреймворков управления идентификацией будет критично для определения политик, ролей и процессов управления идентификаторами на протяжении жизненного цикла пользователя.
По мере развития искусственного интеллекта, роста организаций и увеличения количества пользователей, устройств и приложений управление идентификацией станет только более сложным и критическим. Кусочные решения безопасности будут продолжать фрагментировать идентификаторы пользователей и ослаблять стратегии безопасности, обременяя каждого сотрудника, который просто хочет продолжать свою работу. Получение видимости и контроля над идентификаторами пользователей по всем вашим различным системам, устройствам и приложениям помогает защитить бизнес, одновременно позволяя сотрудникам внести свой вклад в глубокое видение и успех организации.
