(資料圖片)
2023年度Gartner安全和風(fēng)險管理峰會于6月初在美國馬里蘭州成功舉辦，該會議向來是網(wǎng)絡(luò)安全行業(yè)發(fā)現(xiàn)技術(shù)創(chuàng)新和應(yīng)用趨勢的盛會，今年也不例外。在今年的峰會上，與會專家和參會嘉賓廣泛討論了如何在快速變化的數(shù)字環(huán)境中，有效應(yīng)對身份帶來的安全風(fēng)險與挑戰(zhàn)。而特權(quán)賬號由于是企業(yè)最核心的身份資產(chǎn)，其訪問安全性將直接關(guān)系到企業(yè)最在意的數(shù)據(jù)安全和業(yè)務(wù)安全，因此成為了本次峰會研討時的焦點(diǎn)議題。
01、推動PAM應(yīng)用落地的“巧克力”是什么？在峰會開幕演講中，Gartner副總裁、高級分析師Leigh McMullen表示：如今許多企業(yè)組織的CISO和安全團(tuán)隊(duì)感到精疲力竭，他們已經(jīng)為企業(yè)安全建設(shè)工作付出了最大的努力，卻沒有獲得符合預(yù)期的回報，一些錯誤的認(rèn)知阻礙了企業(yè)充分發(fā)揮網(wǎng)絡(luò)安全的價值。對PAM技術(shù)而言，能夠真正推動其有效應(yīng)用落地的“巧克力”是什么？
在回答這個問題時， McMullen重點(diǎn)強(qiáng)調(diào)了人們習(xí)慣于選擇簡單和易于使用的方法，而非最先進(jìn)的技術(shù)，因此需要簡化安全性才能獲得最終用戶的采用。鑒于各種安全工具泛濫成災(zāi)、網(wǎng)絡(luò)安全專業(yè)人員嚴(yán)重匱乏，McMullen呼吁將最低有效洞察力作為衡量PAM安全計劃是否成功的重要指標(biāo)，并倡導(dǎo)使用最低有效工具集以實(shí)現(xiàn)預(yù)期結(jié)果。McMullen特別指出，PAM安全服務(wù)商需要實(shí)現(xiàn)最低有效摩擦才能提高用戶的實(shí)際采用率，其理念是讓執(zhí)行正確的操作變得更簡單，而不是有意繞過安全指南。
02、在網(wǎng)絡(luò)安全網(wǎng)格中的應(yīng)用在今年峰會上，重點(diǎn)研討了PAM技術(shù)在新一代網(wǎng)絡(luò)安全網(wǎng)格（cybersecurity mesh）方案體系中的作用。Gartner認(rèn)為，網(wǎng)絡(luò)安全網(wǎng)格可以使任何人都能更安全地訪問任何數(shù)字資產(chǎn)，無論資產(chǎn)或人員位于何處。它通過云交付模型解除策略執(zhí)行與策略決策之間的關(guān)聯(lián)，并使身份驗(yàn)證成為新的安全邊界。到2025年，網(wǎng)絡(luò)安全網(wǎng)格將支持超過一半的數(shù)字訪問控制請求。在此背景下，企業(yè)的網(wǎng)絡(luò)安全建設(shè)需要從基于網(wǎng)絡(luò)基礎(chǔ)設(shè)施的邊界向基于數(shù)字身份的邊界轉(zhuǎn)變，將會進(jìn)一步突出了PAM在現(xiàn)代企業(yè)網(wǎng)絡(luò)安全戰(zhàn)略中的重要作用，企業(yè)要從全新的身份安全視角進(jìn)行特權(quán)訪問管理技術(shù)的建設(shè)與應(yīng)用。
03、融入到零信任體系架構(gòu)今年峰會的一個關(guān)鍵話題是PAM技術(shù)和零信任體系的應(yīng)用交集。隨著零信任體系架構(gòu)的不斷應(yīng)用落地，PAM也被Gartner認(rèn)為是顯著降低現(xiàn)代企業(yè)數(shù)字化風(fēng)險的最關(guān)鍵部分。峰會強(qiáng)調(diào)了PAM對于實(shí)現(xiàn)成功零信任策略的重要性，因?yàn)樗兄趫?zhí)行最小特權(quán)原則，僅為用戶提供執(zhí)行其工作所需的最低權(quán)限。從長期看，企業(yè)的PAM 建設(shè)應(yīng)該有效融合到完整的零信任體系建設(shè)的范疇中，無論是用戶、設(shè)備、應(yīng)用程序還是請求網(wǎng)絡(luò)訪問的API，在被有效驗(yàn)證身份和真實(shí)性之前，拒絕其對資源的訪問將是默認(rèn)選項(xiàng)。
04、跨多云環(huán)境的統(tǒng)一管理隨著越來越多的組織將應(yīng)用程序和數(shù)據(jù)存儲在云端，Gartner認(rèn)為PAM技術(shù)未來在保護(hù)企業(yè)的云應(yīng)用和數(shù)據(jù)方面也將變得越來越重要。在今年的峰會上，多位演講者在分享時指出企業(yè)不僅需要能夠管理人類用戶的特權(quán)訪問，還需要管理越來越多的非人類實(shí)體（比如機(jī)器人程序、軟件賬戶和API應(yīng)用）的特權(quán)訪問。隨著企業(yè)數(shù)字化身份數(shù)量急劇增加，以及多云和混合云應(yīng)用的普及，企業(yè)將迫切需要實(shí)現(xiàn)跨多云環(huán)境的統(tǒng)一化特權(quán)身份安全防護(hù)，包括跨云擴(kuò)展授權(quán)管理、即時特權(quán)控制和一致的特權(quán)身份審計。
05、擁抱人工智能和自動化人工智能和自動化技術(shù)的應(yīng)用趨勢已經(jīng)不可阻擋，如何利用這些技術(shù)增強(qiáng)傳統(tǒng)PAM的功能也成為今年峰會的討論熱點(diǎn)。鑒于現(xiàn)代企業(yè)的IT環(huán)境日益復(fù)雜，手動管理訪問特權(quán)已經(jīng)不能滿足用戶的應(yīng)用需求，利用人工智能和自動化有助于快速識別潛在的訪問風(fēng)險，實(shí)施一致的訪問控制，并簡化安全審計過程。Gartner分析師強(qiáng)調(diào)了這些技術(shù)在PAM應(yīng)用發(fā)展中將會更多應(yīng)用，并成為一種主流的趨勢。但企業(yè)同時也需要認(rèn)識到，雖然自動化可以減少人為錯誤的風(fēng)險并提高效率，但應(yīng)該輔以明確定義的流程和控制，才能真正減小潛在風(fēng)險。PAM技術(shù)對人工智能和自動化技術(shù)的需求以及與之相關(guān)的風(fēng)險可能是個長期存在的熱門話題。
06、PAM的發(fā)展與演變展望未來，峰會討論提到了PAM領(lǐng)域的持續(xù)演變。隨著工作環(huán)境日益混合，組織需要對PAM采取一種更全面、更靈活的方法，這種方法可以有效地管理各種系統(tǒng)和環(huán)境（云和本地）的權(quán)限。Gartner的分析師還預(yù)測，下一代PAM解決方案可能會整合更高級的功能，比如行為分析和預(yù)測風(fēng)險評分，從而進(jìn)一步提高特權(quán)賬戶的安全性。多位安全專家在峰會強(qiáng)調(diào)，在數(shù)字環(huán)境快速變化的形勢下，實(shí)施有效PAM的價值毋庸置疑，組織需要優(yōu)先考慮PAM以保護(hù)其數(shù)字資產(chǎn)，并防范將來日益復(fù)雜的網(wǎng)絡(luò)威脅。
參考鏈接：
https://betanews.com/2023/06/15/6-key-takeaways-from-the-2023-gartner-security-and-risk-management-summit/
標(biāo)簽：
