Poslovna varnost se začne z identiteto

S pojavom identitete kot novega perimetra današnja podjetja ne spregledajo njene vloge pri podpiranju digitalne transformacije, sprejemanja oblaka in porazdeljene delovne sile. Po mnenju a nedavno poročilo (potrebna je registracija), 64 % zainteresiranih strani IT meni, da je učinkovito upravljanje in varovanje digitalnih identitet bodisi glavna prednostna naloga (16 %) njihovega varnostnega programa ali med prve tri (48 %). Kljub temu se podjetja še naprej spopadajo s kršitvami, povezanimi z identiteto – 84 % strokovnjakov za varnost in IT je poročalo, da je njihova organizacija utrpela takšno kršitev v zadnjem letu.

Pridobivanje nakupa za varnost, osredotočeno na identiteto je bistvenega pomena, vendar utemeljitev vlaganja v kibernetsko varnost ne pomeni trgovine s FUD (strah, negotovost in dvom). Potiskanje identitete naprej v strateške razprave zahteva sposobnost dokazovanja poslovne vrednosti – za predstavite, kako se varnost na podlagi identitete ujema s poslovnimi cilji in jih podpira.

Skoraj vsi sodelujoči v raziskavi (98 %) so povedali, da se število identitet v njihovi organizaciji povečuje, pri čemer so pogosto navedeni vzroki, vključno s sprejemanjem oblaka, več zaposlenih, ki uporabljajo tehnologijo, vse večjimi odnosi s tretjimi osebami in naraščajočim številom strojnih identitet. V tem okolju je veliko današnja podjetja so se znašla pod ogromnim pritiskom zagotoviti brezhiben in varen dostop do podatkov in virov v okolju, ki postaja vse bolj porazdeljeno in kompleksno.

Ta zapletenost v kombinaciji z motiviranimi napadalci in vedno večjim številom identitet, ki jih je treba upravljati, naredi učinkovito upravljanje identitete kritičen del omogočanja poslovanja operacije. Med organizacijami, ki so v zadnjem letu doživele kršitev, povezano z identiteto, so bile rdeče teme težave, kot so ukradene poverilnice, lažno predstavljanje in napačno upravljani privilegiji. Neposredni vplivi kršitve na poslovanje so lahko pomembni – 42 % jih navaja znatno odvračanje pozornosti od osnovne dejavnosti, 44 % jih navaja stroške okrevanja, 35 % pa poroča o negativnem vplivu na ugled organizacije. Poročali so tudi o izgubi prihodka (29 %) in opuščanju strank (16 %).

Pretvorba potreb IT v poslovne potrebe

Primer za osredotočanje na identiteto je jasen, toda kako naj začnemo prevajati potrebe IT v poslovne potrebe? Prvi korak je usklajevanje prednostnih nalog organizacije s tem, kje se lahko prilega varnost, osredotočena na identiteto. Poslovni cilji se običajno vrtijo okoli zmanjšanja stroškov, povečanja produktivnosti in zmanjšanja tveganja. Pogovori o varnosti, ki temelji na identiteti, morajo torej pokazati, kako lahko ta pristop izboljša nekatere ali vse te točke.

S stališča produktivnosti na primer tesno upravljanje identitete poenostavlja zagotavljanje uporabnikov in preglede pravic dostopa. To pomeni, da se lahko zaposleni hitreje vključijo, vsem odhajajočim zaposlenim pa bo dostop samodejno preklican. Odprava ročnega truda zmanjša možnost napake, vključno z uporabniki s pretiranimi privilegiji, ki ustvarjajo nepotrebno tveganje izpostavljenosti. Bolj ko so procesi v zvezi z upravljanjem identitet poenostavljeni in avtomatizirani, bolj učinkovito je poslovanje — in bolj varno.

Kot smo že omenili, nekatere gonilne sile za rast identitet vključujejo sprejemanje oblaka in skok v strojnih identitetah. Rast strojnih identitet je delno povezana z napravami in roboti interneta stvari (IoT). IoT in oblak sta pogosto del strategij digitalne preobrazbe, ki ju zlahka ovirajo pomisleki glede dostopa in doslednega uveljavljanja varnostnih politik. Ta realnost predstavlja priložnost za oblikovanje razprav o varnosti okoli tega, kako lahko podjetje sprejme te tehnologije varno in brez žrtvovanja skladnosti in varnostnih zahtev.

Okvirite razprave o varnosti v kontekstu kršitev

Številni IT in varnostni strokovnjaki so na primer navedli večfaktorsko avtentikacijo (MFA) kot ukrep, ki bi lahko preprečil ali zmanjšal vpliv kršitev, ki so jih doživeli. MFA je ključnega pomena za uveljavljanje nadzora dostopa, zlasti za podjetja z oddaljenimi delavci ali tista, ki uporabljajo aplikacije in infrastrukturo v oblaku. Všeč ali ne, gesla so vseprisotna. So pa tudi privlačna (in razmeroma lahka) tarča za akterje groženj, ki želijo dostopati do virov in pridobiti globljo oporo v vašem okolju. Skupaj z drugimi najboljšimi praksami, osredotočenimi na identiteto, ki izboljšujejo varnostno držo, MFA zagotavlja še eno plast obrambe, ki lahko okrepi varnost organizacije.

Poleg MFA so IT in varnostni strokovnjaki običajno ugotovili, da bi pravočasni pregledi privilegiranega dostopa in nenehno odkrivanje vseh pravic dostopa uporabnikov preprečili ali zmanjšali učinek kršitve. Medtem ko veliko od teh še vedno poteka, se na splošno zdi, da organizacije začenjajo razumeti sporočilo.

Na vprašanje, ali je bil v preteklem letu program identitete njihove organizacije vključen kot področje naložbe v okviru katere od teh strateških pobud – ničelnega zaupanja, sprejemanja oblaka, digitalne preobrazbe, naložb v kibernetsko zavarovanje in upravljanja prodajalcev – so skoraj vsi izbrali vsaj eno. Enainpetdeset odstotkov jih je dejalo, da je bilo v identiteto vloženo kot del prizadevanj za ničelno zaupanje. Dvainšestdeset odstotkov jih je reklo, da je vključeno v pobude v oblaku, 42 % pa je reklo, da je del digitalne preobrazbe.

Začetek uporabe varnosti, ki temelji na identiteti, ni nujno naporen. Vendar pa zahteva razumevanje vašega okolja in poslovnih prioritet. Avtor s poudarkom na tem, kako lahko pristop k varnosti, osredotočen na identiteto, podpira poslovne cilje, lahko strokovnjaki za IT pridobijo vodstvo, ki ga potrebujejo za implementacijo tehnologije in procesov, ki bodo dvignili vstopno oviro za akterje groženj.