自动化或其他:如何在当时一劳永逸地战胜许可蔓延
已发表: 2022-01-11上升的东西必须下降。 或者这样表达。
该规则的例外似乎是贵公司中堆积的进入权范围。
随着我们继续转向越来越数字化的工作方式,应用程序、权利和权限的范围只会不断扩大。
随着 SaaS、IaaS 和其他 XaaS 环境的采用费用增加,我们在加速向云迁移的过程中清楚地看到了这种热潮。 这意味着公司比以往任何时候都更加依赖身份作为访问其应用程序和手段的重要因素。
在企业方面,我们必须授权我们的组织在采购之前以比以往任何时候都更快的速度做更多的事情,以继续在全球舞台上保持竞争力。 大多数公司的现实是,消费者拥有比以往更多的电力来加入大量机会应用程序和数据。
但是,出色的电力带来了巨大的责任。
以更多的访问权限运行更多的身份意味着额外的妥协挑战和必须保护的更广泛的威胁区域。 到 2021 年,企业知道他们必须处理这些身份,但场景的复杂性早已超过了使用遗留工具和手册流程保持可用的阶段。
引入我们的障碍是事实,我们还与我们业务之外的用户共享对设备和详细信息的更多访问权限,尽管引入了来自不断增长的危险底线的威胁,但我们的资产却暴露在宝贵的协作中。
在某些情况下,我质疑是否有人甚至在跟踪房屋外的最终用户是否在他们有任何信誉良好的理由后不久就可以访问这些财产?
鉴于此处列出的要管理的规模和复杂性,我们仍然有一些要点,公司必须考虑它们是否有可能在未来保持安全和合规。
自动化每件事
据报道,在 2020 年之前以及在家操作变得无处不在之前,中型供应商目前一直在应用 Salesforce 和 O365 等常见的 137 个 SaaS 应用程序。 这种多样性对于企业来说是两倍多,不包括基础设施和其他 XaaS 云公司的选择,这些公司已经完成了运营方式。
保留跟踪与这些应用程序相关联的所有身份和权限是实例理想下的 Sysaphean 活动。 而且手动执行是完全无法实现的。
与此同时,这项工作的规模正在扩大,继续保持教学正常进行所必需的称职保护专业知识一直缺乏资源。 即使在如今有人员致力于管理 IAM 稳定性的企业中,规模也超过了任何团队继续保持其团队受到保护和合规的能力。
重要的信息是,每个公司都明白他们必须实现自动化。 问题不是如果,而是我们能走多远?
我们通过获得意见一次又一次地看到这个障碍。 替代品已经在市场上出现了一段时间,可以制定和规范战略。 但是,这些工具虽然是一种改进,但在获得个人专业人员概述和批准他们清单上的几乎每一项权利的条件下,仍然需要进行大量的人工对话。

我们的目标应该是自动化几乎所有可以实现的小事情,并且只为那些我们无法制定商业保险政策以正确确定谁真正应该有权获得什么的严重粗略的电话提供人类选择者。 自动化简单的权利结论确实应该是我们的默认设置——尤其是当我们拥有必要的事实来推动人们已经在我们的怀抱中做出选择时。
持续不断
我们将需要打破“时间点”是“足够好”的心态。 如果您没有在持续的基础上实施您的身份管理计划,那么您将面临可预防的安全和合规差距。
举例来说,如果员工离开团队但没有及时彻底下线,那么您的离开会为他们打开一个窗口,让他们窃取或破坏宝贵的数据。 同样,当管理员帐户实时发生时未能发现高于特权的身份或对管理员帐户的更改可能会导致非常相似的问题。
需要的是可以反复检查是否违反程序的护栏,并且可以及时自动启动工作流程以使操作有效。 护栏可以像现代汽车上的车道偏离警告一样。 它们会提醒您的业务可能会发生一些不好的事情,并允许您决定如何以及何时考虑采取行动。
并非所有的访问都是相似的
在随时扩展的云环境中,您无法准确控制对所有应用程序和数据的访问。 您会发现管理的可访问性实在是太多了。
关键是重点和确定优先级的方法。
了解您的最大风险资产在哪里,并在初始阶段对其进行监管。 在早期,没有人将公众的事实锁在文件柜中,而数字知识正是如此。 通过了解组织的重要危险应用程序和知识,您可以优先考虑和针对这些区域进行控制。
是时候改变了
现在是时候开始讨论如何控制公司内不断增加的数字进入量了。 并且不要忽视将审计师和监管机构等内容作为重组组织控制和合规报告的策略要素。
现状在更长的时间里是不够的。 当入职推荐逐渐成为合规清单的组成部分时,组织最终只能管理有限的各种手段。 现在几乎所有东西都有批评的压力,无论它是否是“高价值”资产。
除了几个处理这些策略的人告诉我,按时完成它们的唯一方法就是让评审员在整个董事会“橡皮图章”批准。 当顺从的唯一方法是打败训练的功能时,我们就知道有些事情必须改变。
通过投资能够管理其个人大部分工作量的解决方案,审阅者可以将他们的计划定位在最值得他们注意的任务和选择上。
除了长期运行之外,审计师的期望还必须适应现场条件。 这意味着从定期的手动程序、屏幕截图和电子表格转向审计人员可以信赖的更智能、自动化的方法。
Paul Trulove,顾问, Authomize