近年來，基于身份的攻擊和未授權(quán)訪問已經(jīng)成為企業(yè)最為頭疼的安全威脅之一，從Okta、Xfinity到微軟，無數(shù)知名企業(yè)因脆弱的IAM系統(tǒng)被犯罪分子利用，遭受了影響廣泛、損失慘重的網(wǎng)絡(luò)攻擊。

根據(jù)網(wǎng)絡(luò)風(fēng)險(xiǎn)聯(lián)盟(CRA)的一項(xiàng)新調(diào)查，網(wǎng)絡(luò)安全行業(yè)中四分之三的受訪者表示，與12個(gè)月前相比，現(xiàn)在更加擔(dān)心未授權(quán)訪問。58%的受訪者還表示，最近的數(shù)據(jù)泄露事件促使他們的企業(yè)加大對(duì)IAM解決方案的投資，以阻止此類攻擊。

盡管IAM日益受到重視且采用率逐年上升，但至少三分之一的受訪者(35%)仍未實(shí)施IAM。即使是那些已經(jīng)實(shí)施IAM的企業(yè)也大多表示面臨很多挑戰(zhàn)和阻礙。

根據(jù)CRA的調(diào)查，企業(yè)成功實(shí)施IAM主要面臨以下七大挑戰(zhàn)（附企業(yè)安全主管的真實(shí)反饋）：

一、成本

• “缺乏真正有效的解決方案的（充足）預(yù)算。”
• “我理解IAM的重要性，但價(jià)格通常非常高。”
• “我們的困難在于沒有足夠的預(yù)算來支付外部顧問的費(fèi)用。”

二、平衡安全性與用戶效率

• “找到安全和生產(chǎn)力之間的界限對(duì)我們來說是一個(gè)挑戰(zhàn)，比如讓員工以最小的風(fēng)險(xiǎn)高效工作。”
• “安全性和便利性之間的平衡。重點(diǎn)是教育員工，任何給他們帶來的不便，如果沒有經(jīng)過細(xì)致的解釋，可能會(huì)導(dǎo)致項(xiàng)目遭投訴被撤銷。”

三、與已有技術(shù)集成

• “最大的挑戰(zhàn)之一是確保IAM與相關(guān)系統(tǒng)和應(yīng)用程序的集成。這是一個(gè)復(fù)雜且耗時(shí)的過程，特別是對(duì)于擁有許多不同系統(tǒng)和應(yīng)用程序的大型組織而言。”
• “定制IAM的實(shí)施和維護(hù)可能會(huì)很復(fù)雜且繁瑣，并且可能會(huì)擾亂正常的業(yè)務(wù)運(yùn)營(yíng)。”
• “如何將IAM與其他基礎(chǔ)設(shè)施集成并集成遺留應(yīng)用程序？我們還沒搞明白。”
• “我們對(duì)IAM的最大挑戰(zhàn)是與公司所有移動(dòng)部分的集成，并非所有內(nèi)容在支持方面都是最新的，并且一些內(nèi)部系統(tǒng)需要重寫來支持它。”

四、說服懷疑者

• “很難讓每個(gè)人都達(dá)成共識(shí)來實(shí)施。”
• “缺乏對(duì)明確需求的支持，最高管理層缺乏執(zhí)行意愿。”
• “如果沒有企業(yè)各級(jí)（領(lǐng)導(dǎo)）的支持，IAM實(shí)施可能會(huì)面臨延遲和障礙。”
• “企業(yè)用戶對(duì)IAM的接受度是實(shí)施IAM的最大挑戰(zhàn)。”

五、缺乏合格的專家

• “尋找具備適當(dāng)IAM技能的員工。”
• “缺乏IAM產(chǎn)品實(shí)施的內(nèi)部員工和經(jīng)驗(yàn)。”
• “大多數(shù)IAM功能都需要專家來設(shè)置，并且在使用中需要進(jìn)一步幫助。用戶采用的時(shí)間長(zhǎng)短、產(chǎn)品的復(fù)雜性與最終用戶的興趣成反比。誰愿意花幾個(gè)小時(shí)來了解一個(gè)不能提高工作效率和業(yè)績(jī)的產(chǎn)品？”

六、正確配置IAM

• “實(shí)施PAM和PIM是我們目前面臨的巨大挑戰(zhàn)，它很令人困惑，而且沒有共享具體信息。”
• “我們面臨的挑戰(zhàn)是讓所有合作伙伴采用SSO/SAML，以便我們可以針對(duì)AD進(jìn)行聯(lián)合身份驗(yàn)證。”
• “缺乏專門的支持來幫助關(guān)鍵管理員進(jìn)行配置。功能已經(jīng)有了，但需要大量的時(shí)間和規(guī)劃。如能提供用于常見和最佳實(shí)踐配置的開發(fā)套件會(huì)很有幫助。”

七、打擊影子IT和根深蒂固的用戶習(xí)慣

• “我們擁有龐大的用戶群，但I(xiàn)T人員相對(duì)較少。我們?cè)趯?shí)施IAM時(shí)面臨的最大挑戰(zhàn)是員工對(duì)影子IT的使用。我們的很多員工都在個(gè)人電腦和智能手機(jī)上工作，這違反了我們公司的政策。”
• “我們大部分的時(shí)間都用于打擊影子IT和糾正用戶的不安全行為。”