CyberArk（納斯達克股票代碼：CYBR）今天發布一份新的全球報告顯示，79% 的資深資安專家表示，在過去的一年間，資安已被各式數位商業計畫所取代而退居次要位置。 CyberArk 2022 身分安全威脅情勢報告(http://www.cyberark.com/ISTL22 )清楚揭示了動輒數十萬計的人類和機器身分，正導致「資安債」不斷累積，使公司組織面臨更大的資安風險。
日漸擴大的身分問題
每個IT或數位轉型計畫都會增加人員、應用系統和作業程序間更多的連動，因而創造出大量的數位身分，如果這些數位身分缺乏適當管理且存在安全隱患，將形成巨大資安風險：
- 68%的非人類或機器人(bots)可存取機敏資料和資產
- 平均每個員工擁有30個以上數位身分
- 機器身分數量如今平均是人類身分的45倍
- 87%的組織將秘密資訊存放於DevOps環境的各個地方，且80%受訪者表示開發者通常會擁有更多比正常所需要的權限
2022攻擊承受面
數位轉型、雲端遷移和攻擊者創新的長期趨勢正在擴大受攻擊面。 該報告深入挖掘了資安團隊所面臨網路威脅的類型和嚴重性，以及他們認為最具風險的領域
- 身分存取(credential access)是排名第一的風險領域(40%)、接著是躲避防禦(defense evasion)(31%)、執行惡意程式(execution)(31%)、初期存取(initial access)(29%)、以及提高權限(privilege escalation)(27%)2
- 超過70%企業組織在過去一年平均曾遭受兩次勒索軟體攻擊
- 62% 的受訪者在 SolarWinds 攻擊後沒有採取任何措施來保護他們的軟體供應鏈，而大多數 (64%)受訪者更表示軟體供應商的淪陷意味著攻擊在其組織內是無法阻止的
正式面對「資安債」
資安專家們同意其最近加速部署的數位轉型計畫需要扛起 「資安債」代價。 也就是說：資安規劃和資安工具跟不上公司強化營運支援所採行的措施。所謂「資安債」是由於沒有對機敏資料和資產的存取進行適當的管控, 且缺乏身分安全控管導致風險升高而產生不良後果。而最近的地緣政治緊張局勢對於關鍵基礎設施直接產生衝擊，加劇了「資安債」的嚴重性，公司組織更應該正視網路攻擊對於實體設施可能造成的傷害：
- 79%受訪者同意在過去的12個月內，公司組織將維持企業營運的順序置於完善資安之前
- 僅有不到一半(48%)受訪組織在其企業關鍵系統有落實身分安全控管措施
CyberArk 創辦人、董事長兼執行長Udi Mokady 表示：「過去幾年，企業投資在數位轉型相關計畫的支出快速增加，以滿足不斷變化的客戶和員工需求。 然而，不斷擴大的受攻擊面、不斷增加的身分帳戶以及不對等的資安投資—我們稱之為「資安債」，使公司組織面臨更大的風險，同時勒索軟體威脅和軟體供應鏈漏洞更加劇了風險。 這樣嚴峻的危險環境迫切需要一種安全至上的方法來保護身分，一種能夠超越攻擊者創新的有效方法。」
我們能做些什麼？
- 強化透明度： 85% 的人表示軟體組件清單 (BoM) 可降低軟體供應鏈帶來的風險
- 導入管理機敏存取(Manage Sensitive Access)的策略：調查中多數CIO和CISO已經導入（或計畫導入）的前三項措施，恰好各被54%的受訪者提及，分別是：即時監控和分析以稽核所有特權連線活動, 運行企業關鍵系統的基礎設施採行最小權限/零信任原則, 及落實企業關鍵系統與連接Internet 設備的隔離以限制橫向移動
- 將身分安全控管視為推動零信任原則的首要工作：強化零信任原則的三大戰略措施為：工作負載安全、身分安全工具、 資料安全。
有關Cyberark 2022 身分安全威脅情勢報告
CyberArk 2022 身分安全威脅情勢報告揭露的是 Vanson Bourne 市調公司對全球 1,750 名 IT 資安決策者所進行的一項調查的結果，特別側重於受訪者在過去一年中其公司組織擴大數位轉型計畫的經驗。受訪單位遍布美國、英國、法國、德國、日本、義大利、西班牙、巴西、墨西哥、以色列、新加坡和澳洲。請由以下連結下載完整報告：http://www.cyberark.com/ISTL22