什麼 Identity Governance 和管理？

對於市場上的各種身份治理工具，與全功能的身份治理和管理體系結構相比，評估它們提供的內容並不容易。為了回應安全指令，團隊通常會採用狹隘的方法來管理用戶權利或滿足組織的職責分離要求。

IGA 超越了權利的可見性，這通常被視為任何時間點的快照。相反，它採取整體和綜合的方法來管理。當建立在強大的身份生命週期管理基礎結構之上時，IGA 將組織身份和訪問管理基礎結構的關鍵元件整合在一起，以確保只有合適的人員才能訪問敏感資訊。

什麼定義了一個完整的 Identity Governance 和管理解決方案？

強大的 IGA 解決方案具有以下優勢：

• 提供全面的帳戶和資源視圖 – IGA 需要保存所管理的每個資源的身份、 權利和風險資訊，以及訪問該資源的人員的身份和角色。
• 防止橡皮圖章批准 – 有效的 IGA 解決方案側重於防止未經審查的許可權請求批准，包括專門設計用於通知資訊和業務擁有者（而不是 IT 管理員）的工作流。為了提高對請求的檢查級別，它需要提供有關請求者和資源的所有相關信息，以便通過有效的生產力和風險指標快速閱讀。
• 強大的證明 – 提供準確的報告，確認持續合規性，而不僅僅是及時報告快照。必要時，精心設計的 IGA 基礎架構可以提供分析，以確認特定使用者組的實際訪問。報告的設計應易於查看，並且易於生成並包含在證明報告中。雖然這種級別的證明為安全團隊提供了信心，但它要求訪問治理與綜合 IGA 環境的身份生命週期和訪問管理元件緊密集成。

與其他解決方案相比，完整的 IGA 環境具有哪些具體價值？

雖然身份治理和管理管理管理權利併為安全審計員提供強有力的證明，但它有可能成為組織身份和訪問管理基礎結構的基礎元件：

• 權利管理是任何組織最小特權策略的基本要素。最低許可權安全性有助於防範內部威脅，並在某人的憑據遭到洩露和利用時限制損害。如果操作正確，它可用於指導和調用身份生命週期操作，而不是獨立於它工作。
• 在治理平臺上載入資源的步驟之一是定義其風險和風險標準。敏感資源的正確風險定義可為審批者和審閱者提供準確的資訊。風險服務還可以使用它們來指導 自適應訪問管理操作。通常，用於潛在身份驗證和授權操作的基於會話的訪問控制的標準僅限於使用者的上下文（地理位置、IP 範圍、設備 ID 等）。將資源本身的風險考慮在內，提供了一種更精細、更有效的自適應訪問方法，可以提高安全性，同時優化用戶體驗。通過限制使用者因 多重身份驗證而中斷的次數，可以減少摩擦，並優化用戶體驗。

什麼 NetIQ 如何使他們的 IGA 解決方案更加智慧？

雖然建立堅實的 IGA 基礎是最重要的，但如上所述，NetIQ 不斷挑戰極限 ，使治理自動化在幫助資訊擁有者保護其數據方面更加全面和有效。身份和訪問管理基礎結構中的近期身份治理和管理發展方向包括：

• 除了以審批者和審閱者可以快速理解的格式提供最佳資訊外，下一代 IGA 還彙集 了最低許可權最佳實踐 和組織策略，以自動執行權利分析。自動提升其敏感資訊的風險評分以及訪問它們的使用者，突出了需要審查的關注點和潛在的安全措施。
• 上一要點中描述的基於智慧的自動化方案最好通過 實際使用的行為分析來增強。這種類型的分析可以指導人們關注特定的身份和資源，以重新評估它們對組織造成的風險。
• 雖然傳統上 IGA 不包括對系統 root 訪問的治理，但需要一種更正式的方法來保護對伺服器託管數據和可執行檔的訪問。由於系統管理員可能會繞過各種安全機制，因此保護root許可權的重要性是顯而易見的。除了委派和管理不同級別的管理的能力之外，這些超級用戶還擁有如此多的訪問許可權，以至於對其系統相關操作的高級監控提供了潛在的有價值的取證資訊。

構建良好的 IGA 環境並不容易實現。獲得高管層和各種企業主的支援可能是一個漫長的不平衡的過程。吸引資訊擁有者以正確地加入他們的資源需要投資，與他們保持聯繫以瞭解需要更新的環境變化也需要投資。但這種證券投資的價值會帶來巨大的紅利。它使組織能夠在數位業務運營中更加敏捷，同時保持低風險。

我為什麼要投資 Identity Governance 和管理？

一旦您瞭解了 IGA 的綜合性，自然而然的問題是您的環境是否需要這種級別的投資。雖然每個組織可能都有獨特的要求，但以下是一些常見的考慮因素，可以指導管理的深度和廣度：

雖然幾乎每個組織都需要保護其財務和人力資源資訊，但它們也可能沒有值得治理的其他類型的敏感數據：

• 客戶資訊 – 此類信息差異很大。組織可能受到各種州或聯邦法規的約束，即使他們正在收集cookie資訊或社交身份以個人化內容。還有其他全球性規定，例如《通用數據保護條例》（GDPR）。GDPR 要求值得 IGA 級別的保護，因為一旦保留了個人資料或財務資訊，就可能需要最低許可權安全。零售商與其服務提供者 （PSP） 和行業合作夥伴之間還需要進行協調。除非這些操作規模很小，否則很難想像如果沒有成熟的身份治理解決方案，它們會滿足隱私要求。
• 智慧財產權 – 無論是以專利資訊、技術或業務核心能力還是其他商業秘密的形式，違反這些秘密都可能給組織帶來嚴重風險。無論組織是否自動化其授權流程，在制定治理策略之前，都可能需要仔細審查有價值的機密。
• 患者資訊 – 醫療保健行業的數字化轉型迫使供應商自動化其權利管理和受監管信息的證明。向電子醫療記錄 （EHR） 和其他受保護的健康資訊 （ePHI） 的轉變導致了嚴格、具體和懲罰性的隱私政府保護。與其他任何行業相比，這是一個成本核算違規最高的行業。除了金錢損失之外，健康記錄洩露還損害了患者的信任，因為它們包含了他們最敏感的資訊。涵蓋健康和財務信息的信息可用於進行欺詐。
• 金融服務 – 作為另一個受到高度監管的行業，金融服務受到一系列旨在防止惡意串通和侵犯隱私的法規的約束。需要隱私來防止欺詐或其他類型的盜竊。可以肯定的是，每個金融機構都需要自動化治理，並且將從直接涉及數據擁有者的解決方案中受益匪淺。