2024 年是全球網路安全法規顯著增加的一年,尤其是針對生成性人工智能 (Generative AI) 與第三方風險。隨著許多機構急於應對這些新挑戰時,他們卻忽略了建立必要的網絡安全措施來保護其資產。疏忽再加上缺乏彈性規劃,導致廣泛資訊科技都受到擾亂,幾乎影響到每一個行業。全球網路犯罪成本到 2025 年將達到驚人的 12 兆美元。
隨著亞洲持續加大對數碼投資的力度,新安全挑戰也隨之而來。然而許多機構目前的資訊安全策略仍然落後。事實上幾乎一半亞太地區機構仍處於最低安全成熟度,在缺乏戰略安全框架和對環境中身份的整體可見性的情況下運作。
1. 生成式人工智能(Gen AI)推動機器身分認證
生成式人工智能(Gen AI)的快速進步正在推動各行各業自動化浪潮,重塑工作處理方式,並加速機器與工作流程整合。人工智能(AI)助理使員工能夠輕鬆處理複雜文件和數據,而人工智能(AI)工具則簡化開發人員者程式碼編寫工作,提升效率,並加快項目進度。隨著自動化日漸普及,70% 機構目前管理的機器身分比人類身分更多。
自動化核心在於信任。對這些機器帳戶的信任對其功能固然至關重要,但同時也大大增加了對安全性、合規性以及這些機器在不洩露敏感資訊前提下按預期般運行的保證。報告顯示,57% 機構已向機器身份授予不當的存取權,令這些身份非常容易被利用。
2. 機器身分為最大盲點
企業正在提升員工識別網絡釣魚攻擊和其他社會工程策略的能力,以防止利用人類身份攻擊。技術解決方案也應運而生,為可能錯過警告信號的員工提供額外支援。雖然沒有快速修復解決方案可保證完全防護,但這種綜合方法已顯著降低了社交工程攻擊的影響。
不幸的是,由於人工智能(AI)和自動化快速成長,攻擊者已將焦點轉向機器身份。機器身份數量預計在未來 3 至 5 年內將增長 30%,遠超人類身份的增長。然而這些身份缺乏識別和應對社交工程策略能力。這些機器身份 (通常分佈在各種雲環境中,並由不同團隊管理) 令管理和保護這些身份更具挑戰。
此外,只有 38% 機構對活動中的機器身份有實時可見性,顯示重大安全漏洞。與管理人類存取敏感數據的方式不同,機器身份通常缺乏身份安全控制。許多攻擊者利用這漏洞,操縱機器身份執行操作或洩露通常不會透露的資訊。一旦成功進入網絡,攻擊者可以進一步欺騙機器身份,以獲取額外存取或特殊權限,使他們能夠跨系統活動,擴大攻擊範圍。
3. 身份安全的下一個領域
到 2028 年,亞太地區人工智能投資將飆升至 1,100 億美元,該技術將變得越來越普及和先進。網路攻擊者可望利用此技術發動更複雜、更精密的威脅。例如,能夠冒充 高級管理人員的人工智能深偽技術(AI Deepfakes)已經被用來進行企業詐騙、散佈錯誤資訊,以及自動化釣魚攻擊。
隨著需要管理的身分數量不斷增加,人力驅動身分管理顯然已經無法滿足需求。雖然身分管理的需求已經演變,但機構對於先進身分安全工具的採用速度卻還沒有跟上。
展望 2025 年,下一代身份安全將著重於統一。機構需要對其身份環境實現全面可見性,消除與分散系統相關的複雜性。畢竟,機構需要管理的身份範圍將超越員工身份。通過自動化和人工智能(AI),機構可以有效地管理和保護各類企業身份(包括員工、非員工及非人類身份),以及跨地點和大規模資料。通過統一身份安全方案,提供以政策為基礎的關鍵資源即時存取權,機構可以確保合規性、減輕風險,並促進業務發展。