身份和访问管理标准及挑战

在许多组织都依赖云服务，物联网（IoT）连接，人工智能（AI）和机器学习的时代，确保数据的机密性和完整性至关重要。必须正确识别、验证和授权，用户才能访问数据和应用程序，而又不会损害登录凭据的安全性。

身份和访问管理（IAM）协议是专为传输身份验证信息而设计的，它由一系列按预设顺序排列的消息组成，这些消息的目的是在数据通过网络或在服务器之间传输时保护数据。通过使用第三方身份验证，身份管理协议消除了将登录凭据存储在使用它们的系统中的必要性，为寻求防止滥用登录凭据的方法并想要降低数据风险的组织和机构提供了解决方案。

身份和访问管理协议的细分

通用身份管理标准可以处理用户访问数据或应用程序的请求，并根据用户提供的信息传递响应。如果信息的格式（如密码或生物识别码）正确，则协议允许在系统内分配给用户访问级别。

存在几种协议，可通过保护数据并确保其在传输过程中的完整性来支持强大的IAM策略。这些身份管理协议通常称为“身份验证、授权、记账”或“AAA”，它们提供了安全标准，以简化访问管理，帮助实现法规遵从性，并创建一个统一的系统来处理用户与系统之间的交互。

由于每个身份和访问管理标准都有不同的应用程序，IAM专业人员必须与组织和机构合作，实施适当的协议以确保数据安全。

为了解决技术的变化以及数据涌入带来的新漏洞，已经更新了过去的标准。随着物联网、人工智能和机器学习的不断发展，协议将不断发生变化。及时的更新将确保系统安全，并继续为凭据的完整性和敏感数据的安全提供必要的保护。维护安全标准可确保遵守法规，并允许系统继续运行而不会受到未经授权的干扰。

身份和访问管理挑战

组织及其员工面临着许多身份和访问管理方面的挑战，部分挑战是由于技术，威胁形势以及我们的生活方式的变化而引起的，例如物联网（IoT）、分布式系统和集群、自带设备（BYOD）策略，云计算和存储，网络钓鱼和黑客诈骗以及来自法规和客户的各种外部要求。这些变化和需求进一步使组织及其专家管理系统中的用户身份并保护系统免受威胁的方式复杂化，这些威胁通常针对用户及其访问权限，以获得未经授权的进入系统的权限。

尽管全球范围内的身份和访问管理挑战越来越多，但组织能依靠的身份和访问管理工具及解决方案也越来越多。此外，组织在利用IAM工具保护系统安全和遵守法规的同时，还改善了其业务的其他领域。例如，通过部署适当的IAM解决方案，用户访问管理变得更快，而且对IT人员来说，用户访问管理的负担也越来越小，因为IT人员必须经常快速地为用户提供访问权限。但是，为用户提供按需访问权限也会带来一些安全风险，管理层必须接受这些安全风险才能换取更高的用户满意度。

考虑到大多数攻击都依赖于被盗的用户凭据来访问系统，因此身份和访问管理挑战还包括依赖用户社区来保护其用户ID和密码。通常，用户会受到网上诱骗、假冒、欺骗和其他类似骗局的攻击，从而窃取其访问信息。有时，被盗的信息用于访问用户的帐户，这对组织构成的风险很小；而有时，被盗的信息用于访问业务系统，这会导致包含大量数据的数据库文件遭到破坏。最有可能访问业务系统和数据库的用户是对系统具有管理访问权限的员工。

用于管理系统中用户访问的管理员帐户提供了黑客访问系统所需的最佳信息。但是，身份和访问管理挑战不仅包括监视特权帐户活动以防止和检测未经授权的访问，例如在非工作时间或非正常时间拒绝管理员访问，还包括跟踪未使用或孤立的管理帐户，这是安全专业人员必须通过持续监测和删除此类帐户来克服的挑战。

这些是身份和访问管理的一些挑战，可以通过成熟的身份和访问管理策略加以解决。例如，随着IAM工具的改进，合理的降低成本，认证机制从密码转移到生物特征认证等潜在危害较小的系统，系统入侵将逐渐减少。

文章来源：

• https://www.identitymanagementinstitute.org/identity-and-access-management-standards/
• https://www.identitymanagementinstitute.org/identity-and-access-management-challenges/