身份和访问管理面临的挑战及其优势
概述
对稳健的身份和访问管理（IAM）策略的需求已成为企业IT不可或缺的一部分。强大的IAM解决方案可帮助企业提高员工工作效率，并增强整体安全态势。然而，随着云计算的发展以及移动办公人员日益分散，IAM也变得越来越复杂。
负责验证用户身份和管理企业资源访问权限的团队必须谨慎权衡：既要确保企业部署可靠的安全控制措施，又要简化身份验证流程，以提高用户工作效率。归根结底，企业经营的核心是为客户创造价值，而IAM对于确保员工既能充分发挥能力、交付这一价值，又不会损害企业声誉、安全或利润至关重要。
企业在考虑采用或调整IAM策略时，必须了解身份认证和企业应用访问管理领域的一些重要趋势。整体IAM环境日益复杂，必须随着不断演变的安全威胁持续发展，这给用户和管理员都带来了特定挑战。全面IAM解决方案的关键要素包括集中式访问管理、自动化、报告，以及根据具体情境应用安全策略。这些要素有助于企业应对上述挑战，同时适应动态增长。
当今的身份和访问管理
企业依靠敏捷系统应对不断变化的挑战，并及时调整方向，把握新的机遇。速度至关重要，IT人员需要在用户提出需求时快速、顺畅地配置信息资源。然而，在满足按需访问需求的同时，企业也面临着令IT管理人员深感忧虑的现实安全问题。面对来自传统安全边界内外、针对关键应用的攻击，企业必须严格管控访问权限，确保数据安全。
IAM策略往往分散在信息安全、应用开发和法规合规等不同部门，彼此孤立。由于各部门通常会根据自身业务目标定制访问权限，企业IT要求往往无法得到落实。这种拼凑式IAM策略可能导致访问权限的配置和撤销流程繁琐、生产力下降，甚至引发安全漏洞。
实施全面的IAM策略可能比单纯部署技术复杂得多，但如果实施得当，企业可以获得切实的业务价值，包括提高运营效率、简化合规工作以及提升员工满意度。不过，要成功部署稳健的IAM解决方案，还必须解决若干问题。
挑战与解决方案
如今，企业IT部门面临着日益复杂的挑战：既要利用用户和请求的上下文信息，对信息资源实施精细化访问控制，又要有效限制对企业敏感数据的未授权访问。
挑战：员工队伍日益分散
组织招募和留住优秀人才的一种方式，是打破地域限制并提供灵活的工作环境。远程办公模式既能让员工摆脱传统办公场所的束缚，也有助于企业提高生产力并控制开支。然而，当员工分散在全国乃至世界各地时，企业IT团队将面临更严峻的挑战：既要确保员工在连接企业资源时获得一致的体验，又不能牺牲安全性。随着移动计算日益普及，IT团队对员工工作方式的可见性和控制力也随之降低。
解决方案
全面的集中管理式IAM解决方案可让企业IT团队重新获得管理分布式员工队伍所需的可见性和控制力。
挑战：分布式应用
随着云应用和软件即服务（SaaS）应用不断发展，用户现在可以随时随地使用任何设备登录Salesforce、Office365、Concur等关键业务应用。然而，分布式应用日益增多，也使这些应用的用户身份管理更加复杂。如果无法顺畅访问这些应用，用户将难以管理密码，而IT部门则要面对因用户受挫而不断增加的支持成本。
解决方案
全面的IAM解决方案可以帮助管理员整合、控制和简化访问权限，无论关键应用托管在传统数据中心、私有云、公有云，还是由这些环境组成的混合环境中。
挑战：高效配置
如果没有集中式身份和访问管理（IAM）系统，IT人员必须手动配置访问权限。用户获得关键业务应用访问权限所需的时间越长，其工作效率就越低。另一方面，如果未能撤销已离职或调往其他部门的员工的访问权限，可能会造成严重的安全后果。为尽快消除这段风险暴露期，IT人员必须尽快撤销对企业数据的访问权限。遗憾的是，在许多组织中，这意味着IT人员必须逐一检查每个用户的账户，了解其有权访问哪些资源，然后手动撤销相应权限。手动配置和撤销访问权限不仅耗费大量人力，还容易因人为错误或疏忽而出现问题。尤其对于大型组织而言，这并不是一种高效或可持续的用户身份和访问权限管理方式。
解决方案
强大的IAM解决方案可以全面自动化预配和取消预配流程，使IT部门能够全面管控员工、合作伙伴、承包商、供应商和访客的访问权限。自动预配和取消预配有助于加快实施严格的安全策略，同时减少人为错误。
挑战：自带设备（BYOD）
对当今企业而言，是否管理已不再是一个选择。员工、承包商、合作伙伴及其他人员会出于工作和个人原因，携带个人设备并接入企业网络。BYOD带来的挑战不在于外部设备是否会接入企业网络，而在于IT部门能否足够迅速地采取应对措施，在不影响员工工作效率并保留设备选择自由的同时，保护企业的业务资产。几乎每家公司都有某种BYOD策略，允许用户通过自己的设备访问受保护的资源。然而，与使用联网的笔记本电脑或台式工作站相比，在移动设备上访问内部应用和SaaS应用可能更为繁琐。此外，IT人员可能难以管理哪些人员有权访问企业数据，以及他们使用哪些设备进行访问。
解决方案
企业必须制定相应策略，以便根据企业准则或监管合规要求，快速、轻松且安全地授予或撤销员工自有和企业自有移动设备对企业应用的访问权限。此外，物联网发展趋势等技术变革要求企业IT团队部署可扩展的解决方案，以应对大量设备接入给企业网络带来的压力。
挑战：密码问题
随着云应用不断增多，员工必须记住越来越多的应用密码。这些应用可能跨越多个域，并采用多种不同的身份验证及属性共享标准和协议。员工需要花费越来越多的时间管理由此产生的密码列表，难免会感到沮丧；有些应用甚至要求每30天更改一次密码。此外，员工遇到密码问题时，通常会向IT人员求助，这会迅速且反复地消耗宝贵资源。
解决方案
企业可以通过联合用户身份，并将安全单点登录（SSO）功能扩展到SaaS、云应用、Web应用和虚拟应用，轻松解决密码问题。SSO可以跨多个域以及各种身份验证和属性共享标准与协议，整合密码管理。
挑战：法规合规
合规与公司治理问题仍是推动身份和访问管理（IAM）支出的主要因素。例如，提供《萨班斯-奥克斯利法案》所要求的公司治理数据，这一责任很大程度上由IT部门承担。确保支持相关流程，例如确定特定员工的访问权限、跟踪管理层对扩大访问权限的审批，以及记录访问数据的人员、内容和时间，有助于减轻监管合规负担，并确保审计流程顺利进行。
解决方案
强大的IAM解决方案有助于满足《萨班斯-奥克斯利法案》、HIPAA和支付卡行业数据安全标准（PCI DSS）等监管标准的合规要求。尤其是，能够自动生成审计报告的解决方案可以简化监管合规流程，并帮助生成证明合规性所需的综合报告。
结论
安全。高效。简便。高生产力。合规。部署强大的IAM解决方案优势显著，但实施成本和复杂性可能会让即使初衷良好的组织也难以顺利推进。然而，当企业考虑潜在安全漏洞造成的损失，或审视以人工方式授予和撤销企业资源访问权限所固有的低效问题时，采取行动的必要性便十分明确：现在正是组建集中式IAM团队的时候，由该团队制定并实施适用于整个组织的身份和访问管理策略。
传统安全边界正在缩小。企业在寻找IAM解决方案时，必须考虑员工队伍日益移动化，以及应用网络高度分布且复杂的现实。强大的IAM解决方案可以缓解管理难题，简化访问权限的配置和取消配置，并提高用户工作效率，同时降低成本、减轻IT负担，并为企业提供全面的数据，帮助企业遵守监管标准。
此外，企业可以部署采用强多因素身份验证的解决方案来保障安全，同时通过单点登录（SSO）提供对云应用的无缝访问，减少用户的不便。随着身份和访问管理日益复杂，基于精细的上下文信息制定策略的能力将愈发重要。IAM解决方案可收集用户身份、位置、设备和所请求资源等信息，并据此做出决策，帮助企业为经过验证的员工、合作伙伴、承包商或访客提供快速访问，同时轻松撤销或拒绝未经授权用户的权限。
发布于2016年2月24日