為什麼你需要身份訪問管理 (Identity Governance)？

資訊安全對企業而言十分重要，因為他們需要處理大量敏感資訊以維持業務運作，這些資訊包括原始程式碼 (Source code)、員工和客戶的個人數據、財務資訊、競爭分析等等。

此外，企業亦有責任令員工保持高工作效率，這意味著要留意流程的瓶頸，解決影響生產力的問題。可是，在維護資訊安全的同時，又要允許員工在工作上保持靈活性是個很難平衡的問題，亦是為什麼那麼多企業採用身份訪問管理的原因之一。

你可以從哪裡開始？

在2000年初期，互聯網剛剛開始成為我們生活的一部分，「網路安全」問題還未出現。當時大多數安全程式都是圍繞著提高業務效率而設定。

對於Weight Watchers來說，身份訪問管理的其中一個催化劑就是為了擺脫依靠人力監管合規 (compliance)管理工作。 Weight Watchers的安全和合規性主管Paul De Graaff說：「從合規性的角度來看，依靠人手收集數據和驗證流程並不是理想的做法。」

建立身份的案例

在大多數情況情況下，企業及其領導者並不是要求一個 “身份訪問管理 ”解決方案。他們一般希望可以減輕合規和審計工作，減少幫助台 (helpdesk) 的成本或提高員工的生產力。雖然維護重要應用程式和數據安全的問題很可能一直都在人們的腦海中，但他們可能不知道一個合適的身份訪問管理方案就可以解決以上所有事情。

為了找到迫切問題所在及在企業中建立身份，必須遵循以下幾個步驟：

找到企業的需求

第一步必須找出身份解決方案所要處理的核心問題。沒有企業是相同的，他們都需要自行調查，了解問題的痛點，及解決方案需要在多大程度上結合目前的系統，以解決這個痛點（以及企業正在經歷的其他挫折和問題）。

確定基線

一旦需求被記錄下來，就該寫出所發生的整個過程以及需要糾正的地方。建立一張地圖，說明哪些安全流程是手動的，哪些是自動的，它們需要多長時間等等。這不僅有助於弄清企業的現狀，而且有利於將來實行身份管理解決方案。

設定目標

缺乏指標和目標的計劃是不完整的。前兩個步驟是用於作為餘下工作的基礎，但成果將根據可否為企業帶來價值來判斷。不過，這些目標的關鍵是，它們必須是明確而且可衡量的，亦必須是有形的。僅僅能「提高企業的效率」是不夠的；必須提供統計數據和價值。這就是為什麼前兩個步驟如此重要的另一個原因。

建立財務模型

每間企業及其管理人員都希望財務數據是有意義的：項目的價值可以根據投資在時間或資金方面的回報速度來決定。成功的關鍵是把身份管理商業案例的財務模型放在企業最常用的指標中，並在身份解決方案幫助企業的每一種方式中闡述這些指標。

身份的力量

企業可能出於解決問題的需要而在其安全基礎設施中實行身份識別，它可能解決到大量的問題，但事實上，身份管理可以賦予企業權力。如果實施得當並得到正確的支援，身份管理可容許企業在安全性和靈活性之間取得平衡，並讓企業得以發展。

例如，雖然最初實施的SSO儀表板(dashboard)是為了讓員工登入系統、應用程式和數據存儲，但它現在是整合身份訪問管理解決方案一部分。除了解決登入時會遇到的困難，完整的身份平台亦可以減輕合規和審計工作，及管理整個企業的身份和減輕風險。

“合規是一項永無止境的苦差事。 Identity將其自動化，我們節省了大量的時間和金錢 - 並提高了準確性。” —主要金融機構的CISO

最重要的是，每個系統都是相互結合的，因此IT部門對其系統有充分的可見性，以確保政策得到遵守，防止違規，並在需要時向其他部門發出通知。現在有了所有的資訊，IT部門可以做出正確的決定，更全面地保護企業。身份管理平台的自動化確保一些風險在成為真正的問題之前就得到解決。身份管理沒有使問題複雜化，而是使企業既能保證其敏感數據的安全，又能靈活地讓用戶以他們喜歡的方式（和地點）工作。

結論

雖然企業可能已經開始了他們的身份管理之路，以解決特定的問題，但不適當的實施和不充分的支援可能產生更多更複雜問題。真正的身份管理解決方案所帶來的安全和信心使企業能夠專注於真正重要的事情，包括找尋新機會、產品創新、擴展業務、獲得更大的競爭優勢等。

資料來源：Sailpoint