การจัดการข้อมูลประจำตัวและการเข้าถึง (IAM) คืออะไร

จากการสำรวจล่าสุด พบว่า 74% ของการละเมิดเกี่ยวข้องกับการเข้าถึงบัญชีที่ได้รับสิทธิพิเศษ แต่องค์กรหลายแห่งยังคงล้มเหลวในการทำตามขั้นตอนที่จำเป็นเพื่อป้องกันการใช้ข้อมูลรับรองที่มีสิทธิพิเศษในทางที่ผิด

การดูแลให้บัญชีที่มีสิทธิ์มีความปลอดภัยนั้นจำเป็นต้องมี การจัดการข้อมูลประจำตัวและการเข้าถึง (IAM) ซึ่งเป็นคำที่ใช้อธิบายกระบวนการจัดการข้อมูลประจำตัวดิจิทัล และการควบคุมสินทรัพย์ที่ข้อมูลระบุตัวตนเหล่านั้นได้รับอนุญาตให้เข้าถึง

IAM ประกอบด้วย องค์ประกอบหลักสามประการ; การตรวจสอบสิทธิ์ การอนุญาต และการวิเคราะห์พฤติกรรมผู้ใช้ (UBA)

1. การรับรองความถูกต้อง
โดยทั่วไปการรับรองความถูกต้องจะดำเนินการโดยใช้โซลูชันการลงชื่อเข้าระบบครั้งเดียว (SSO) โซลูชันการลงชื่อเข้าระบบครั้งเดียวจะอนุญาตให้ผู้ใช้เข้าสู่ระบบผ่านพอร์ทัลเดียว ซึ่งจะตรวจสอบสิทธิ์ผู้ใช้กับระบบและแอปพลิเคชันที่เชื่อมต่อทั้งหมดโดยอัตโนมัติ

อย่างน้อยที่สุด เป็นความคิดที่ดีที่จะมีนโยบายรหัสผ่านที่รัดกุม รหัสผ่านที่รัดกุมไม่ควรซ้ำกัน โดยมีความยาวอย่างน้อย 8 ตัวอักษร และควรประกอบด้วยตัวเลข สัญลักษณ์ อักขระพิเศษ และอื่นๆ

โดยปกติแล้วผู้ใช้จะต้องหลีกเลี่ยงการใช้รหัสผ่านที่เดาง่าย ในปัจจุบัน โปรโตคอลการตรวจสอบสิทธิ์ที่ซับซ้อนส่วนใหญ่จะใช้การตรวจสอบสิทธิ์แบบหลายปัจจัย ซึ่งบางครั้งเรียกว่า “การตรวจสอบสิทธิ์แบบสองปัจจัย” หรือ “การตรวจสอบสิทธิ์แบบสองปัจจัย” และรวมถึงสองสิ่งต่อไปนี้หรือมากกว่านั้น

• บางสิ่ง (เท่านั้น) ที่คุณรู้ ซึ่งอาจรวมถึงรหัสผ่าน ข้อความรหัสผ่าน หรือคำถามเพื่อความปลอดภัย
• สิ่งที่คุณมี (เท่านั้น) ซึ่งโดยปกติจะเป็นโทเค็นซอฟต์แวร์ ใบรับรอง หรือดองเกิลฮาร์ดแวร์ เช่น โทเค็น RSA SecurID
• สิ่งที่คุณเป็น ซึ่งอาจรวมถึงลายนิ้วมือ ม่านตาหรือจอประสาทตา ลักษณะเสียงหรือใบหน้า หรือข้อมูลไบโอเมตริกซ์ประเภทอื่นๆ

2. การอนุญาต
การอนุญาตคือกระบวนการกำหนดว่าผู้ใช้ที่ได้รับการรับรองความถูกต้องมีสิทธิ์ในการเข้าถึงทรัพยากรที่กำหนดหรือไม่ กระบวนการเริ่มต้นโดยการกำหนดการควบคุมการเข้าถึงให้กับผู้ใช้หรือกลุ่ม ทั้งที่เป็นมนุษย์และไม่ใช่มนุษย์ (บัญชีบริการ) เพื่อพิจารณาว่าทรัพยากรใดที่พวกเขาสามารถเข้าถึงได้และไม่สามารถเข้าถึงได้

การควบคุมการเข้าถึงถูกกำหนดตาม "นโยบายที่ได้รับการจัดการ" ซึ่งเป็นชุดกฎที่ใช้ในการกำหนดว่าผู้ใช้ กลุ่ม และบทบาทใดมีสิทธิ์เข้าถึงทรัพยากรใด หลายๆ คนปฏิบัติตาม "Principal of Least Privilege" (PoLP) ซึ่งกำหนดว่าผู้ใช้ควรได้รับสิทธิ์ขั้นต่ำที่จำเป็นในการปฏิบัติหน้าที่ของตนอย่างเพียงพอ

PoLP สามารถลดความเสี่ยงของการละเมิดข้อมูลร้ายแรงได้อย่างมาก โดยการจำกัดการดำเนินการที่สามารถทำได้โดยผู้แสดงภัยคุกคามภายในหรือภายนอก

3. การวิเคราะห์พฤติกรรมผู้ใช้ (UBA)
UBA เป็นกระบวนการตรวจจับการเปลี่ยนแปลงที่ผิดปกติ ซึ่งโดยทั่วไปจะเกี่ยวข้องกับสิทธิ์การเข้าถึง และไฟล์และโฟลเดอร์ที่มีข้อมูลที่ละเอียดอ่อน โซลูชันการวิเคราะห์พฤติกรรมผู้ใช้จะตรวจสอบรูปแบบพฤติกรรมของมนุษย์เพื่อพยายามตรวจจับความผิดปกติ หรืออีกนัยหนึ่งคือ เหตุการณ์ที่เบี่ยงเบนไปจากพฤติกรรมที่ถือว่าเป็นพฤติกรรม "ปกติ"

UBA เป็นส่วนสำคัญของ IAM เนื่องจากช่วยให้ทีมไอทีสามารถติดตามว่าใครสามารถเข้าถึงข้อมูลใดและเมื่อใด มีวิธีแก้ไขปัญหามากมายที่สามารถช่วย UBA ได้ โซลูชันเหล่านี้จะรวบรวมข้อมูลเกี่ยวกับบรรทัดฐานด้านพฤติกรรมที่เกี่ยวข้องกับผู้ใช้แต่ละราย และตรวจจับ แจ้งเตือน และตอบสนองต่อเหตุการณ์ใดๆ ที่เบี่ยงเบนไปจากบรรทัดฐานเหล่านี้

โซลูชันที่ซับซ้อนยิ่งขึ้นบางโซลูชันสามารถตรวจจับและตอบสนองต่อเหตุการณ์ที่ตรงกับเงื่อนไขเกณฑ์ที่กำหนดไว้ล่วงหน้าได้ ในบริบทของการจัดการข้อมูลประจำตัวและการเข้าถึง อาจรวมถึงการระบุและการตอบสนองต่อความพยายามเข้าสู่ระบบที่ล้มเหลวหลายครั้ง

ตัวอย่างเช่น หากตรวจพบการเข้าสู่ระบบที่ล้มเหลวจำนวน X ภายในกรอบเวลาที่กำหนดไว้ล่วงหน้า สคริปต์ที่กำหนดเองสามารถดำเนินการได้ซึ่งอาจหยุดกระบวนการเฉพาะ เปลี่ยนการตั้งค่าไฟร์วอลล์ ปิดการใช้งานบัญชีของผู้ใช้ หรือแม้แต่ปิดระบบทั้งหมด เซิร์ฟเวอร์

เหตุใดการจัดการข้อมูลประจำตัวและการเข้าถึง (IAM) จึงมีความสำคัญ

แม้ว่าการระบุอย่างชัดเจนว่าอะไรคือ "ภัยคุกคามจากภายใน" ไม่ใช่เรื่องง่าย แต่ก็เป็นที่ยอมรับกันอย่างกว้างขวางว่าภัยคุกคามจากภายในเป็นสาเหตุสำคัญของการละเมิดข้อมูล ไม่ทางใดก็ทางหนึ่ง

ตามรายงานการเปิดเผยข้อมูลทั่วโลก 69% ขององค์กรกล่าวว่าพวกเขาถูกละเมิดเนื่องจากภัยคุกคามภายใน

ภัยคุกคามภายในอาจเกิดจากความประมาทเลินเล่อ หรืออาจได้รับแรงจูงใจจากเหตุผลที่เป็นอันตราย ซึ่งอาจรวมถึงการขโมยข้อมูลที่ละเอียดอ่อนเพื่อผลประโยชน์ส่วนตัว หรือในบางกรณีอาจเป็นการจารกรรม

การจัดการข้อมูลประจำตัวและการเข้าถึงคือการป้องกันหลักของเราต่อภัยคุกคามจากภายใน IAM ทำให้แน่ใจได้ว่าเรารู้ว่าใครมีและควรมีสิทธิ์เข้าถึงข้อมูลที่ละเอียดอ่อนของเรา องค์กรหลายแห่งใช้เวลาไม่เพียงพอหรือจัดสรรทรัพยากรไม่เพียงพอเพื่อให้แน่ใจว่าโปรโตคอล IAM ของตนมีประสิทธิภาพและสามารถปกป้องข้อมูลที่ละเอียดอ่อนได้อย่างเพียงพอ

การใช้งานและการจัดการกลยุทธ์ IAM เป็นการดำเนินการที่ใช้เวลานานและมีราคาแพง และไม่น่าจะให้ผลประโยชน์ที่เห็นได้ชัดเจน อย่างน้อยก็ในระยะสั้น อย่างไรก็ตาม สิ่งที่องค์กรจำนวนมากไม่เข้าใจก็คือคำถามที่ว่าการละเมิดข้อมูลจะเกิดขึ้นหรือไม่ แต่เมื่อใด มีโอกาสที่องค์กรที่ล้มเหลวในการปกป้องบัญชีที่ได้รับสิทธิพิเศษของตนอย่างเพียงพอ จะต้องเสียใจต่อไป

ข้อดีอีกประการหนึ่งของกลยุทธ์การจัดการข้อมูลประจำตัวและการเข้าถึง (IAM) ที่แข็งแกร่ง

ประโยชน์ที่สำคัญอีกประการหนึ่งของกลยุทธ์ IAM ที่แข็งแกร่งคือช่วยให้พนักงานทำงานจากสถานที่ห่างไกลได้อย่างปลอดภัย นอกจากนี้ การลงชื่อเข้าระบบเพียงครั้งเดียวยังช่วยเพิ่มความสามารถในการปรับขนาดได้มากขึ้น เนื่องจากพนักงานไม่จำเป็นต้องสร้างบัญชีใหม่สำหรับบริการหรือแอปพลิเคชันใหม่แต่ละรายการที่เปิดตัว

กลยุทธ์ IAM ที่แข็งแกร่งอาจทำให้บริษัทของคุณมีความได้เปรียบทางการแข่งขัน เนื่องจากลูกค้าจะรู้สึกมั่นใจมากขึ้นว่าข้อมูลของตนปลอดภัย และแน่นอนว่า หากบริษัทของคุณประสบกับการละเมิดข้อมูล อาจเนื่องมาจากสถานะ IAM ที่อ่อนแอ สิ่งนี้อาจสร้างความเสียหายต่อชื่อเสียงของบริษัทของคุณ ซึ่งอาจนำไปสู่การสูญเสียธุรกิจได้

รู้ว่าจะเริ่มต้นอย่างไรด้วยกลยุทธ์การจัดการข้อมูลประจำตัวและการเข้าถึง (IAM) ของคุณ

ในปัจจุบัน องค์กรต่างๆ ใช้แอปพลิเคชันและสภาพแวดล้อมที่หลากหลายมากขึ้น นอกเหนือจากสภาพแวดล้อมไอทีในองค์กรแบบดั้งเดิมแล้ว องค์กรจำนวนมากขึ้นกำลังเปลี่ยนมาใช้โมเดลไฮบริด ซึ่งรวมบริการและโครงสร้างพื้นฐานบนคลาวด์เข้ากับการตั้งค่าที่มีอยู่

ไม่เพียงเท่านั้น ยังมีอุปกรณ์ต่าง ๆ จำนวนมากขึ้นที่เชื่อมต่อกับเครือข่ายของเราจากที่ตั้งทางภูมิศาสตร์ที่แตกต่างกันมากมาย ปัจจัยข้างต้นทำให้เกิดความซับซ้อนเพิ่มเติมที่อาจล้นหลาม และทำให้ยากต่อการทราบว่าจะเริ่มใช้โปรโตคอล IAM ที่มีประสิทธิภาพได้จากที่ใด

ขั้นตอนแรกในการพัฒนากลยุทธ์ IAM ที่แข็งแกร่งคือการสร้างทีมเฉพาะและให้ผู้มีส่วนได้ส่วนเสียที่เกี่ยวข้องทั้งหมดจากทั่วทั้งองค์กรมีส่วนร่วม คุณจะต้องใช้เวลาในการค้นคว้าเครื่องมือต่างๆ ที่มีให้ใช้งาน ซึ่งรวมถึงการติดต่อผู้จำหน่ายต่างๆ เพื่อดูว่าพวกเขาเสนอแพ็คเกจใดบ้าง และคิดค่าใช้จ่ายเท่าไร

ขั้นตอนต่อไปคือการสร้างรายการที่มีรายละเอียดเกี่ยวกับผู้ใช้ อุปกรณ์ แอปพลิเคชัน เซิร์ฟเวอร์ และแพลตฟอร์มที่องค์กรของคุณใช้งาน คุณจะต้องกำหนดวิธีการระบุผู้ใช้บนเครือข่ายของคุณ พวกเขาจะถูกระบุด้วยชื่อ หมายเลขพนักงาน หรือตัวระบุอื่น ๆ หรือไม่? องค์กรจำนวนมากจะจัดกลุ่มผู้ใช้เหล่านี้ตามบทบาท และกำหนดสิทธิ์การเข้าถึงตามบทบาทเหล่านี้ วิธีปฏิบัติที่เรียกว่าการควบคุมการเข้าถึงตามบทบาท (RBAC)

บทบาทอาจแบ่งออกเป็นหมวดหมู่ ซึ่งจะแบ่งออกเป็นหมวดหมู่ย่อย ตัวอย่างเช่น ข้อมูลมักถูกจัดประเภทเป็นสาธารณะ ส่วนตัว หรือถูกจำกัด ในกรณีนี้ เราจำเป็นต้องพิจารณาว่าผู้ใช้เป็นผู้ใช้ปลายทาง ผู้ดูแลระบบ หรือผู้ใช้ที่เชี่ยวชาญ

จากนั้นเราสามารถตั้งค่าบทบาทเพิ่มเติม ซึ่งอาจรวมถึงความสามารถของงาน ประสบการณ์ สถานที่ แผนก และอื่นๆ ตัวอย่างเช่น เราสามารถระบุได้อย่างง่ายดายว่าผู้ใช้บางประเภทที่มีประสบการณ์จำนวนหนึ่งซึ่งปฏิบัติงานจากสถานที่ใดสถานที่หนึ่ง ได้รับอนุญาตให้เข้าถึง ย้าย แก้ไข หรือลบข้อมูลที่จัดอยู่ในประเภทใดลักษณะหนึ่งหรือไม่ RBAC ไม่ได้ให้รายละเอียดในระดับเดียวกับการควบคุมการเข้าถึงตามแอตทริบิวต์ (ABAC) อย่างไรก็ตาม โดยทั่วไปแล้ว RBAC เป็นตัวเลือกที่ต้องการเนื่องจากนำไปใช้และบำรุงรักษาได้ง่ายกว่ามาก

การค้นหาข้อมูลและการจำแนกประเภท

องค์กรส่วนใหญ่จัดเก็บข้อมูลที่ไม่มีโครงสร้างจำนวนมาก ซึ่งส่วนใหญ่เป็นความลับ อย่างไรก็ตาม หลายบริษัท (62%) ไม่ทราบว่าข้อมูลที่ละเอียดอ่อนที่สุดของตนอยู่ที่ใด และข้อมูลจำนวนมากไม่ได้รับการจัดประเภทอย่างถูกต้อง

หากเราไม่รู้ว่าข้อมูลที่ละเอียดอ่อนของเราอยู่ที่ไหน จะป้องกันได้อย่างไร คำตอบคือเราทำไม่ได้! ด้วยเหตุนี้ เพื่อสร้างกลยุทธ์ IAM ที่มีประสิทธิภาพ เราจำเป็นต้องมีโซลูชันที่จะค้นพบและจำแนกประเภทข้อมูลที่หลากหลายโดยอัตโนมัติ เช่น PII, PHI, PCI และข้อมูลใดๆ ที่ครอบคลุมโดยกฎระเบียบด้านการปกป้องข้อมูลที่ใช้บังคับ ต่ออุตสาหกรรมของเรา

การจัดการบัญชีผู้ใช้ “Ghost”

พื้นที่ของการจัดการข้อมูลประจำตัวและการเข้าถึงที่มักถูกมองข้ามคือบัญชีผู้ใช้ที่ไม่ได้ใช้งานหรือ "โกสต์" ตามบทความที่เผยแพร่โดย SC Media ในปี 2560 บัญชีผู้ใช้ 1 ใน 4 ไม่ได้ใช้งาน

แฮกเกอร์มักจะมองหาบัญชีผู้ใช้หรือบริการที่ไม่ได้ใช้งาน เนื่องจากสามารถเข้าถึงข้อมูลที่ละเอียดอ่อนได้ง่าย ตัวอย่างเช่น แฮกเกอร์สามารถทำการค้นหาบน LinkedIn เพื่อดูว่าใครเพิ่งลาออกจากบริษัท และใช้ข้อมูลนี้เพื่อกำหนดเป้าหมายบัญชีเฉพาะ

การเข้าถึงบัญชีผู้ใช้เก่าอาจทำให้ผู้โจมตีสามารถตรวจสอบได้โดยไม่ทำให้เกิดสัญญาณเตือนใดๆ โซลูชัน UBA จำนวนมากมีเครื่องมือในตัวซึ่งสามารถตรวจจับและจัดการบัญชีผู้ใช้ที่ไม่ได้ใช้งานโดยอัตโนมัติ

การจัดการข้อมูลประจำตัวและการเข้าถึง (IAM) และการปฏิบัติตามข้อกำหนด

แม้ว่าในอดีตอาจเป็นไปได้ที่จะนำโปรโตคอล IAM ต่ำกว่ามาตรฐานมาใช้ แต่วันเหล่านั้นกำลังจะสิ้นสุดลงอย่างรวดเร็ว ในช่วงไม่กี่ปีที่ผ่านมา เราเห็นว่าการละเมิดข้อมูลที่มีชื่อเสียงมีจำนวนเพิ่มขึ้นเป็นหัวข้อข่าว และในที่สุดรัฐบาลทั่วโลกก็ตระหนักถึงความสำคัญของการปกป้องข้อมูล และด้วยเหตุนี้จึงมีการนำกฎระเบียบการปกป้องข้อมูลใหม่และที่ได้รับการปรับปรุงจำนวนหนึ่งมาใช้

กฎระเบียบให้ความคุ้มครองข้อมูลส่วนบุคคลของผู้บริโภค (GDPR) ซึ่งเปิดตัวในเดือนพฤษภาคม 2018 ถือเป็นกฎหมายความเป็นส่วนตัวของข้อมูลที่สำคัญที่สุดที่เราเคยเห็นมาจนถึงปัจจุบัน การไม่ปฏิบัติตาม GDPR อาจนำไปสู่การปรับสูงถึง 20 ล้านยูโร

การถือกำเนิดของ GDPR นำไปสู่การบังคับใช้กฎหมายความเป็นส่วนตัวของข้อมูลอื่นๆ อีกหลายฉบับที่มีธีมคล้ายกัน ในสหรัฐอเมริกา เราได้เห็นกฎหมายความเป็นส่วนตัวของผู้บริโภคแห่งแคลิฟอร์เนีย (CCPA) กฎหมายความเป็นส่วนตัวออนไลน์ของวุฒิสภาเนวาดา Bill 220 และพระราชบัญญัติ NY Shield Act ฉบับล่าสุดมีผลบังคับใช้แล้ว ในสหราชอาณาจักร เราได้เห็นกฎหมายคุ้มครองข้อมูลปี 2018 ซึ่งออกแบบมาเพื่อเสริม GDPR รวมถึงกฎหมายความเป็นส่วนตัวของข้อมูลใหม่อื่นๆ อีกหลายฉบับที่เผยแพร่ทั่วโลก

กลยุทธ์ IAM ที่แข็งแกร่งมีความสำคัญอย่างยิ่งในการปฏิบัติตามกฎระเบียบประเภทนี้ เช่นเดียวกับกฎระเบียบที่เกี่ยวข้องกับความเป็นส่วนตัวของข้อมูลอื่นๆ ส่วนใหญ่ เช่น HIPAA, SOX, PCI-DSS และ ISO 27001 ตัวอย่างเช่น ภายใต้ GDPR เจ้าของข้อมูลมีจำนวน สิทธิที่ได้รับการยกระดับซึ่งรวมถึง;

• สิทธิที่จะได้รับแจ้ง
• สิทธิในการเข้าถึง
• สิทธิในการแก้ไข
• สิทธิในการลบล้าง
• สิทธิ์ในการจำกัดการประมวลผล
• สิทธิในการพกพาข้อมูล
• สิทธิในการคัดค้าน
• สิทธิ์ที่เกี่ยวข้องกับการตัดสินใจอัตโนมัติและการทำโปรไฟล์

การปกป้องสิทธิ์เหล่านี้จำเป็นต้องมีความเข้าใจเชิงลึกเกี่ยวกับวิธีการเข้าถึงข้อมูลของผู้ใช้ หากไม่มีโปรโตคอล IAM ที่ได้รับการออกแบบมาอย่างดี การมองเห็นและการควบคุมผู้ที่มีสิทธิ์เข้าถึงข้อมูลส่วนบุคคล และเมื่อใดจะยากขึ้นอย่างมาก และโอกาสในการปฏิบัติตามข้อกำหนดด้านการปฏิบัติตามข้อกำหนดจะลดลงอย่างมาก

นอกจากนี้ แพลตฟอร์มความปลอดภัยข้อมูลที่ซับซ้อนส่วนใหญ่สามารถใช้การวิเคราะห์พฤติกรรมผู้ใช้ (UBA) เพื่อสร้างรายงานที่กำหนดไว้ล่วงหน้าที่หลากหลาย ซึ่งปรับแต่งเพื่อช่วยให้ปฏิบัติตามกฎระเบียบการปกป้องข้อมูลต่างๆ

การจัดการข้อมูลประจำตัวและการเข้าถึง - บทสรุป

• เริ่มต้นด้วยการจัดตั้งทีมงานเฉพาะซึ่งจะรับผิดชอบในการนำไปใช้และการจัดการกลยุทธ์ IAM ของคุณ
• ใช้โซลูชันการลงชื่อเข้าระบบครั้งเดียวเพื่อปรับปรุงการมองเห็นและการควบคุมการเข้าถึงของผู้ใช้
• ตรวจสอบให้แน่ใจว่าคุณมีนโยบายรหัสผ่านที่รัดกุม และหากเป็นไปได้ ให้ใช้การตรวจสอบสิทธิ์แบบหลายปัจจัยเพื่อเพิ่มความปลอดภัย
• แนะนำชุดกฎเพื่อกำหนดว่าใครควรมีสิทธิ์เข้าถึงทรัพยากรใด ตรวจสอบให้แน่ใจว่ากฎเหล่านั้นเป็นไปตาม "หลักการที่มีสิทธิ์น้อยที่สุด"
• ใช้โซลูชันการค้นหาและจำแนกประเภทข้อมูลเพื่อให้แน่ใจว่าคุณทราบได้อย่างชัดเจนว่าข้อมูลที่ละเอียดอ่อนที่ไม่มีโครงสร้างอยู่ที่ใด
• กำหนดการควบคุมการเข้าถึงตามบทบาทที่กำหนดไว้ล่วงหน้า เช่น ประเภทงาน ประสบการณ์ และสถานที่
• ใช้โซลูชันการวิเคราะห์พฤติกรรมผู้ใช้ (UBA) ซึ่งบางครั้งเรียกว่า DCAP (การตรวจสอบและการป้องกันที่เน้นข้อมูลเป็นศูนย์กลาง) เพื่อให้สามารถตรวจจับการเปลี่ยนแปลงที่ผิดปกติในบัญชีที่ได้รับสิทธิพิเศษและทรัพยากรที่พวกเขาสามารถเข้าถึงได้
• ใช้ระบบอัตโนมัติในการจัดการบัญชีผู้ใช้ที่ไม่ได้ใช้งาน
• ตรวจสอบสิทธิ์การเข้าถึงเป็นประจำเพื่อให้แน่ใจว่ายังคงเกี่ยวข้องและทำการแก้ไขตามที่จำเป็น