《CyberArk 2023身分安全威脅情勢報告》: 人類和機器身分數量預期將成長240％

今年八月，以身分安全著稱的資安服務廠商CyberArk發布《CyberArk 2023身分安全威脅情勢報告》的全球報告顯示，經濟環境不佳和AI等技術創新的速度，正在提高從身分切入的資安風險，將可觀察到，未來企業對數位和雲端計畫的投資速度將會高於資安投入，且快速擴大未受保護的身分攻擊面，這些種種因素可能導致「資安債」的持續擴大。

經濟緊縮加上數位轉型加速，使企業面臨更高風險

企業組織在2022年經歷了資安債的增長，主要因為疫情期間資安支出普遍落後於更廣泛的數位業務計畫投資。到了2023年，包括經濟緊縮、員工流動率升高、消費支出下降以及全球環境的不確定性等因素，更可能造成資安債的持續惡化。對於企業而言，為了能追求企業營運更大的效能與創新，企業領導者仍持續投資數位和雲端計畫，也因如此對於資訊安全可能會延燒的連鎖反應，不可言喻。我們來看看這次報告《CyberArk 2023身分安全威脅情勢報告》的幾個關於身分與資安的重點需關注的領域摘要內容。

• 93%受訪的資安專業人員中，對於2023年將會面臨AI威脅，其中AI生成的惡意軟體列為頭號憂患。

• 近九成的受訪組織（89% – 較2022年報告的73%增加）在過去一年中遭受勒索軟體攻擊，其中有60%的受威脅影響的企業支付了兩次或更多次贖金以期待復原資料，這顯示出他們很可能是雙重敲詐勒索攻擊的受害者。

• 67%的能源、石油和天然氣公司預計他們無法阻止或甚至偵測到來自軟體供應鏈的攻擊（相較於所有組織的59%）。但這個行業的大多數受訪者（69%）同時也承認他們在過去12個月中並未做好資安措施來改善此問題。

  
  

以身分為中心的攻擊面更為擴大

人類和機器的身分，對於駭客集團而言，幾乎是所有攻擊的核心目標，企業內近一半的身分必須存取敏感資料以完成其工作，因此成為攻擊的首選途徑。該報告也發現IT環境中的關鍵區域並未獲得足夠的保護，以致無法辨識出具重大風險的身分類型。如下幾個呈現受訪者的摘要。

• 63% 的受訪者表示，最高敏感性的員工存取未得到充分保護，且擁有機敏資料存取權的機器數量比人類更多（45% vs. 38%）。

• 憑據存取仍然是受訪者認為最大的風險（被35% 提及），其次是防禦規避（31%）、執行（28%）、初始存取（28%）和提權（27%）。

• 由於未知和未受管理的身分存取，關鍵商用軟體（例如對外的營收相關應用軟體、ERP和財務管理軟體）被視為風險最高的領域。只有 46% 的組織採取身分安全控管以保護關鍵商用軟體。

• 合作夥伴、顧問和服務提供商等第三方公司被認為是風險最高的人類身分類型。

• 69% 的受訪者表示，由於安全隱患，機器人流程自動化（RPA）和bot部署腳步放緩。

  
  

CyberArk 北亞區總監謝文駿表示：「即使在裁員和宏觀經濟的巨大壓力下，企業追求不斷提高業務效率和創新的渴望依然不減。以數位和雲端計畫為主的業務轉型不斷導致企業身分數量激增。儘管攻擊手段不斷翻新，但侵害身分仍然是繞過網路防禦並存取敏感資料和資產的最有效方式，這樣的風險讓『信任誰和信任什麼』成為所有資安措施最首要工作，進而可以預防資安債的持續累積，並為組織建立長期資安韌性。」

企業用戶，可以進一步做什麼？

• 落實零信任原則：身分安全對於堅實的零信任實施至關重要。

  受訪者表示，身分管理（79%）和端點安全/設備信任（78%）對支援零信任具有「關鍵」或「重要」的作用。

• 安全存取敏感資料的策略：受訪企業計劃在2023年引入的三個改善身分安全的措施。JIT即時存取（32%受訪者）；採用最小授權原則保護業務關鍵應用軟體（32%）；以及自動供裝和撤銷存取權限（31%）。

• 與可信賴的合作夥伴整合：超過一半的受訪者（51%）將尋求可信賴的資安合作夥伴的協助，以預測和規畫，未來資安風險解決方案。

  
  
  
  

關於《CyberArk 2023身分安全威脅情勢報告》

CyberArk 2023 身分安全威脅情勢報告揭露的是一份針對全球500名員工以上的公營或民營組織所做的調查。 此份調查由Vanson Bourne 市調公司對全球 2,300 名資安決策者所進行。受訪單位遍布巴西、加拿大、墨西哥、美國、法國、德國、義大利、荷蘭、西班牙、英國、澳洲、印度、以色列、日本、新加坡和台灣。請由以下連結下載完整報告：https://www.cyberark.com/threat-landscape/