随着威胁的发展，身份安全成为重中之重

本文首发微信公众号网络研究院，关注获取更多。 

保护数字身份的需求是当今组织面临的最大隐私和数据问题之一，只有不到一半的组织 (49%) 主动投资于保护身份，因此还有很长的路要走。

这些是身份定义安全联盟(IDSA)的调查结果之一，该调查发现 90% 的组织在过去 12 个月内报告了与身份相关的违规行为，比去年的报告增加了 6%。

该报告还发现，93% 的企业在过去一年中遭受了电子邮件网络钓鱼攻击，大多数 (57%) 报告员工在不知情的情况下点击了网络钓鱼电子邮件。

此外，17% 的人表示管理和保护数字身份是头号安全优先事项（高于 2022 年的 16%），而 44% 的人将其列为前三位，25% 的人将其列为前五位。

与身份相关的攻击仍然是组织面临的最常见的安全威胁之一，报告指出，随着云采用、远程工作、移动设备使用和第三方关系推动身份数量的增加，这种威胁只会继续扩大。

虽然与往年相比，越来越多的组织将身份安全放在首位，但识别风险存在与主动管理风险之间存在脱节。

49% 的人报告说他们的领导团队了解身份和安全风险，并在发生事件之前主动投资于保护，而 29% 的人仅在事件发生后才参与和支持。

对于 IT 安全团队而言，重要的是要确定他们的漏洞和威胁在哪里以及威胁参与者如何利用它们，然后相应地花钱。

总的来说，在管理风险时，生活应该很简单。避免、减轻或转移风险的花费永远不要超过接受风险可能造成的损失。

这是风险偏好的重要组成部分。当您无法量化您的风险偏好时，您就是在盲目飞行。不可避免地你会花费超过需要的钱，并冒着损失超过你承受能力的风险。

最好的建议是在确定组织需要什么之前不要花任何钱，尤其是在技术投资方面。

虽然看起来安全团队总是试图这样做，但很容易被闪亮的新特性和功能所吸引，市场上有很多很棒的工具和服务，而且每天都有更多新的。

组织应该考虑避免“我需要这个吗？”这样的预算问题。在看到这些工具后，反问，“我需要什么功能？” 在查看任何工具或服务之前。

这些要求应该会推动您的工具获取行为，不要成为货架软件的另一个推动者。

随着工作身份和家庭身份之间的界限越来越模糊，身份安全风险也在增加。

由于员工行为经常是身份相关事件的原因（点击网络钓鱼电子邮件最常见，占 57%，其次是使用相同的工作和个人帐户密码，占 37%），尝试管理身份安全的困难在于今天的分布式劳动力已经很明显了。

如果说过去三年教会了我们什么的话，那就是人们会适应眼前的情况，这通常意味着绕过传统控制，而只需要一个错误就可以让威胁行为者茁壮成长。

希望看到一些威胁行为者使用人工智能来驱动他们的攻击，并指出预测分析和人工智能可以使威胁行为者迅速适应我们的防御，并通过定制的、区域性的和更有针对性的攻击来影响更多的受害者。

将其与更复杂的勒索软件和网络钓鱼攻击相结合，威胁形势只会变得更加复杂和更具挑战性。

身份安全威胁现在已成为我们生活的一部分，我无法说出我认识的任何人没有受到至少一起与身份相关的事件的影响。

不可能忽视社会工程学方面，它仍然是威胁行为者用来造成破坏的最常见载体。

这意味着，每当我们面临要求或需要个人信息的问题或挑战时，我们每个人都需要意识到风险。