业务流程拉近身份识别和安全距离

　　进入2000年以来，人们逐渐认识到，身份识别和安全必须在IT部门、流程和技术范围内进行整合。为什么呢？许多业内权威认为是出于法规遵从的需求，但这只是冰山一角。ESG认为，是大量新的网络业务流程的需求拉近了身份识别和安全的距离。

　　互联网连接、移动互联网设备、外部应用以及基于互联网的应用集成技术如网络服务的兴起，催生了开放式网络和“无边界网络”。从商业角度来看，这些趋势开启了全新的业务流程模式如业务流程外包、供应链整合以及全球范围内的合作。由于企业将互联网作为一种刺激新利润、开拓机遇、加速业务措施和降低成本的方式，因此，私有网络现在已经对业务开放。这一趋势在ESG最新的研究报告中已经详细描述了。60%的大型企业（即，员工人数不少于1000人）表示他们与非企业员工分享机密数据（见表1）。而大多数企业还认为他们将来会与更多外部机构如商业伙伴、客户或供应商分享更多机密数据。

图表1. 大多数大型企业同非企业员工共享机密数据

 　　由于有巨大的商业利益，因此，首席执行官们都鼓励IT部门大力发展身份识别管理功能，为外部人员提供网络/应用访问并使之尽快产生效益。虽然业务主管鼓励这些网络业务流程，但是安全专业人士明白他们会为此背负无形的潜在成本— 安全风险的潜在增加。对于外部人员而言，开放式的网络与应用意味着更大的终端数量，以及更加广泛的恶意代码攻击。与非员工共享机密数据会大大增加数据外泄的风险。新型网站应用也会增加应用层安全攻击如SQL植入或跨站脚本执行的风险。事实上，从安全角度而言，每个新用户、设备、网络或与内部资源相连的应用带来了一系列新的入侵载体，需要对可疑活动进行了解、阻止和监控。

　　归根结底，新的网络业务流程的成功要求身份识别和安全管理之间达到某种平衡。不安全的身份识别虽然会加快业务的实施，但是也会带来一系列的安全风险，从而导致安全事故、数据外泄以及法规遵从的违规事件。另外，虽然安全控制和“纵深防御”防护措施将对IT资产进行保护，但是却无法帮助配置外部用户、创建角色或使外部赞助商获取效益。