สถิติไม่โกหก: เรากำลังพ่ายแพ้ในการต่อสู้กับการบุกรุกบัญชี
แม้จะใช้จ่าย มากกว่า $ 18.5 พันล้าน เกี่ยวกับผลิตภัณฑ์รักษาความปลอดภัยข้อมูลประจำตัวในปี 2024 เพิ่มขึ้น 15% เมื่อเทียบกับปีก่อนหน้า ตาม Gartner—อัตลักษณ์ยังคงเป็นจุดเข้าใช้งานที่พบบ่อยที่สุดสำหรับผู้โจมตี ถือเป็นช่องทางที่ใช้มากที่สุดสำหรับการบุกรุกเบื้องต้น และคาดว่าแนวโน้มนี้จะยังคงดำเนินต่อไป เฉพาะในปีนี้ปีเดียว มี ข้อมูลประจำตัวที่ถูกขโมยใหม่กว่า 800 ล้านชุดถูกบุกรุก อันเป็นผลจากการระเบิดของผู้ขโมยข้อมูล
แล้วทำไมเราถึงยังต้องดิ้นรนอยู่ล่ะ?
คำตอบสั้น ๆ ก็คือ ความปลอดภัยของข้อมูลประจำตัว ยังไม่พัฒนาอย่างรวดเร็วพอ ในทางตรงกันข้ามกับสาขาอื่นๆ ของความมั่นคงปลอดภัยไซเบอร์ อัตลักษณ์ยังคงติดอยู่กับแนวคิดเดิมๆ เดิมที อัตลักษณ์ถูกมองว่าเป็นหน้าที่ของการปฏิบัติตามกฎระเบียบและการส่งเสริมธุรกิจ มากกว่าที่จะเป็นหน้าที่รักษาความปลอดภัยระดับแนวหน้า ด้วยเหตุนี้ องค์กรส่วนใหญ่จึงพึ่งพาเครื่องมือที่กระจัดกระจาย การใช้งานที่ซับซ้อน และการควบคุมแบบตอบสนอง ซึ่งไม่สามารถรับมือกับภัยคุกคามสมัยใหม่ได้
การบุกรุกบัญชีไม่ใช่สิ่งผิดปกติ แต่เป็นผลที่หลีกเลี่ยงไม่ได้ของโมเดลที่ล้าสมัย
เรายังคงดำเนินการในสิ่งที่เรียกได้ว่า การรักษาความปลอดภัยข้อมูลประจำตัว v1 นี่เป็นแนวทางรุ่นแรกที่ขาดความคล่องตัว การบูรณาการ และการมุ่งเน้นที่จำเป็นต่อการรับมือกับภัยคุกคามในปัจจุบัน กลยุทธ์คือการควบคุมแบบเลเยอร์ เกินกว่า สภาพแวดล้อมที่เปิดเผยแล้ว ซึ่งมักจะผ่านโครงการที่ใช้เวลานานหลายปีจึงจะเสร็จสมบูรณ์ แต่ผู้โจมตีไม่รอ และเราก็ไม่ควรรอเช่นกัน
อาการที่ชัดเจนของการขาดการควบคุมนี้คือการสนทนาที่ไม่สบายใจที่ผู้นำด้านความปลอดภัยหลายคนต้องเผชิญ: ความเสี่ยงที่เหลืออยู่ของเราคืออะไร? นั่นหมายความว่าอย่างไรในแง่ธุรกิจ? เราจะ...เมื่อไหร่? ทำ? คำถามเหล่านี้ยากที่จะตอบเมื่อคุณไม่ได้ควบคุมทุกอย่างได้อย่างเต็มที่ และต้องตอบสนองต่อสภาพแวดล้อมที่เปลี่ยนแปลงอยู่ตลอดเวลา
ลองนึกภาพสถานะที่คุณสามารถกำหนดและบังคับใช้การควบคุมข้อมูลประจำตัวพื้นฐานได้อย่างชัดเจน: ผู้ดูแลระบบทุกคนจำเป็นต้องตรวจสอบความถูกต้องด้วย MFA บัญชีบริการ ถูกจำกัดให้อยู่ในลักษณะการทำงานปกติที่ได้รับอนุมัติ และการเข้าถึงทั้งหมดจะถูกปฏิเสธโดยค่าเริ่มต้น เว้นแต่จะได้รับอนุญาตอย่างชัดเจน การควบคุมเหล่านี้ไม่ใช่สิ่งที่มุ่งหวัง แต่สามารถนำไปปฏิบัติได้ บังคับใช้ได้ และที่สำคัญที่สุดคือสามารถวัดผลได้ ประสิทธิภาพของการควบคุมเหล่านี้สะท้อนให้เห็นได้จากภัยคุกคามที่ถูกสกัดกั้นหรือควบคุมก่อนที่จะลุกลาม ซึ่งเป็นแนวทางโดยตรงระหว่างการควบคุมและการลดความเสี่ยง
สิ่งที่จำเป็นคือการเปลี่ยนแปลงทั้งวิธีคิดและเทคโนโลยี ความปลอดภัยของข้อมูลประจำตัว v2 ให้ความสำคัญกับการป้องกันการประนีประนอมเป็นหัวใจสำคัญ เป็นระบบเชิงรุก ครอบคลุม และสร้างขึ้นเพื่อจัดการความเสี่ยงด้านอัตลักษณ์โดยไม่ขัดขวางธุรกิจ ด้วยเหตุนี้ อัตลักษณ์จึงไม่ได้เป็นเพียงเรื่องรอง แต่เป็นจุดควบคุม
การเปลี่ยนแปลงนี้มีความจำเป็นเร่งด่วน พายุรุนแรงกำลังก่อตัวขึ้นจากสมมติฐานที่ล้าสมัยเกี่ยวกับบทบาทของอัตลักษณ์ในด้านความปลอดภัย การขาดเครื่องมือที่ทันสมัยที่ให้การควบคุมแบบเรียลไทม์ และความซับซ้อนที่เพิ่มขึ้นในสภาพแวดล้อมคลาวด์ SaaS และไฮบริด พลังเหล่านี้ร่วมกันเรียกร้องให้มีแนวทางใหม่ ซึ่ง ช่วยให้เราควบคุมได้ทันทีทุกที่ที่สำคัญ และปรับแต่งในภายหลัง.
เราไม่สามารถรอได้ ต้นทุนของการไม่ลงมือทำถูกเขียนไว้อย่างชัดเจนใน รายงานการละเมิด และข้อมูลประจำตัวที่ถูกขโมยก็เพิ่มมากขึ้นทุกวัน
เหตุใดอัตลักษณ์จึงแตกต่างและเหตุใดจึงสำคัญ
อัตลักษณ์มีความแตกต่างจากสาขาอื่นๆ ของความปลอดภัย ต่างจากสาขาความปลอดภัยอื่นๆ อัตลักษณ์นั้นโดยพื้นฐานแล้วเกี่ยวข้องกับผู้คน แม้แต่อัตลักษณ์ที่ไม่ใช่มนุษย์ บัญชีบริการ API และ เอกลักษณ์เครื่อง ท้ายที่สุดจะสะท้อนถึงการตัดสินใจของมนุษย์ที่ทำโดยนักพัฒนา ผู้ดูแลระบบ หรือเจ้าของแพลตฟอร์ม
อัตลักษณ์มีความเป็นเอกลักษณ์เฉพาะตัว เพราะมันเชื่อมโยงเข้ากับกิจกรรมประจำวันขององค์กรอย่างแนบแน่น อัตลักษณ์ส่งผลต่อวิธีที่ผู้คนเข้าถึงเครื่องมือ ทำงานร่วมกัน และทำงานให้สำเร็จลุล่วง และที่สำคัญคือส่งผลต่อความรู้สึกของพวกเขาขณะทำงานนั้นๆ
ในอดีต การระบุตัวตนได้รับการระดมทุนด้วยเหตุผลสองประการ:
1. เราจะรับสมาชิกใหม่เข้ามาอย่างรวดเร็วได้อย่างไร การรับรอง ไร้รอยต่อสำหรับทุกคน?
2. เราจะปฏิบัติตามข้อกำหนดและหลีกเลี่ยงการละเมิดที่มีค่าใช้จ่ายสูงได้อย่างไร
ตอนนี้มีไดรเวอร์ที่สามซึ่งแตกต่างไปจากเดิมอย่างสิ้นเชิงเกิดขึ้น: เราจะป้องกันภัยคุกคามที่เกี่ยวข้องกับตัวตนได้อย่างไร จำเป็นต้องมีทักษะใหม่และแนวคิดใหม่ที่อาจไม่สอดคล้องกับเป้าหมายด้านประสิทธิภาพหรือการปฏิบัติตามข้อกำหนดแบบเดิมเสมอไป
ในหลายกรณี ประสิทธิภาพมักสัมพันธ์กับความเสี่ยงที่เพิ่มขึ้น และมักเกิดผลกระทบจากการจัดเตรียมการเข้าถึงข้อมูลมากเกินไป ขอบเขตของการปฏิบัติตามข้อกำหนดนั้นแคบและลึกซึ้ง ในขณะที่ความปลอดภัยต้องการการมองเห็นและการควบคุมแบบเรียลไทม์ที่กว้างขวาง ด้วยลำดับความสำคัญที่แข่งขันกันเหล่านี้ ทีมระบุตัวตนจึงจำเป็นต้องพัฒนาเป็นทีมรักษาความปลอดภัยข้อมูลประจำตัวที่มีพันธกิจใหม่และเครื่องมือเฉพาะทาง
ในด้านความปลอดภัยส่วนใหญ่ วิวัฒนาการนี้ได้เกิดขึ้นแล้ว ทีมเครือข่าย ทีมปลายทาง และทีมคลาวด์ ต่างทำงานร่วมกันกับทีมรักษาความปลอดภัยเฉพาะทาง ซึ่งได้รับการสนับสนุนจากเครื่องมือที่สร้างขึ้นโดยเฉพาะ แต่ในด้านอัตลักษณ์ โมเดลดังกล่าวมักขาดหายไป ทีมที่จัดการระบบต่างๆ เช่น Active Directory, เอนทรา, หรือ Okta มักไม่ค่อยร่วมมือกับทีมรักษาความปลอดภัยเฉพาะทาง ซึ่งใช้เทคโนโลยีเฉพาะทางในการทำงาน พวกเขามักขาดเครื่องมือที่จำเป็นต่อการดำเนินงานที่เน้นความปลอดภัยเป็นอันดับแรก
เพื่อรับมือกับภัยคุกคามในปัจจุบัน จำเป็นต้องเปลี่ยนแปลงสิ่งนี้
เหตุใดเครื่องมือรักษาความปลอดภัยข้อมูลประจำตัวในปัจจุบันจึงไม่เพียงพอ
เนื่องจากความปลอดภัยของข้อมูลประจำตัวยังไม่มีการพัฒนาในระดับองค์กร เทคโนโลยีจึงล่าช้าเช่นกัน โดยเฉพาะเมื่อเปรียบเทียบกับสาขาวิชาความปลอดภัยอื่นๆ
ลองยกตัวอย่างการรักษาความปลอดภัยเครือข่าย เครื่องมือสมัยใหม่ไม่เพียงแต่ให้การมองเห็นที่ชัดเจน แต่ยังทำหน้าที่เป็นกลไกควบคุมสากลที่บังคับใช้มาตรการป้องกันทั่วทั้งสภาพแวดล้อม ทีมรักษาความปลอดภัยสามารถกำหนดและบังคับใช้นโยบายความปลอดภัยเชิงรุกเพื่อควบคุมความเสี่ยงและตอบสนองต่อภัยคุกคามแบบเรียลไทม์ การควบคุมเหล่านี้ถูกนำมาใช้อย่างสม่ำเสมอ เพื่อให้มั่นใจว่าไม่มีส่วนใดของเครือข่ายที่ทำงานอยู่นอกเหนือกรอบความปลอดภัยขององค์กร
อัตลักษณ์ไม่ได้มีวิวัฒนาการเหมือนกัน
เครื่องมือรักษาความปลอดภัยข้อมูลประจำตัวในปัจจุบันแบ่งออกเป็นสามประเภท:
- เครื่องมือที่ถือว่าการระบุตัวตนเป็นชุดของช่องโหว่ที่ต้องได้รับการแก้ไข (เช่น รหัสผ่านที่อ่อนแอ สิทธิ์พิเศษที่มากเกินไป บัญชีกำพร้า)
- เครื่องมือที่แยกบัญชีที่มีความเสี่ยง (เช่น การเข้ารหัสผ่าน PAM)
- เครื่องมือที่พยายามตรวจจับภัยคุกคามตามตัวตนและตอบสนอง (เช่น สคท)
โซลูชันเหล่านี้กระจัดกระจาย มุ่งเน้นเฉพาะแพลตฟอร์มคลาวด์ SaaS หรือแพลตฟอร์มการระบุตัวตนแบบเนทีฟ และมักถูกนำไปใช้งานแบบแยกส่วน ส่งผลให้ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่เหล่านี้ได้อย่างง่ายดาย
ที่สำคัญยิ่งกว่านั้น เครื่องมือเหล่านี้ไม่ได้ช่วยให้ทีมรักษาความปลอดภัยข้อมูลประจำตัวสามารถควบคุมความเสี่ยงได้ เครื่องมือเหล่านี้ช่วยให้ทีมสามารถรับมือกับภัยคุกคามได้อย่างทันท่วงที บังคับให้ต้องติดตามภัยคุกคาม แก้ไขหลังจากเกิดเหตุ และกำหนดระดับการควบคุมเพื่อรับมือกับสิ่งที่เกิดขึ้นแล้ว
ในสภาพแวดล้อมที่ซับซ้อนมากขึ้นในปัจจุบัน โมเดลดังกล่าวใช้ไม่ได้ผลเลย การปฏิบัติต่อข้อมูลประจำตัวเสมือนรายการค้างที่ต้องแก้ไข หมายความว่าการเปิดเผยข้อมูลจะยังคงดำเนินต่อไปจนกว่าทุกอย่างจะได้รับการแก้ไขอย่างสมบูรณ์แบบ ซึ่งเป็นสิ่งที่องค์กรใดๆ ก็ไม่สามารถทำได้จริง
การล็อกบัญชีที่มีความเสี่ยงสูงอาจช่วยลดความเสี่ยงได้ แต่โดยทั่วไปแล้วกระบวนการนี้ค่อนข้างยาก ส่งผลกระทบต่อประสบการณ์ของผู้ใช้ และไม่สามารถปรับขนาดได้อย่างมีประสิทธิภาพ แนวทางนี้ต้องอาศัยความสมบูรณ์แบบ ไม่ว่าจะเป็นการมองเห็นที่สมบูรณ์แบบ การดำเนินการที่สมบูรณ์แบบ และการครอบคลุมระบบสำคัญๆ ทั้งหมด ไม่มีบริษัทใดสามารถอ้างได้อย่างตรงไปตรงมาว่าตนเองบรรลุเป้าหมายดังกล่าวได้
การแก้ไขปัญหาการบุกรุกบัญชีนั้นต้องอาศัยมากกว่าการแก้ปัญหาแบบเดิมๆ จำเป็นต้องมีเทคโนโลยีรักษาความปลอดภัยข้อมูลประจำตัวแบบใหม่ ที่ให้ทีมสามารถควบคุมได้อย่างแท้จริง ปิดช่องโหว่เชิงรุก และให้คุณเป็นผู้ควบคุม
เราจะควบคุมได้อย่างไร?
ในปัจจุบัน การยืนยันตัวตนไม่ได้ถูกออกแบบโดยคำนึงถึงความปลอดภัยเป็นเป้าหมายหลัก ความปลอดภัยถือเป็นหัวใจสำคัญในการออกแบบเครือข่าย ไฟร์วอลล์ การแบ่งเซกเมนต์ และระบบควบคุมถูกสร้างขึ้นเพื่อจำกัดรัศมีการโจมตีและป้องกันภัยคุกคาม คุณคงไม่ยอมรับเครือข่ายที่ไม่มีระบบควบคุมความปลอดภัยในตัว แต่โดยทั่วไปแล้ว การยืนยันตัวตนมักถูกออกแบบมาเพื่อรับประกันความพร้อมใช้งานและความพร้อมใช้งาน สิ่งสำคัญคือการปฏิบัติงาน: ผู้ใช้จะสามารถเข้าสู่ระบบได้หรือไม่เมื่อจำเป็น? ระบบจะยังทำงานและรองรับธุรกิจได้หรือไม่? แนวคิดนี้สะท้อนถึงมรดกของอัตลักษณ์ในฐานะเครื่องมือขับเคลื่อนธุรกิจ ไม่ใช่การควบคุมความปลอดภัย
แต่ทำไมการตรวจสอบสิทธิ์จึงไม่สร้างโดยคำนึงถึงความปลอดภัยเป็นอันดับแรก?
ทำไมเราไม่เริ่มจากตำแหน่ง ปฏิเสธโดยค่าเริ่มต้น และ การนำมาตรการควบคุมความปลอดภัยมาบังคับใช้มาตรฐานความปลอดภัยให้สอดคล้องกับความเสี่ยงที่เรายอมรับได้จะช่วยลดรัศมีการโจมตี และลดความเสี่ยงที่บัญชีจะถูกบุกรุก
ลองนึกภาพว่าถ้าสิ่งเหล่านี้เป็นนโยบายเริ่มต้น:
- ต้องใช้ MFA สำหรับ ทั้งหมด การเข้าถึงโครงสร้างพื้นฐานที่ละเอียดอ่อน
- ปฏิเสธการเชื่อมต่อใด ๆ ที่ไม่ได้มาจากแหล่งที่เชื่อถือได้
- บล็อกการตรวจสอบสิทธิ์โดยใช้โปรโตคอลเก่าหรือไม่ปลอดภัย
เมื่อเราพิจารณาอัตลักษณ์ด้วยแนวคิดนี้ เกมจะเปลี่ยนไป ความเสี่ยงด้านความปลอดภัยจะลดความเร่งด่วนลง เพราะสภาพแวดล้อมถูกควบคุมโดยการออกแบบ การอธิบายความเสี่ยงให้ผู้บริหารเข้าใจง่ายขึ้น ไม่ใช่เพราะปัญหาหายไป แต่เพราะเราควบคุมวิธีการปกป้องอัตลักษณ์ได้
สิ่งนี้จะทำให้คุณ พื้นที่และเวลา ที่คุณต้องปรับปรุงภูมิทัศน์ตัวตนของคุณให้ทันสมัย ในขณะที่ยังคงควบคุมความเสี่ยงได้ทุกขั้นตอน—ไม่ว่าจะเป็นการนำข้อมูลประจำตัวชั่วคราวมาใช้ การมุ่งไปสู่สิทธิพิเศษที่ไม่ต้องมีการยืนยันตัวตน หรือการคิดใหม่เกี่ยวกับวิธีให้สิทธิ์เข้าถึง