Про що ви дізнаєтеся
Більшість програм із захисту ідентифікаційних даних були розроблені для світу, якого вже не існує. Виявлення ідентифікаційних даних виявляє нові «сліпі зони»: саме там починаються порушення безпеки.
Якщо запитати керівника служби інформаційної безпеки (CISO), що не дає йому спати вночі, відповідь, як правило, не буде «нестача інструментів». Це — невизначеність.
Невизначеність щодо того, чого вони не бачать.
Невизначеність щодо того, як далеко може проникнути зловмисник, потрапивши всередину.
Невизначеність щодо того, чи дійсно програми управління ідентифікацією знижують ризик — чи лише усувають симптоми.
Виявлення ідентифікаційних даних лежить в основі цієї невизначеності. Це не надто приваблива сфера. Їй не приділяють такої ж уваги, як системам виявлення на основі штучного інтелекту чи ініціативам «нульової довіри». Але саме вона є основою ефективного зниження ризиків.
Без всебічного огляду всіх ідентифікаційних даних у середовищі програми безпеки ідентифікаційних даних мають «сліпі зони». А саме в цих «сліпих зонах» і починаються порушення безпеки.
Прогалина у видимості в сучасній системі захисту ідентифікаційних даних
Більшість програм захисту ідентифікаційних даних розроблялися для більш простого світу: централізованого каталогу, чітко визначеного персоналу та чіткої межі між внутрішнім і зовнішнім середовищем. Цього світу більше не існує.
Наразі робочі навантаження динамічно переміщуються між мультихмарними середовищами. Команди розробників розгортають інфраструктуру за допомогою коду. Конвеєри CI/CD автоматично створюють і видаляють ресурси. Додатки SaaS поширюються по всіх підрозділах. А зараз агенти штучного інтелекту та інтеграції з великими мовними моделями впроваджуються у виробничі середовища з безпрецедентною швидкістю.
Кожна з цих змін породжує нові ідентичності.
І це стосується не лише користувачів-людей, а й службових облікових записів, ролей у хмарі, ідентичностей робочих навантажень, ключів API, токенів, сертифікатів, ботів автоматизації та агентів на базі штучного інтелекту. Ці ідентичності створюються програмно, часто з широкими правами доступу для забезпечення функціональності. Вони дублюються в різних середовищах, успадковуються через вкладені ролі, а іноді залишаються після завершення проєктів.
Команди з безпеки можуть бачити окремі елементи цієї активності. Вони помічають нову роль в AWS. Вони бачать новий об’єкт доступу в Entra. Вони виявляють новий обліковий запис служби Kubernetes. Але бачити, що щось існує, — це не те саме, що розуміти, на що воно здатне.
Справжнє питання полягає не в тому, «чи існує ця ідентифікація?», а в тому, «до чого вона має доступ — і до чого вона може отримати доступ надалі?»
Зловмисники саме і користуються цією неоднозначністю. Сучасні злами часто починаються не з експлойтів «нульового дня». Вони починаються з викрадених облікових даних або неправильно налаштованих прав доступу. Далі зловмисники рухаються вбік, використовуючи надмірні привілеї, довірчі відносини та шляхи успадкування ідентифікаційних даних, які команди з безпеки не змогли повністю проаналізувати.
Якщо метою є зниження ризиків, на перше місце має вийти прозорість.
Сплеск ідентифікаційних даних має структурний, а не тимчасовий характер
Масштаб проблеми ідентифікації не є поступовим. Він має структурний характер.
За даними Delinea Labs, у 2025 році на один людський обліковий запис в середньому припадає приблизно 46 нелюдських облікових записів. Це співвідношення кардинально змінює підхід організацій до ризиків, пов’язаних з ідентифікацією.
Кількість нелюдських об’єктів зараз у рази перевищує кількість людей. До них належать об’єкти хмарних робочих навантажень, облікові записи служб, скрипти автоматизації, токени API, контейнери, боти RPA, а також, дедалі частіше, агенти штучного інтелекту, що діють напівавтономно. Вони проходять автентифікацію, запитують ресурси, звертаються до API та отримують доступ до систем, що містять конфіденційну інформацію — часто без безпосередньої взаємодії з людиною.
Проте багато організацій досі використовують для управління ними набір застарілих інструментів. Система управління привілейованим доступом (PAM) відповідає за певні адміністративні облікові записи. Платформи IAM регулюють доступ співробітників. Засоби захисту кінцевих точок забезпечують безпеку пристроїв. Інструменти виявлення загроз ідентичності та реагування на них відстежують підозрілу активність.
Кожне рішення має своє призначення. Але кожне з них також функціонує у своїй ізольованій системі. Не існує єдиної загальної платформи ідентифікації, де кожну ідентичність — людину, машину та штучний інтелект — можна було б розглядати в контексті.
Як наслідок, організації не можуть дати відповідь на основні питання щодо ризиків. Вони переключаються між різними консолями. Вони вручну узгоджують дані з різних платформ. Вони намагаються об’єднати взаємозв’язки щодо доступу між хмарними провайдерами та системами ідентифікації. Тим часом кількість ідентифікаційних облікових записів продовжує зростати.
Проблема полягає не у відсутності інструментів, а у відсутності єдиного огляду ситуації.
Перехід до видимості та висвітлення
Стратегічне виявлення ідентичності вимагає не лише періодичних перевірок чи статичних інвентаризацій. Воно вимагає безперервного та всебічного охоплення усього життєвого циклу ідентичності.
Для цього організації повинні насамперед забезпечити повне охоплення ідентичностей. Кожна ідентичність — чи то ІТ-адміністратор, розробник, звичайний користувач, обліковий запис служби, ідентичність робочого навантаження чи агент штучного інтелекту — має бути визначеною одразу після створення. Видимість не може з’являтися через тижні чи місяці після розгортання. Вона має бути миттєвою.
Однак самого виявлення недостатньо. Щодо кожного облікового запису організації повинні розуміти його стан. Чи надано йому надмірні привілеї? Чи є він застарілим або неактивним? Чи не перебуває він без нагляду або не захищений? Чи порушує він політику безпеки? Чи створює він ризик горизонтального переміщення?
Аналіз стану перетворює інформацію про об’єкти на аналітичні дані. Це дозволяє керівникам служб безпеки визначати пріоритетність заходів з усунення порушень, спираючись на реальні ризики, а не на припущення.
По-друге, видимість ідентифікаційних даних має поширюватися на всі гібридні середовища. Сучасні підприємства використовують мультихмарні платформи, локальну інфраструктуру, екосистеми SaaS та конвеєри DevOps. Такі постачальники ідентифікаційних послуг, як Okta, Ping та Microsoft Entra, використовують власні моделі доступу та ієрархії дозволів. Хмарні провайдери застосовують власні структури ролей та політик.
Без можливості бачити ситуацію в різних середовищах організації неправильно оцінюють ризики, оскільки бачать лише окремі фрагменти. Один обліковий запис може виглядати таким, що відповідає вимогам в одній системі, але мати надмірні привілеї в іншій. Ідентифікаційні дані сервісу можуть регулюватися в локальному середовищі, але залишатися без нагляду в хмарному середовищі. Агент штучного інтелекту може проходити автентифікацію через одного постачальника, але отримувати доступні права на декількох платформах.
Справжня гібридна видимість усуває ці ізольовані сегменти та виявляє повну площину атаки на ідентифікаційні дані.
По-третє, і це найважливіше, організації повинні розуміти взаємозв’язки між ідентифікаційними даними. Ризик полягає не лише в окремих облікових записах — він полягає в тому, як ідентифікаційні дані пов’язані між собою.
Успадкування прав доступу, заздалегідь визначене членство в групах, відносини довіри, прив’язка політик та міжоблікових дозволів створюють приховані шляхи ескалації. Ці взаємозв’язки часто залишаються непомітними на традиційних інформаційних панелях.
Саме тут графічне відображення ідентифікаційних даних стає незамінним.
Графік ідентифікацій відображає взаємозв’язки між ідентифікаціями, а також їхні зв’язки з ресурсами, до яких вони мають доступ. Він показує не лише те, до чого ідентифікація має прямий доступ, а й те, до чого вона має доступ опосередковано. Він демонструє ланцюги ескалації, шляхи горизонтального переміщення та небезпечні помилки в налаштуваннях ідентифікацій.
Це утворює загальну площину ідентифікацій — уніфіковану модель, у якій ідентифікації, шляхи доступу та стан безпеки відображаються у контексті.
Важливо, що така наочність корисна не лише фахівцям з ідентифікації. Якщо графік ідентифікації чітко структурований, ним можуть користуватися команди SecOps під час розслідування інцидентів, команди з управління ризиками під час оцінки вразливостей, а також команди з дотримання нормативних вимог під час перевірки ефективності заходів контролю. Це робить інформацію про ідентифікацію доступною для всіх підрозділів організації.
Питання безпеки ідентифікації на рівні ради директорів
Питання безпеки ідентифікації вийшло на рівень ради директорів. За даними Gartner, 84% організацій розглядають безпеку ідентифікації як питання, що належить до компетенції ради директорів, а не як суто технологічну проблему.
Керівництво все частіше вимагає від керівників служб інформаційної безпеки (CISO) кількісної оцінки кіберризиків. Воно потребує вимірюваних показників рівня вразливості, прогресу та стійкості. Воно прагне отримати чітке уявлення про впровадження штучного інтелекту та ризики, пов’язані з ідентифікацією машин. Воно очікує не лише технічних пояснень, а й стратегічного бачення. Виявлення ідентифікаційних об’єктів дає можливість керівникам служб інформаційної безпеки відповісти на два ключові запитання щодо кожного ідентифікаційного об’єкта в організації:
- До чого має доступ цей ідентифікаційний об’єкт?
- І до чого він отримає доступ у майбутньому?
З часом права доступу змінюються. Ролі накопичуються. Політики перетинаються. Системи штучного інтелекту запитують додаткові дозволи. Розробники повторно використовують облікові дані або жорстко вбудовують їх у програми. Тимчасовий доступ стає постійним. Без постійного контролю за тим, як змінюється доступ, організації не можуть точно оцінити наслідки порушення безпеки.
Членам ради директорів не обов’язково розуміти кожну технічну деталь. Однак їм необхідна впевненість у тому, що ризики, пов’язані з витоком ідентифікаційних даних, оцінюються, відстежуються та з часом зменшуються. Їм потрібні докази того, що проблема облікових записів із надмірними правами вирішується. Їм потрібна прозорість щодо ризиків, пов’язаних з ідентифікаційними даними машин та штучного інтелекту. Їм необхідно бачити, що стан безпеки ідентифікаційних даних поліпшується, а не залишається на тому ж рівні.
Повна прозорість стану ідентифікації перетворює безпеку ідентифікації з оперативного контролю на стратегічну дисципліну управління ризиками.
Чому виявлення має бути на першому місці
Багато організацій намагаються запровадити принцип мінімальних привілеїв, здійснювати ротацію секретних даних або розгортати засоби виявлення загроз, не забезпечивши попередньо всебічного виявлення. Ці заходи є цінними, але без нагляду вони є неповними.
- Неможливо зменшити надмірні привілеї, якщо не знати, де вони існують.
- Неможливо усунути тіньових адміністраторів, якщо їх не бачити.
- Неможливо управляти ризиками, пов’язаними з ШІ, якщо ідентифікаційні дані ШІ не піддаються виявленню.
Виявлення ідентифікаційних даних є необхідною передумовою для автоматизації, управління та отримання значущих показників. Воно встановлює базовий рівень, виявляє прогалини, визначає пріоритетність заходів з усунення недоліків та надає дані, необхідні для демонстрації прогресу з часом.
У середовищі загроз, яке дедалі частіше характеризується зловживанням обліковими даними, а не експлойтами програмного забезпечення, прозорість ідентифікаційних даних не є додатковою опцією. Це фундаментальна вимога.
Від невизначеності до стратегічної впевненості
Керівники служб безпеки не потребують нових інструментів. Їм потрібна ясність. Вони хочуть стояти перед своїми радами директорів і впевнено говорити про вразливість ідентифікаційних даних, зростання кількості машинних ідентифікаторів, управління штучним інтелектом та вимірюване зниження ризиків.
Виявлення ідентичностей забезпечує цю ясність.
Виявляючи кожну ідентичність людини, машини та ШІ, відображаючи взаємозв’язки доступу в гібридних середовищах та відстежуючи стан безпеки з часом, організації створюють єдину площину ідентичностей. У межах цієї площини ризик стає видимим. А коли він стає видимим, ним можна керувати.
Джерело: Identity discovery: The overlooked lever in strategic risk reduction
