同事的筆記型電腦從辦公桌上消失的那天起，網路安全性對我來說變得真實了。我們在一家防禦承包商工作，而他下載了一份有關網路威脅的政府報告。他不知道的是，裡面還設有後門。當他出差回來時，機器連同他唯一的碩士論文副本都不見了，被安全小組沒收了。就在那一刻，威脅形勢從抽象概念轉變為具體現實。這堂關鍵的課讓抽象概念變得具體：網路攻擊的前線直接穿過我隔壁的辦公桌。
那是過去；這是現在
那段經歷從此塑造了我的觀點。時至今日，前線人員已從單一的辦公桌擴展到全球每個家庭辦公室、咖啡廳和機場休息室。由雲端應用程式、協力廠商和分散式員工組成的流動無邊界生態系統，已將傳統的實體邊界瓦解。
這個新現實對領導者帶來深刻的挑戰。當牆壁消失，安全性從何開始？答案就是身分。如果沒有明確的邊界，使用者的身分就是每個存取請求都必須經過的一個固定、單一的控制平面。身分已成為任何現代企業安全策略的核心。
身分是主要目標
我們的對手並沒有忽略這種轉變。當員工開始遠端工作時，攻擊者也相應調整策略。他們非常清楚地看到新機會：使用者在家中，通常使用安全性較低的網路，而且身分是最薄弱的環節。因此，身分成為最常受攻擊的媒介。憑證竊取和複雜的網路釣魚已從邊緣威脅演變成現代對手的核心策略。
當合法工作無處不在時，安全性團隊再也無法簡單地阻止未經核准地點的存取。如果網路罪犯竊取合法憑證，他們就可以不受限制地存取關鍵資源，幾乎不費吹灰之力。這是讓 CIO 和 CISO 長夜不能寐的一種情況。正如有人曾告訴我，網路釣魚是終極威脅，因為如果攻擊者拿到王國的鑰匙，所有其他安全控制—網路、端點和雲端—都將變得毫無意義。他們只需走進前門即可。
服務使用者的安全性
面對這樣的現實，我們必須以對手的速度發展防禦。幾年前，傳統的看法是部署任何形式的多重要素驗證 (MFA) 就能解決問題。12019 年的一項研究聲稱 MFA 可以阻止 99% 的網路釣魚嘗試。但在瞬息萬變的網路安全性世界中，這個建議已經過時，非常危險。今天，我們知道傳統的推送式 MFA 和 SMS 式 MFA 完全不足，因為敵人已經發展出精密的技術來繞過這些驗證。
雖然 MFA 仍然是安全的重要一層，但我們現在必須專注於驗證方法的品質和保證層級。在 Okta，我們將策略重心放在更智慧、更流暢的現代方法。在職業生涯中，我第一次可以自信地說，我們可以大幅提升安全標準，同時改善終端使用者的體驗。關鍵在於擺脫繁瑣、充滿摩擦的驗證方法，並採用人們每天都在使用的防網路釣魚生物辨識技術。
很多人沒有意識到的是，簡單的 Face ID 或 Touch ID 其實已經是多重要素了。它結合了身分（生物特徵）與您擁有的東西（註冊裝置），在單一、順暢的動作中提供高度的信任。目標是要創造一種體驗，讓您感覺安全的障礙更像是換行鍵—您只需完成步驟，便能順利進入。
將使用者安全性延伸至企業
對於企業而言，我們可以更進一步。除了防網路釣魚認證之外，我們還可以從裝置本身收集豐富的情境訊號，提出類似問題：它是受管理的裝置嗎？它有正確的安全性態勢嗎？是否與 XDR 解決方案整合？由此，我們可以建立完整的風險畫面，在幕後做出更聰明的存取決策。這就是在 Okta 工作背後的理念：提供安全、無密碼的驗證，帶來深遠的文化勝利，將安全從阻礙者轉變為推動者。
想要聽取更多有關此主題的資訊嗎？在 Threat Vector Podcast 收聽與 Jamie 未經編輯的完整對話。
1「只需採取簡單的行動，就能預防 99.9% 針對您帳戶的攻擊」，Microsoft 安全性，2019 年 8 月 20 日。
