Само защото някой (или нещо) има достъп до корпоративните ви ИТ системи, не означава, че автоматично трябва да получава неограничен достъп навсякъде. Вместо това компаниите трябва да попитат какво всъщност могат да правят тези, на които е предоставен достъп.
Протоколи като MFA, SSO и други отговарят добре на въпроса „кой“, но какво могат да правят с този достъп остава загадка.
Разрастването на ИТ инфраструктурата носи част от вината. Между облачните платформи, SaaS приложенията, хранилищата за данни и локалните (on-prem) системи е достатъчно трудно просто да се следи на кого се предоставя достъп. Средният служител притежава впечатляващите 96 000 разрешения (entitlements) според доклада за 2026 г. State of Identity & Access на ServiceNow. При такива обеми е невъзможно да се определи кой достъп е легитимен и кой трябва да бъде ограничен, което нарушава самия принцип за най-малките привилегии.
Прекомерните привилегии, забравените права и неактивните акаунти създават пролука в оторизацията — слепо петно между автентикацията и действителните права за достъп. Резултатът е незащитена повърхност за атака, която атакуващите могат да използват, за да получат достъп до критични ресурси и чувствителни данни.
Възползвайки се от тази пролука в автентикацията, пробивите, базирани на идентичност, са основно притеснение за CISO и CIO ръководителите. Наред с управлението и контрола на изкуствения интелект (AI governance), IAM е ключов приоритет за киберсигурността през 2026 г. Ето защо Forrester прогнозира, че свързаните разходи ще достигнат приблизително 27,5 милиарда долара до 2029 г.
Защо разликата между автентикация и оторизация е от значение
Контролът на достъпа, базиран на атрибути (ABAC), обещаваше решение чрез динамични и съобразени с контекста политики, но е по-труден за внедряване, одит и скалиране, тъй като правилата и атрибутите се мултиплицират с течение на времето. В допълнение, автентикацията, базирана на роли, е част от протоколите за киберсигурност от известно време, но този подход не работи в днешната среда, тъй като нуждите на служителя от достъп се променят с течение на времето с нови роли или дори промени на длъжността.
Твърде често ролята на служителя може да се промени, но правата му за достъп остават същите — факт, който докладът на ServiceNow илюстрира добре: 38% от акаунтите при доставчиците на идентичност са останали активни дори след поне 90 дни неактивност. Докладът групира проблематичните права за достъп в четири категории: прекомерни привилегии, остатъчни, неуправлявани и нарушаващи политиките, като всички те допринасят за значителен „дълг от идентичности“ (identity debt).
Става все по-очевидно, че простото справяне в директория с това кой има права, не е достатъчно. Графът на достъпа (access graph) показва пълната верига от разрешения — потребители, групи, роли, политики и ресурси — и свързва идентичността и достъпа с постоянен надзор и допълнителен контекст.
Машинните идентичности мултиплицират предизвикателството
Нечовешките идентичности (NHIs), които включват API ключове, токени на сервизни акаунти, сертификати, тайни (secrets), ботове, скриптове и машинни/работни идентичности (workload identities), само мултиплицират проблемите със сигурността, както правят и AI агентите.
Не е веднага ясно до кои активи имат достъп и контролират — и кога. Едва 0,01% от идентичностите, анализирани за доклада на ServiceNow, контролират 80% от облачните ресурси.
И тъй като нечовешки идентичности като AI агенти могат също да имат правомощия да извършват автономни действия със сериозни последствия, те се нуждаят от особено контролиран подход към достъпа. Управлението (governance) също е важно, защото хората притежават AI идентичностите и диктуват тяхното поведение относно това какво могат и какво не могат да правят.
Данните за видимостта относно потенциалния радиус на поражение (blast radius) на даден агент, собствеността, най-малките привилегии и управлението на жизнен цикъл стават все по-важни с ускоряването на внедряването на AI.
Преминаване към непрекъсната сигурност на идентичността
Вместо спорадични периодични сертификации, които може да не улавят напълно променящите се оторизации за достъп, предприятията трябва да преминат към непрекъсната сигурност на идентичността. Като част от стабилна IAM стратегия, подобен подход ще включва картиране на действителния достъп; идентифициране на прекомерни или неактивни разрешения; приоритизиране на най-рисковия достъп; и автоматизиране на отнемането и отстраняването на проблеми според необходимостта.
Ключът тук е процесът да се превърне в непрекъснат цикъл, особено когато идентичностите, приложенията и разрешенията се променят. Резултатът е цялостна (end-to-end) видимост, управление и автоматизирано отстраняване на проблеми в цялата повърхност за атака на идентичностите. Съответствието с регулациите (compliance) също се улеснява с непрекъснатото управление на идентификацията и достъпа.
Целта е да се картира пълният обхват от разрешения за всички идентичности, независимо дали са хора, нечовешки субекти или AI агенти. Организациите могат да внедрят по-интелигентни одобрения, като приоритизират случаите за преглед в зависимост от степента на потенциалните щети, които неоторизираният достъп може да причини. Чрез свързване със системите, използвани от предприятията (облак, SaaS, локални или персонализирани приложения), екипите по сигурност могат да отнемат неоторизиран достъп и да автоматизират процеса чрез работни потоци (workflows).
Очаква се разрастването на ИТ инфраструктурата да продължи и в бъдеще, излизайки извън периметъра на предприятието, за да включи облака, API извикванията, SaaS програмите и други. Като се добави и дългият списък от идентичности, включително тези от машинни операции и AI агенти, става очевидно, че статичен протокол за разрешения няма да свърши работа. Компаниите трябва да знаят както кой получава права за достъп до техните системи, така и до какво точно има достъп.