身份即服务(IDaaS)是一种基于云的身份管理和身份验证服务，它为组织提供了一种安全有效的方式来管理和规范用户身份以访问数据, 服务, 和应用程序. 它主要有助于确定:
- 是否允许并授权用户登录到IT工作负载;
- 如果用户以最小权限为基础被分配到特定的角色;
- 以及记录活动的日志，以追踪任何妥协或滥用行为.
IDaaS可以为组织提供的一些好处包括增强安全性, 简化的合规, 高效的用户管理. 对于在今天的工业4中运作的组织.0 -代表包含自动化的系统集成, 机器人控制和大数据分析(idaas)尤其重要. 然而, IDaaS的使用也会对审计产生影响, 组织必须遵循最佳实践，以确保他们成功地管理与IDaaS相关的风险.
IDaaS对审计的影响
采用IDaaS可能对审计产生重大影响, 因为它改变了组织管理用户身份和访问其应用程序和it工作负载的方式.
传统上, 使用本地解决方案管理用户身份和访问管理, 哪些是审计师通常审计的. 然而, 采用了IDaaS, 用户身份和访问管理现在在云中进行管理, 或者混合解决方案, 这会给审计带来新的风险和挑战——主要的挑战是审核员现在必须额外验证组织是否有适当的控制措施来管理与IDaaS相关的风险.
审核员需要评估组织是否对所有应用程序实现了适当的身份验证和访问控制, 因为基于云的IDaaS可能无法与本地应用程序兼容和集成. 此外，它们可能没有很多传统IAM工具的高级功能，如自助服务等.
需要认识到的另一个方面是，凭证不再隐藏在公司防火墙网络之后，因此暴露在互联网上. 与此同时，人们越来越关注数据隐私和安全，并出台了大量与GDPR相关的新法规, CCPA和英国的数据保护和数字信息法案, 这会影响数字验证, 泄露事件的潜在影响和披露要求. 因此，必须充分了解身份保护与安全风险容忍度的关系.
IDaaS最佳实践
为了有效地管理与IDaaS相关的风险，并确保它们满足其安全性和合规性风险概况, 组织应该实施IDaaS最佳实践. 以下是IDaaS的一些最佳实践:
- 选择知名且经验丰富的IDaaS解决方案供应商除了定价和客户支持, 组织应该进行尽职调查，并选择一个有足够的客户参考，可靠的供应商，并以良好的跟踪记录和健全的安全原则而闻名.
- 实现用于身份管理和身份验证的密钥控制: SSO(单点登录)和MFA(多因素身份验证)是控制的几个例子，它们通过请求用户拥有的东西和用户知道的东西来提供额外的保护层. 另外, 实现允许及时检测安全事件的日志，并利用智能高级分析功能来洞察访问权限的使用情况.
- 对员工进行IDaaS最佳实践培训:这将确保他们遵循采用和管理IDaaS工具所需的所有预防措施, 他们正确地管理用户身份以及对应用程序和数据的访问. 这可以包括密码管理、访问控制策略和安全意识方面的培训.
- 实施灾难恢复和业务连续性计划:在任何停机或灾难的情况下, IDaaS解决方案应该有灾难恢复和业务连续性计划，以确保数据和访问控制不会受到损害, 确保运行顺畅.
总之, IDaaS被广泛使用，因为它为组织提供了广泛的好处, 包括提高安全性, 简化遵从性和高效的用户管理. 因为云技术被广泛采用, 组织正在寻找健壮和动态的IAM替代方案来支持和服务他们的异构生态系统. 就像任何技术或服务一样, 在实现IDaaS时需要考虑一些基本因素, 组织不应该在没有仔细考虑的情况下进行.
编者按: 从ISACA找到更多与审计相关的资源 在这里.
