身分安全是保護數位身分並控制人員與裝置如何存取系統與資料的實務。身分安全整合驗證、存取控制、身分治理、持續監控與威脅偵測，確保只有受信任的使用者與裝置能存取敏感資源。
什麼是數位身分？
數位身分是用以識別某個人、裝置或系統在線上的一組帳號、屬性與權限。它決定誰或什麼可以存取數位資源，以及被允許執行哪些操作。
數位身分不限於人。裝置、應用程式、服務帳號、機器人和 AI 代理也能擁有數位身分，讓它們能與系統與資料互動。常見例子包括電郵帳號與社交媒體檔案；身分也可能涵蓋職場登入和個人使用的雲端服務。
數位身分的範圍比單一帳號更大。一個人可能在不同服務上擁有數十個帳號，這些帳號共同構成該人的整體數位身分。
- 身分安全透過驗證誰能存取帳號、應用程式、系統與資料來保護數位身分。
- 人、裝置、應用程式、機器人與 AI 代理皆有需要管理與保護的數位身分。
- 大多數身分攻擊始於被盜的憑證或過多的權限，使攻擊者能冒充合法使用者。
- 通行金鑰（passkey）、多重驗證（MFA）、強密碼以及最少權限原則是降低以身分為基礎風險的有效方式。
- 身分安全是持續性作業。將驗證與存取控制、持續監控結合，對偵測可疑行為至關重要。
身分安全與身分與存取管理（IAM）有何不同？
身分與存取管理（IAM）是一套用於建立數位身分並控制對系統與應用程式存取的流程與技術，重點在於確保合適的人在合適的時間能存取合適的資源。
身分安全則建立在這些基礎之上，加入持續監控，包括持續的威脅偵測與事件回應。這些資安措施亦有助於識別已被入侵的帳號與攻擊行為。
IAM 因此是身分安全的核心組成部分，不應被視為彼此對立或替代。
|
身分與存取管理（IAM） |
身分安全 |
|
建立並管理數位身分 |
在整個生命週期保護數位身分 |
|
驗證使用者並控制存取 |
監控身分以發現可疑活動與被入侵情況 |
|
授與並移除權限 |
偵測、調查並回應以身分為基礎的威脅 |
|
聚焦於存取管理 |
將存取管理與治理、監控及威脅防護結合 |
完整的身分安全計畫通常結合四個互補領域：
- 身分與存取管理（IAM）：建立數位身分並管理對系統與應用程式的存取。
- 高權限存取管理（PAM）：保護具有關鍵系統與敏感資料高權限的帳號。
- 身分治理與管理（IGA）：協助組織管理身分生命週期與存取稽核，確保使用者在任何時候擁有適當的存取權。
- 身分威脅偵測與回應（ITDR）：持續監控身分以發現可疑活動，並協助偵測與回應以身分為基礎的攻擊。
這些組成項目共同幫助組織預防以身分為基礎的攻擊，並在帳號或身分遭到妥協時迅速透過變更權限或撤銷存取來回應。
身分安全如何運作？
身分安全是個持續的流程，在使用者在系統前、存取期間與存取後都保護數位身分。它不只是於登入時檢查使用者名稱與密碼；而是持續驗證身分並監控活動，系統能對可疑行為做出回應。
身分安全建立在「信任不應是永久的」這個理念上。使用者可能在熟悉的裝置上成功登入，但同一帳號若在不熟悉的國家嘗試登入或在不尋常時間存取敏感資料，便可能需要額外驗證。此方法支持最少權限原則（使用者只獲得完成工作所需的存取）和零信任（Zero Trust，假定每次存取請求都應被驗證，而非自動信任）的原則。
驗證與存取控制
驗證可確認使用者或系統是否為其聲稱的身分。這可能包括密碼、通行金鑰（passkey）、生物特徵識別（例如指紋或臉部辨識），或實體安全金鑰。多重驗證（MFA）透過要求兩種或以上的驗證方式，增加另一層防護。
授權則決定在身分被確認後可存取的項目。身分安全遵循最少權限原則：使用者與裝置僅授予執行特定任務所需的權限。限制不必要的存取能降低帳號遭妥協時的影響。
監控與回應
身分安全不會在使用者登入後就結束，因為僅有驗證無法偵測所有以身分為基礎的攻擊。因此會持續監控帳號活動，尋找身分可能被妥協的跡象。
可疑活動可能因來自不熟悉裝置或不尋常地點的登入而被標記。任何非典型的帳號行為都可能顯示可疑活動，系統接著可能要求額外驗證、暫時或永久封鎖存取，或撤銷被妥協的憑證直到事件調查完成。
何謂身分安全態勢管理（ISPM）？
身分安全態勢管理（ISPM）是對組織環境中身分、權限與與身分相關風險的持續評估。
ISPM 幫助資安團隊識別過多的權限和錯誤設定的存取控制，也能找出不再屬於在職使用者的孤兒帳號，並在攻擊者利用前偵測其他弱點。ISPM 補強身分與存取管理（IAM），協助組織持續改善身分基礎設施的安全性。
主要的身分安全威脅有哪些？
大多數以身分為基礎的攻擊並不依賴入侵系統；攻擊者試圖取得合法存取或濫用已擁有過多權限的身分。理解這些常見攻擊路徑，有助於說明為何身分安全聚焦於驗證身分、控制存取與持續監控活動。
被盜憑證與帳號接管
許多身分攻擊始於被盜的憑證。網絡罪犯可能透過網絡釣魚（phishing）偷取使用者名稱與密碼，或使用憑證填充（credential stuffing）在多個站點測試外洩的憑證。當使用者在不同帳號重複使用相同密碼時，這類手法尤為有效。
攻擊者也可能利用多重驗證疲勞（MFA fatigue）；使用者被大量認證請求轟炸，直到誤按批准為止。攻擊者也會劫持活動會話以繞過登入程序。
一旦攻擊者取得已驗證的存取，他們的行為可能看似來自合法使用者。強化驗證與具抗網絡釣魚性的登入方式可大幅降低這些風險。
過多或過時的存取權限
並非所有身分威脅都涉及憑證被盜。有時最大的風險是使用者或帳號已擁有超出需求的存取權限。不必要的權限或升級權限會構成安全風險。
攻擊者常試圖濫用這些權限橫向移動，進而到達更有價值的系統與資料。應用最少權限原則並定期檢視存取權限能限制被妥協身分能造成的破壞範圍。
機器身分與 AI 代理
需要保護的不僅有人類身分；組織也依賴服務帳號、API 金鑰、自動化機器人（bots）、應用程式，以及日益增多的 AI 代理來執行例行任務並與其他系統通訊。
若非人類的身分擁有過多權限或所有權不明，同樣可能被妥協。機器身分應如同人類身分般在整個生命週期中進行監控與管理，且僅授予完成預定功能所需的存取權。
身分安全是否等同於身分盜用防護？
不一樣。兩者聚焦的風險類型不同。
身分安全關注保護數位身分並控制對帳號與資料的存取，透過監控與驗證來防止未經授權的存取。
身分盜用防護則偏重於偵測或預防個人或財務資訊被詐騙使用，包含監控被盜個人資料或有人濫用身分的跡象。
當然兩者會重疊：例如被釣魚攻擊導致的帳號接管，可能進一步用於身分詐騙。辨別你面臨的是未經授權的帳號存取還是身分盜用，有助於採取最適當的回應措施。
如何提升身分安全？
提升身分安全就是減少不必要的存取並強化身分的驗證與監控。個人可從最重要的帳號開始著手，組織則可採用身分安全解決方案，在使用者、裝置、應用程式與服務間一致地管理存取。
個人可採取的步驟
- 在重要帳號啟用通行金鑰（passkey）或多重驗證（MFA）。
- 為每個帳號建立唯一密碼並安全地存放於密碼管理員（password manager）。
- 定期檢查活躍工作階段、信任裝置、已連結的應用程式與帳號復原方法。
- 優先保護能控制其他帳號存取權的帳號，例如主要電郵帳號與你的密碼管理員。
- 刪除未使用的帳號並移除不必要的應用程式權限，以降低攻擊面。
組織可採取的步驟
- 維護所有人類與非人類身分的清單，應包括服務帳號與 API 金鑰。
- 應用最少權限原則並加強對特權帳號的保護。
- 自動化帳號配置、權限變更與存取移除流程，隨員工加入、角色變更或離職時同步處理。
- 持續監控可疑身分活動，並在發現風險時盡速撤銷存取。
- 為每個非人類身分指定明確擁有者與用途，避免未使用或無人管理的帳號成為安全風險。
如果你的數位身分被妥協，應該怎麼做？
如果懷疑你的數位身分或其中一個帳號被妥協，請迅速採取行動。首要任務是恢復受影響帳號與任何相關帳號的控制權。立即採取幾項簡單步驟，可明顯降低帳號妥協的影響。
- 保護受影響帳號：立即更改密碼，或在服務支援時切換為通行金鑰（passkey）。
- 登出所有活動工作階段，並移除帳號中任何不熟悉的裝置。
- 啟用多重驗證（MFA）並確認復原電郵地址與電話號碼沒有被更改。
- 移除未知的已連結應用程式或第三方整合，避免持續存取。
- 檢查你的其他帳號是否有可疑活動。
- 從主要電郵帳號開始更改重複使用的密碼，因為主要電郵通常控制其他服務的存取。
- 優先檢查你的銀行帳戶及其他工作或線上帳號是否有未經授權的活動或變更。
- 若懷疑敏感資訊或財務帳戶受影響，聯絡相關單位（例如銀行的反詐騙部門）。
- 密切監控後續登入嘗試與任何身分詐騙跡象；若發現更多可疑活動，立即採取行動。
延伸閱讀:
推薦產品:
FAQs
身分安全能阻止所有網絡攻擊嗎？
身分安全無法阻止所有網絡攻擊，但透過驗證身分、限制存取並偵測可疑活動，可大幅降低帳號被妥協的風險。
何謂最少權限原則？
最少權限原則意指僅授予使用者、裝置與應用程式執行其工作的最低必要存取權，以降低帳號被妥協時的影響。
為何身分安全對雲端運算很重要？
雲端服務依賴數位身分來控制存取。身分安全能確保只有經授權的使用者與系統可以存取雲端資料與資源。
什麼是機器身分？
機器身分是指分配給應用程式、裝置、服務帳號、機器人與 AI 代理的數位身分，讓它們能安全地驗證並與其他系統通訊。
