在当今数字化时代，云计算技术的普及为组织带来了巨大的便利，然而，随着云计算的快速发展，一种新的安全挑战崭露头角:影子访问(ShadowAccess)。云安全联盟大中华区发布白皮书《识别影子访问：新兴的IAM安全挑战》，本文深入剖析了影子访问现象，并指出了它对云计算、身份和访问管理、数据保护等多个方面的威胁和潜在影响。作为一个新兴的安全挑战，影子访问的影响远不止于数据的泄露,还可能破坏数据完整性与影响组织合规性。

文末附报告获取方式

所谓影子访问，是指未经意或非预期的对资源、应用程序和数据的访问行为，如应用程序、网络和数据。由于云服务之间的访问和权限连接增加，以及基础设施和软件开发的自动化，导致账户和资源出现不正确或意外的权限。从小型到大型的组织经常发现，曾经安全的起点已经悄然演变成不安全的。

此外，在入职或创建账户时通常会克隆账户和权限的常见做法，也增加了影子访问问题，提供了并非真正需要的访问。这种现象的威胁逐渐凸显，对企业的数据安全和隐私构成潜在风险。

影子访问产生的主要原因，包括云计算技术的动态性、应用组件的复用、SaaS和第三方应用的广泛使用等。这些因素使得企业内的安全体系面临了前所未有的挑战，传统的安全控制手段已难以应对日益复杂的云环境。这种访问行为不仅仅可能导致数据泄露，还可能破坏数据的完整性，引发合规性问题。

影子访问产生的原因与IAM的演化密切相关。传统企业IAM（Identity and Access Management，身份和访问管理）系统已经部署了几十年，并且通常基于流行的服务或协议（如LDAP和Active Directory）构建。传统企业IAM系统为企业提供了一种集中、可靠的方式来管理用户身份信息和访问控制，确保只有经过授权的人员能够访问敏感数据和应用程序。云IAM（Identity and Access Management）与传统企业IAM之间的差异主要在于它们所处的位置和所服务的用户。云IAM位于云生态系统中，用于在云中创建和管理身份和访问，它存在于AWS、Google Cloud和Azure Cloud中。

在云计算时代，影子访问问题变得更加严重。随着组织越来越多地将应用程序和工作负载迁移到云中，他们需要跨多个云平台管理身份和访问。这导致了更多的访问和权限连接，从而增加了影子访问的风险。此外，随着DevOps和云原生架构的普及，自动化基础设施和软件开发也加速了影子访问问题的出现。

影子访问可能带来的广泛影响，不仅仅是数据泄露，还包括现有

• 安全工具无法识别云身份和访问路径
• 治理和可见性缺失导致IAM（身份和访问管理）困难
• 未被认知的访问路径为云数据的被利用创造了可能性
• 威胁行为者可以将可编程访问作为武器，引发远超数据泄露的伤害
• 连接云生态系统的第三方和SaaS应用引入了横向移动风险等

这些问题不仅威胁到企业的数据安全，也带来了合规性和政策管理上的难题。

为了解决影子访问问题，组织需要采取一系列措施来减少不必要的访问并加强身份验证和授权控制。

首先，组织应该实施最小权限原则，只为所需人员提供所需的访问权限。这可以通过限制对敏感资源的访问和使用强密码策略来实现。此外，组织还应定期审查和更新账户权限，以确保它们仍然有效且符合最佳实践。

此外，组织还应实施多因素身份验证（MFA），这是一种更安全的身份验证方法，要求用户提供额外的验证步骤才能登录账户。这可以大大减少未经授权的访问尝试并提高安全性。

另一个重要的步骤是监控和日志记录。组织应使用监控工具来跟踪和记录账户活动，以便及时发现任何可疑行为或未经授权的访问尝试。这有助于组织快速响应安全事件并采取适当的措施来防止进一步的数据泄露或其他安全事件发生。

同时，解决影子访问问题不仅仅是技术上的挑战，更需要组织内部加强安全意识培训、制定创新的安全政策，并提高应对新型威胁的能力。

最后，组织应与云服务提供商合作，以确保他们了解并解决影子访问问题。云服务提供商通常提供安全最佳实践和工具来帮助组织管理其身份和访问，确保安全性和合规性。

总体来说，影子访问问题的复杂性和严重性，应高度警惕这一安全风险，只有采取全面、创新的安全策略，才能在云计算的浪潮中确保信息安全，实现持续发展。本文不仅是对影子访问问题的警示，也是对解决这一挑战的思考和呼吁。在当今数字化时代，保护企业的数据资产变得愈发重要，保障数据安全，企业必须时刻保持警惕，不断创新，确保信息安全的可持续发展。

云安全联盟大中华区于2020年发布推出了零信任认证专家 ( Certified Zero Trust Professional，简称“CZTP”) ，经过3年的发展，零信任课程再度刷新升级零信任认证专家2.0版本。

零信任认证专家2.0（Certified Zero Trust Professional 2.0，CZTP 2.0 ）持续保持课程国际领先性、知识系统完整性，培养具有数字安全战略思维，架构思维及零信任安全实战能力的产业级专业人才，为数字安全的创新、零信任产业发展，提供人才支撑保障。