(1) 整合式認證授權管理平台：資安永保安康之鑰

在上期的專欄中，我曾強調單一登入(single-sign on)是邁向資訊系統安全整合的最後一哩。那麼資安的核心基礎設施又該如何打造呢？怎樣的建構步驟是最有效率又切合企業尋求穩定轉換的期盼呢？

我們提出的主張是：建立「身份認證管理平台」。而在建立管理平台的過程中，企業必須把相關的資訊安全標準認證(例如ISO、BS7799或巴塞爾II等)納入授權控管的政策當中。

事實上在我們的業務接洽經驗中，無論是高度講究安全但應用系統複雜的金融服務業，或是使用者流動率極高的教育領域客戶，他們都有不可迴避的舊包袱──那就是各種應用系統的身分授權各行其道，甚至無法清楚地把每一個使用者涉及的相關身分認證資料表列於文件。

然而，許多資訊主管也曾明確表示，如果建置新管理平台的方式是要推翻現有應用程式的身分認證，另起一套新爐灶，免談。先姑且不論最後能否達到安全的目標，單是轉換過程可能無法確保使用者百分百成功登入系統，就足以令人怯步。試想，當銀行櫃檯員無法登入存提款系統，會造成怎樣的混亂和損失呢？

因此，真正符合企業需求的做法，是在不更動原有應用程式的身分授權的前提下，將這些認證方式集中整合到新的管理平台；另一方面，因應明後年業務需求而導入的新應用系統，則需符合新的身分認證規範，以最有效率的方式直接鏈結到管理平台進行認證授權。有了這套融舊納新的整合機制，企業便能輕而易舉地提供最前端的使用者身分與密碼單一登入，從容管理繁複又龐雜的使用者身分授權或存取。

另一方面我們也發現，組織流程的改造是企業實施身分管理最艱難的一環，尤其是人力資源管理流程的重組或調整，往往攸關整個身分認證管理專案的成效。而相較之下，要挑選怎樣的科技方案就宛如｢最後一哩｣般的水到渠成。

再者，打造核心基礎設施的重要性，確實攸關一個企業組織資訊安全體系的健全性。不過有些企業對於這個基礎建置有著失焦的迷思。例如，在還沒有集中整合所有應用系統的身分授權之下，偏重加強各種實體的驗證(authentication)措施，可能是智慧卡、PKI金鑰或是生物辨識之類。這種不斷加強門禁的堅固性，卻偏廢了門內更重要授權管理規則的做法，對真正落實資安管理的助益並不大。

一旦整個企業資訊系統的身分認證進入集中控管的階段，那麼要在一分鐘完成所有身分授權的開立、變動和解除，就輕而易舉了。

以Novell為例，我們的新員工在報到當日辦妥必要行政手續後，一分鐘之內，在他(她)職等或職務相關資訊系統的身分授權帳號，就全數開立完全；爾後當他因職務之需或職等升級，所有相關帳號的變動也是在一分鐘；更重要的是，當這名員工離職時，身分管理平台也會再一分鐘即時解除他的使用授權，不會發生可能的內部安全控管問題。另一方面，Novell也運用強制機制，要求員工每三個月要更換一次密碼，倘若逾時未更新就無法順利登入系統作業了。

這樣的資安成果不正是企業尋求的理想境地嗎？即時行動，就從集中整合您的身分認證管理平台著手！

【原稿發表於網管人2006年八月號】