身份即服务(IDaaS)是一种基于云的身份管理和身份验证服务，它为组织提供了一种安全有效的方式来管理和规范用户身份以访问数据, services, and apps. It primarily helps to determine:
- 是否允许并授权用户登录到IT工作负载;
- 如果用户以最小权限为基础被分配到特定的角色;
- 以及记录活动的日志，以追踪任何妥协或滥用行为.
IDaaS可以为组织提供的一些好处包括增强安全性, simplified compliance, and efficient user management. For organizations operating in today’s Industry 4.0 -代表包含自动化的系统集成, 机器人控制和大数据分析(idaas)尤其重要. However, the use of IDaaS also has an impact on audits, 组织必须遵循最佳实践，以确保他们成功地管理与IDaaS相关的风险.
The Implications of IDaaS for Audit
采用IDaaS可能对审计产生重大影响, 因为它改变了组织管理用户身份和访问其应用程序和it工作负载的方式.
Traditionally, 使用本地解决方案管理用户身份和访问管理, which were typically audited by the auditors. However, with the adoption of IDaaS, 用户身份和访问管理现在在云中进行管理, or a hybrid solution, 这会给审计带来新的风险和挑战——主要的挑战是审核员现在必须额外验证组织是否有适当的控制措施来管理与IDaaS相关的风险.
审核员需要评估组织是否对所有应用程序实现了适当的身份验证和访问控制, 因为基于云的IDaaS可能无法与本地应用程序兼容和集成. 此外，它们可能没有很多传统IAM工具的高级功能，如自助服务等.
需要认识到的另一个方面是，凭证不再隐藏在公司防火墙网络之后，因此暴露在互联网上. 与此同时，人们越来越关注数据隐私和安全，并出台了大量与GDPR相关的新法规, CCPA和英国的数据保护和数字信息法案, which impacts digital verification, 泄露事件的潜在影响和披露要求. 因此，必须充分了解身份保护与安全风险容忍度的关系.
IDaaS Best Practices
为了有效地管理与IDaaS相关的风险，并确保它们满足其安全性和合规性风险概况, 组织应该实施IDaaS最佳实践. The following are some best practices for IDaaS:
- 选择知名且经验丰富的IDaaS解决方案供应商: In addition to the pricing and customer support, 组织应该进行尽职调查，并选择一个有足够的客户参考，可靠的供应商，并以良好的跟踪记录和健全的安全原则而闻名.
- 实现用于身份管理和身份验证的密钥控制: SSO(单点登录)和MFA(多因素身份验证)是控制的几个例子，它们通过请求用户拥有的东西和用户知道的东西来提供额外的保护层. Additionally, 实现允许及时检测安全事件的日志，并利用智能高级分析功能来洞察访问权限的使用情况.
- Train employees on IDaaS best practices:这将确保他们遵循采用和管理IDaaS工具所需的所有预防措施, 他们正确地管理用户身份以及对应用程序和数据的访问. 这可以包括密码管理、访问控制策略和安全意识方面的培训.
- 实施灾难恢复和业务连续性计划: In case of any downtime or any disaster, IDaaS解决方案应该有灾难恢复和业务连续性计划，以确保数据和访问控制不会受到损害, ensuring smooth operation.
In conclusion, IDaaS被广泛使用，因为它为组织提供了广泛的好处, including improved security, 简化遵从性和高效的用户管理. Because cloud technology is so widely adopted, 组织正在寻找健壮和动态的IAM替代方案来支持和服务他们的异构生态系统. Like with any technology or as-a-service offering, 在实现IDaaS时需要考虑一些基本因素, 组织不应该在没有仔细考虑的情况下进行.
Editor’s note: Find more audit-related resources from ISACA here.
