幾乎每天都有網路安全攻擊的消息，組織新常態是假設他們已經 -或將要 –被攻破與資料外洩。
最近Forrester的研究報告80％的資料外洩涉及特權憑證。如由索尼公司，Home Depot和美國人事管理辦公室被駭，駭客一旦在系統 -無論是透過網路釣魚攻擊或其他手段獲得存取 -他們可以有條不紊地透過增加使用者權限，以不受阻礙地進一步滲透系統獲得對系統和企業最敏感的資料數據。
駭客沿著這條有條不紊的方法，被稱為攻擊鏈(kill chain)的過程，如要停止被駭客攻擊，要了解攻擊鏈(kill chain)是至關重要的。
特權存取管理（Privileged Access Management，簡稱PAM）已成為一個頂級的解決方案以對抗網路攻擊和中斷攻擊鏈(kill chain)。如果沒有良好的治理，PAM是做只有一半的工作。
太多的組織讓IT使用者有提升權限或使用特權的能力。例如，根據Ponemon Institute的研究超過650個機構，38％曾與特權存取權限的用戶沒有明顯的理由或原因，以及這些機構的36％未能撤銷這些特權當用戶不再需要這些特權的權利。這是一個駭客的夢想。
為降低風險的關鍵是確保特權用戶所要做的工作所需的存取權限最小，這個原則被稱為 “最小特權”。
The key to reducing risk is ensuring privileged users have the minimum amount of access needed to do their jobs, a principle known as “least privilege.”
這個概念是如此重要，它是國土安全部第二階段的核心焦點連續診斷和減災方案。發展機制第一階段建設 -側重於識別和保護網路資產，而第2階段旨在使聯邦機構要透過這些安全工具來管理特權用戶，並確保持有“鑰匙王國”的用戶與帳號是被密切監測不尋常的活動。這兩個階段，發現和強制使用者保有最低權限，如此以確保導入第三階段集中事件響應，事件管理和邊界保護的順利。
保護特權用戶存取，以整體來看，包括三個核心要素：
發現 -知道一個機構的特權用戶有誰，無論他們是網路管理員，第三方承包商或雲服務的管理員。
強固 -連續監測，讓使用戶不規則行為迅速被辨識並停止。
治理 -確保只有真正需要提升權限和存取權限的用戶能存取。
當談到特權存取治理有兩個重要的步驟，在存取資源必需要請求，並且這些請求要被認證。這些重要的安全事件必須集中在一起加以考慮，因為單獨沒有一個能夠保證最低權限強制執行。
存取請求是第一個檢查點，為了防止特權用戶不當或過度使用特權用戶權利的。
對的特別重要的評估，因為它們的存取已經升高。例如，所有的存取請求應自動遵守義務（SOD）控制的隔離檢查。
就好像此檢查可確保申請資金的人不是同一人批准預算並簽署支票的人。
即使請求透過SoD測試，特權存取仍然可能對組織的危險，需要進一步分析，以確定是否批准該請求。
存取認證需求一個管理者確認，以確定是否請求的存取是有效的還是不正確的權限已被授予。
特權用戶治理不僅包括技術上的變化，而且也關於企業文化。
多年來，管理，控制和監視那些誰是值得信賴的“鑰匙王國”看起來幾乎是一個事後的想法。畢竟，特權用戶是該公司的一個信任的員工或受信任的第三方合作夥伴或承包商。然後來到蔡爾茲特里，切爾西（布拉德利）曼寧和愛德華·斯諾登，以違反在Target，OPM和Home Depot一起。這些違規造成的任何虐待或損害的特權。
今天，有兩到需要更好地管理和監控特權帳戶和用戶存取敏感數據的私營和公共部門日益認識。這是現在的必做清單。
改變並不總是那麼容易;它需要時間和領導，落實。但是，如果沒有採取特權存取管理控制，一個機構的風險是在明天的頭條新聞。
莫迪凱·羅森是CA Technologies的安全業務部高級副總裁兼總經理。
網路犯罪是一個成長中的行業，而應用經濟所出現的新型態弱點以及特權帳戶與憑證的風險，都將使得企業面臨更大的挑戰。
多 虧了近年來為數眾多且引人注目的事件，網路犯罪已晉升為許多組織及組織業務往來客戶關心名單的首位。BBC的The Interview報導指出，Sony Pictures所遭遇的外洩事件不僅使員工蒙羞，並對這個高知名度公司造成負面的影響，更損害了系統與應用程式，使該公司很難執行業務。
另外，像是提供開發人員版本管理服務供應商CodeSpaces的故事。攻擊者得以存取該公司的雲端管理主控台，刪除了公司的整個基礎結構與備份，迫使 CodeSpaces最後退出市場。壞消息是，因為應用經濟的需求，以及轉型為混合基礎結構的趨勢，對抗這些威脅只會變得愈來愈困難。
應用經濟正在出現新型態弱點。在當前的環境下，除了生存之外，企業還得在應用經濟當中脫穎而出，因此許多公司增添數位元件到所有的產品與服務，與此同時也 歷經一場數位轉型。這代表他們必須開發並整合各式各樣的API、微型服務，雲端應用程式以及基礎結構，同時繼續管理、優化，並保護目前的環境。在行之多年 現有基礎結構的保護工作之外，這樣的轉型又創造了全新的攻擊平台。這些新型的弱點包括：
1. 混合環境：隨著IT環境進化為包含軟體定義的資料中心與網路，並延伸至整合公共雲資源以及軟體即服務型（SaaS）應用程式，傳統的管理方式已不再適用，主要的原因是新的攻擊平台，像是管理主控台和API，無法得到保護。
2. 管理權力：在這些進化中的環境裡，管理員擁有「集中權力」，他們能夠在彈指之間定義或重新定義一個組織的整個IT基礎結構。
3. 自動工具：在較為複雜的IT工具中，有些流程幾乎完全沒有人為的介入。例如佈建與管理等工作都以指令碼或是像Chef and Puppet的工具自動執行，其經常使用的硬編碼管理密碼不但正中小偷下懷，而且易遭誤用。
這些弱點相加起來，一旦攻擊者能夠取得適當的存取權，就能在企業環境中興風作浪 。除此之外，特權帳戶與憑證也帶來了高風險。到了2018 年，未能適當侷限和控制特殊權限存取的企業組織必須對多達60%的內部人士誤用和資料竊取事件負責，比目前的40%以上還高。
但是對許多組織而言，要將「特權使用者」歸類為一個群組是很困難的，因為其對象十分廣泛多樣。可能是為你工作的內部特權人員、代表第三方廠商的外部特權 人員，或是保護「影子 IT」的不明特權人士。這正是問題所在，如果無法清楚掌握誰是你的特權使用者對象，你要如何保護這些帳戶呢？