AI 代理時代來臨，企業身份管理面臨數位勞動力 20 倍成長挑戰！調查顯示 81% 數據外洩與身份有關，但僅 10% 企業達到成熟階段。SailPoint 推出自適應身份平台，整合 AI 代理治理與安全營運，投資回報率可達 10 倍。從職責分離到分級治理，掌握身份安全新策略，讓企業在數位轉型中保持領先優勢。
隨著人工智慧技術的快速發展，企業的身份安全管理正面臨前所未有的挑戰。過去 20 年來專注於人類身份管理的企業，如今必須應對一個全新的局面：AI 代理 (AI Agents) 的大規模興起，正在徹底改變身份安全的遊戲規則。
從人到機器 身份類型呈現爆炸性成長
身份安全領域正經歷一場重大變化。一開始，企業的身份管理系統主要針對員工設計，但近年來逐漸擴展到承包商、兼職人員和供應商等非員工身份。更關鍵的轉變發生在機器帳號的管理上，這些過往常被遺漏的帳號，已成為安全防護的重要環節。
然而，真正的改變才剛剛開始，AI 代理的崛起為身份安全帶來了全新的面向。SailPoint 香港澳門台灣總經理戴健慶分享觀察，香港、台灣、新加坡等亞太地區的企業，在明年的業務預算和策略規劃中，AI 已成為核心議題。這不僅是技術升級，更是企業數位勞動力結構的根本性轉變。
目前全球約有 4.1 億人口需要進行身份管理，但當 AI 代理加入後，需要管控的帳號數量可能是人類的 20 到 30 倍。更令人關注的是，AI 代理不像人類需要休息，它們全年無休地運作，這代表潛在的安全風險也在持續累積。
（延伸閱讀｜不會 code 也能建 AI 代理團隊！Google Workspace Studio 登場，如何用它打造企業級自動化？）
身份管理成為資安最薄弱環節
在網路安全領域中，身份管理可能是目前最脆弱的一環，尤其在亞太地區市場更為明顯。根據 SailPoint《The Horizons of Identity Security》報告顯示，約 60% 的企業安全事故與身份管理有關，而約 81% 的數據外洩事件同樣源於身份安全問題，每次事故造成的損失平均達 500 萬美元。
比如英國零售商馬莎百貨 (Marks & Spencer) 的案例，該公司曾遭受攻擊導致系統癱瘓近一個月，問題的根源並非公司內部員工，而是其 IT 服務供應商未能妥善管理帳號。由於供應商人員流動，離職員工的帳號仍保持活躍狀態，最終成為攻擊者的突破口。
如果僅管理人類帳號就已如此困難，AI 代理時代的到來將使情況更加複雜。目前超過八成的企業已開始使用 AI 代理，但約有四成的代理程式缺乏適當的監管或管控。出現這種情況主要是因為啟動建立 AI 代理的往往是業務部門人員，他們著重於效率提升，卻忽視了安全和監管需求。最終，IT 部門仍需扮演守門人的角色，但此時可能已錯過最佳的防護時機。
自適應身份平台應運而生
面對這些挑戰，身份安全領導廠商 SailPoint 提出了「自適應身份」(Adaptive Identity) 的概念。傳統的身份權限管理通常是靜態的，僅在員工職位變動或離職時才進行調整。但在快速變化的商業環境中，這種模式已不敷使用。未來的身份管理必須能夠根據實際工作情況動態調整，真正做到隨機應變。
SailPoint 的自適應身份平台建立在 3 大核心支柱之上。首先是統一身份管理，將所有類型的身份，包括員工、非員工、機器帳號和 AI 代理，全部納入平台管理。其次是數據存取控制，不僅管理應用程式的存取權限，還要控制對非結構化數據的存取。第三是安全生態系統整合，將身份管理提升到安全營運中心層面。
平台的技術核心是 ATL 平台，所有數據模型、工作流程和編排都在此基礎上運作。系統提供新一代的權限控制機制，例如即時授權 (Just-in-Time) 和動態權限管理。更重要的是，平台已將 AI 代理納入管理範圍，目前已與微軟 Azure Copilot、Google Gemini 和 Cloudflare 等服務供應商建立合作關係，未來還將涵蓋 Salesforce 和 ServiceNow 相關的代理程式。
將身份拉到安全維運前線
傳統的安全營運中心運作模式往往是落後的，當安全事故發生後，營運人員才開始詢問應用程式負責人，確認 IP 位址歸屬和權限狀態。這種被動的回應方式，在面對瞬息萬變的威脅時將顯得力不從心。
SailPoint 將身份管理整合到安全營運層面，讓安全營運人員和資訊安全長能夠即時掌握狀況。透過與 Check Point 等廠商的合作，預計明年第一季推出的產品將提供完整的儀表板，讓營運人員能夠全面檢視身份狀況。當發現異常時，系統可以立即追蹤攻擊來源，無論是機器還是人為，並查看相關帳號權限，採取立即行動。例如，當員工點擊惡意郵件連結時，系統能夠即時查看該用戶的帳號狀況並進行處理。
AI 代理治理的細緻化管理
SailPoint 將 AI 代理視為一種身份類型，採用與管理人類相同的方式進行管控。平台會整合所有雲端服務 (如 Google、AWS) 建立的代理程式，將其資料統一匯入 SailPoint 平台進行管理。
對 AI 代理實施職責分離 (Segregation of Duties，SOD) 政策是關鍵措施之一。系統會檢查代理程式的權限是否過高，是否存在衝突或危險的權限組合。這些政策的應用方式與人類帳號相同，當代理程式請求權限時，需要由應用程式所有者或管理該代理的人員來決定是否授予。
更重要的是為 AI 代理設定明確的邊界。例如，一個代理程式可能只能存取特定區域的數據，像是只能查看香港的數據而不能存取台灣的資料。這種精細化的權限控制，在未來人機協作的工作模式中將更加重要。因為一個 AI 代理可能會取代多項原本由人類完成的工作流程，其權限可能會非常廣泛，更突顯了職責分離原則的重要性。
代理式使用者體驗降低技術門檻
為了讓更多使用者能夠有效運用身份管理平台，SailPoint 設計了名為 Pilot 的 AI 代理，提供更友善的使用者體驗。即使是不熟悉技術的使用者，也可以用自然語言向平台提問，例如詢問過去 30 天內未經審核的帳號或權限。
這個 AI 代理還能協助使用者實現他們想要完成的任務，例如建立新的工作流程。更值得注意的是，這項技術也對其他廠商開放，透過 SailPoint 的 API 進行溝通，讓整個生態系統能夠提供更完整的服務。
分級治理加速價值實現
身份安全專案的推動往往曠日廢時，最大的障礙通常不是技術整合，而是人的因素。應用系統的負責人往往因為工作繁忙而缺乏時間溝通協調。為了加速客戶實現身份安全的價值，SailPoint 提出了分級治理策略。
即使在沒有系統連線的情況下，SailPoint 也能在網頁瀏覽器中觀察員工的登入行為，大致了解公司內有多少應用程式正在使用。根據風險程度，平台將應用程式分為三個層次進行管理：深度治理、快速治理和可視性管理。
深度治理適用於高風險應用，需要進行完整的存取審核與生命週期管理。快速治理只需擷取數據，不需要深度整合。可視性管理則僅需確認應用程式正在使用，不需要進行治理或審核。這種分層管理方式的優勢在於其動態性，應用程式的風險等級會根據使用情況自動調整。
值得注意的是，雖然平台可以運用 AI 自動生成管理方案，但所有關鍵決策仍由人類把關放行，以符合稽核要求和監管規範。
轉型最佳實踐與策略定位
推動身份安全轉型的首要任務是理清身份資料。研究報告顯示，優先進行資料清理的組織，在擴展效率上可提升約 1.6 倍。採用分層管理架構來管理應用程式，同時將應用程式導入流程標準化，導入自動化帳號生命週期管理，能夠更有效突破轉型瓶頸。
戴健慶總經理建議，企業應避免過度客製化的陷阱。過度客製化的系統難以擴展，時間久了也缺乏維護人力。更好的做法是利用軟體即服務 (SaaS) 模式，透過配置而非開發來完成流程設計。
在策略定位上，身份安全不應僅被視為一個工具，而是「業務驅動者」。這種定位有助於爭取適當的預算支持，也能讓高階主管更清楚了解身份安全對業務發展的重要性。
（延伸閱讀｜企業 AI 轉型卡關？SAP 整合困境、資安、人才、數據…等 6 大痛點一次破解！）
全球企業成熟度現況與差距
SailPoint 連續四年發布的《The Horizons of Identity Security》報告，從身份策略、技術、人才和運營模式四個面向，評估企業的身份準備度。報告將企業分為五個成熟度階段，從基礎的 H1 到領先的 H5。
今年的報告首次將 AI 代理準備度和多雲權限管理納入 H4 和 H5 的評估標準，大幅提高標準。由於標準調整，全球有 14 家企業出現成熟度倒退現象。調查涵蓋來自美洲、歐洲和亞洲的 375 位身份與存取管理決策者。
目前全球約 63% 的企業仍停留在基礎階段，以手動稽核和分散的帳號管理為主，僅約 10% 到 13% 的企業進入較成熟的 H4 或 H5 階段。有趣的是，亞太地區呈現極端分布，停留在 H1 的企業數量較多，但達到 H4 或 H5 的公司數量與北美接近。台灣、香港、新加坡等地的許多企業願意在身份安全上投資，因此高成熟度企業的比例並不低。
領先者的顯著優勢與投資回報
身份安全被認為是所有資安技術堆疊中投資回報率最高的領域。受訪者認為身份領域的回報率可達 30%，而將身份安全視為策略核心的企業，平均投資回報率可達 10 倍。
達到 H4 或 H5 階段的企業，能夠快速實施自動化和數據同步，效率比其他企業快 4 到 8 倍。這些成熟企業採用 AI 驅動身份管理的速度，是其他企業的四倍。只有達到 H4 或 H5 的企業，才能較快速利用 AI 推動資安政策，並實施統一的跨雲端與在地政策。
溝通對象的轉變反映組織演進
隨著 AI 和數位轉型的推進，身份安全廠商與客戶的溝通對象也在改變。過去主要接觸 IT 或資安部門的主管，如資訊長和資安長，但現在與數位服務部門或數位長的互動越來越頻繁。
數位長負責推動創新，而 AI 是其中的重點環節，有些企業甚至成立了專門的 AI 部門，可能隸屬於資訊長或資安長之下。這種組織結構的變化，反映出企業對於數位轉型和 AI 應用的重視程度不斷提升。
新分界點的戰略意義
AI 代理已成為身份安全的新分界點，應用比部署更重要，企業應更重視其能帶來的效益與商機。如果身份管理計畫沒有關注這一點，企業可能就會在數位轉型的競賽中落後。
執行實施的重要性亦不容忽視。身份安全已從過去的後台工具，轉變為策略性平台，驅動企業的敏捷性、效率提升和 AI 賦能。在這個 AI 代理大規模興起的時代，企業必須重新審視身份安全策略，確保在保護資產的同時，也能充分發揮數位勞動力的潛力。
（延伸閱讀｜軟體安全的未來：Google DeepMind 推出 CodeMender！讓 AI 當救火隊，探測＋修補＋重寫一次完成）
（本文轉載自 Inside，初稿為 AI 編撰）
