合规性在非人类身份时代落后 | CSA
作者：Itzik Alvas, Entro
每个主要的合规框架，包括 PCI DSS、GDPR、ISO 27001、SOC 2 和 NIS2，都要求强大的访问控制、持续监控和明确的责任制。然而，尽管这些期望已经确立，一个关键领域仍然经常被忽视：非人类身份（NHIs）。这些包括服务账户、IAM 角色、API 密钥和自动化代理，它们默默地支撑着现代基础设施。
如果管理不当，NHIs 可能会削弱即使是最成熟的合规计划。
NHIs 的隐藏合规风险
在当今许多组织中，NHIs 的数量超过人类用户的 90 倍以上。它们是系统运行的核心，但大多数合规计划仍然专注于管理人类访问。因此，在几个关键领域出现了严重的漏洞：
- 可见性和清单：OWASP 的 2025 年 NHIs 十大风险将清单列为基础要求。然而，许多组织难以生成完整且最新的活跃 NHIs 列表。
- 所有权和责任：GDPR、ISO 27001 和 SOC 2 等框架要求访问权限是可分配和可追溯的。然而，许多 NHIs 仍然无人认领，难以证明责任制。
- 凭证生命周期管理：PCI DSS 和 NIST SP 800-53 等标准要求定期轮换和过期凭证。实际上，许多程序化密钥长期保持不变。
- 监控和事件响应：包括 HIPAA 和 NIS2 在内的法规强调持续监控和快速响应的必要性。尽管如此，NHIs 通常以最小或没有监督的方式运行。
这些风险存在是因为大多数合规模型是为人类行为设计的。NHIs 的功能不同，需要独特的管理方法。
OWASP 明确表示：NHIs 是合规优先事项
OWASP 的 NHIs 十大风险概述了这些身份如何构成实际风险，并将其直接与监管漏洞联系起来。例如：
- 缺乏清单（NHIS-SEC-01）可能违反 ISO 27001 的资产跟踪要求。
- 过度权限的 NHIs（NHIS-SEC-06）与 GDPR 和 PCI DSS 的最小权限策略和过度权限冲突。
- 密钥泄漏（NHIS-SEC-08）威胁 GDPR 和 HIPAA 下的数据保护规则。
- 缺失访问控制（NHIS-SEC-10）削弱 SOC 2 和 NIS2 要求的安全措施。
通过将 NHI 治理与这些已知风险对齐，组织可以加强其合规地位并减少暴露。
NHIs 如何适应当今的合规框架
| 框架 | 关键 NHI 相关要求 |
|---|---|
| PCI DSS 4.0 | 强制密钥轮换、最小权限访问和凭证监控 |
| ISO 27001 | 要求资产清单、身份生命周期管理和可追溯所有权 |
| SOC 2 | 要求审计跟踪、威胁检测和及时事件响应 |
| GDPR | 要求数据访问归因和防止未经授权的披露 |
| NIS2 指令 | 期望主动监控和基于风险的威胁响应 |
| NIST SP 800-53 | 推荐凭证轮换、访问控制和可审计性 |
如果没有对 NHIs 的专门监督，越来越难以满足这些标准。直接解决这些问题可以简化审计、减少安全风险并降低未来合规工作的成本。
实现 NHI 合规的实用路径
强大的 NHI 合规策略应专注于三个核心行动：
- 全面清单：识别和映射所有 NHIs，包括云服务、CI/CD 管道、源代码和内部系统。这包括使用模式、权限和所有权。
- 生命周期治理：自动化凭证轮换和过期，撤销陈旧或未使用的身份，并定期根据内部政策和外部法规审计权限。
- 持续监控和响应：实时跟踪 NHI 行为，快速识别异常活动，并在潜在事件发生时响应。
将风险转化为准备
非人类身份正迅速成为大多数数字生态系统的主要用户。随着自动化的增加和 AI 代理的采用，它们的数量只会增长。将 NHIs 纳入您的合规框架不再是可选的。
主动解决这些身份有助于减少违规和审计失败的风险，并支持更强的整体安全态势。
现在是时候超越传统的合规清单了。NHIs 已经是您组织的一部分——确保它们也是您合规策略的一部分。