在云环境中，身份安全已正式超越其他所有风险，成为首要关注点。根据云安全联盟（CSA）《2025年云与AI安全状况调查报告》，不安全的身份与高风险权限是头号云安全风险。

如今，混合云与多云部署已成为常态，而身份正是连接所有环节的核心纽带——这也使其成为攻击者首要瞄准的薄弱点。

身份驱动型数据泄露已成常态

数据泄露相关数据充分凸显了身份的核心地位。在遭遇过云相关数据泄露的企业中，前四大原因中有三项与身份直接相关：

n权限赋予过度（31%）

n访问控制不一致（27%）

n身份管理规范缺失（27%）

“身份管理规范缺失”具体包括：未轮换的密钥、闲置凭证、孤立账户及未启用多因素认证（MFA）等情况。这些日常运营中的薄弱点，易导致小疏漏升级为重大数据泄露事件。

CSA《2024年云计算顶级威胁报告》同样将“身份与访问问题” 列为云计算第二大威胁。以下是典型的身份相关数据泄露案例：

nMOVEit 攻击事件（2023年5月）：一系列与MOVEit文件传输工具相关的攻击影响了多家企业。例如，美国俄勒冈州交通部遭遇的数据泄露事件波及约350万人。攻击者正是利用权限过度的账户和不完善的职责分离机制，获取了敏感个人信息。

nJumpCloud数据泄露事件（2023年6月）：身份与访问管理（IAM）厂商JumpCloud 遭到高级国家级攻击者入侵。攻击者通过向JumpCloud的命令执行框架注入恶意数据，针对性攻击特定客户账户。此次泄露的源头可追溯至一场鱼叉式钓鱼攻击，以及永不过期的凭证。

nOkta数据泄露事件（2023年10月）：身份服务与认证管理提供商Okta发生数据泄露，未授权人员利用被盗凭证访问了其支持案例管理系统。该事件导致客户支持案例信息泄露，暴露了在可访问系统中存储服务账户与敏感信息的风险。

需明确的是，“云配置错误”（CSA《2024年云计算顶级威胁报告》认定的头号威胁）仍不容忽视——配置错误的云服务或基础设施导致了33%的数据泄露事件。但今年的数据传递出一个明确信号：身份问题已成为主导风险结果的关键因素。若你只关注配置偏差，却忽视权限泛滥问题，就如同让前门敞开、毫无防护。

零信任：承诺与现实的差距

好消息是：企业正将零信任原则列为优先事项。“为身份实施最小权限”成为未来12个月最受青睐的云安全优先事项（44%）。

坏消息是：衡量标准仍偏向于形式化合规指标。最常见的 IAM 关键绩效指标（KPI）是跟踪多因素认证（MFA）或单点登录（SSO）的采用率（42%），而很少有企业会跟踪更深入的指标，如权限滥用、访问异常或非人类身份滥用情况。

身份安全为何仍不成熟

CSA的研究结果表明，身份安全问题并非源于少数存在问题的账户，而是多层次的系统性问题。从以下方面可看出，治理与运营未能跟上云技术的采用步伐：

n团队孤岛：28%的企业将“云安全团队与 IAM 团队缺乏协同” 列为主要挑战。

n最小权限实施阻力：21%的企业表示“难以规模化落地最小权限原则”。

n被动式KPI：企业仍以安全事件发生频率 / 严重程度为核心KPI（43%），而非前瞻性的风险降低措施。

再叠加混合云/多云环境的复杂性，身份为何仍是最薄弱环节便一目了然。

当下可采取的务实举措

1. 注重实效而非形式

继续跟踪MFA/SSO指标，但需补充能实时暴露身份风险的信号，包括：

n权限提升事件的发生频率或高风险角色的滥用情况；

n与事件追踪相关的访问异常（如时间、地域及资源访问模式异常）；

n人类与非人类身份的生命周期合规性（如休眠账户、过期密钥、孤立角色）。

2. 结合场景与时间实现最小权限落地

n用“即时提权”和“限时访问”替代长期管理员权限；

n实施“策略即代码（Policy-as-Code）”，确保跨云厂商的权限无偏差；

n定期审查高风险权限，将例外情况视为“待发事故”。

3. 实现跨云治理统一

n让IAM团队与云团队在统一的零信任路线图和工具上达成共识；

n在各环境中标准化策略执行、身份联合（Identity Federation）及集中式认证；

n构建整合IAM与云安全态势指标的共享仪表板，确保团队对风险优先级达成一致。

4. 让身份管控贴合数据泄露实际场景

AI 相关数据泄露的常见原因与传统场景高度相似：软件漏洞被利用（21%）、AI模型缺陷（19%）、内部威胁（18%）、云配置错误（16%）。不要过度纠结于新型“AI 原生”风险，而忽视身份安全的基础——应首先将经过验证的云安全与身份安全防护措施应用于AI工作负载。

为何对AI而言更为重要

AI正从“试验阶段” 快速转向“核心业务”：总计55%的企业正将AI用于实际业务需求。与此同时，34%拥有AI工作负载的企业已遭遇过AI相关数据泄露。

身份风险如今已延伸至服务账户、API及机器身份——这些身份正是连接数据管道、模型训练与推理过程的核心。但许多企业的AI安全实践仍“重合规流程，轻技术落地”：超过一半的企业依赖框架指导AI安全，但仅有26%会开展AI安全测试，22%会对AI数据进行分类与加密，15%会实施机器学习运维（MLOps）安全实践。

需明确：合规是底线而非上限。对待AI的身份、数据及工作负载防护，应采用与云安全同等严格的标准。若缺乏更深入的技术投入与基于风险的策略，企业可能会忽视其他领域已有的基础安全实践。更值得警惕的是，这还仅针对“合规使用的 AI”；随着“影子 AI（未经批准的AI工具）” 增多，AI 领域中未受监控的部分可能带来更大风险。

管理层协同：从被动应对转向风险降低

报告中反复出现的一个主题是“管理层协同”。31%的受访者表示，企业高管对云安全风险缺乏足够认知——部分管理者认为“云原生工具已足够好用”，或“云厂商应承担主要责任”。这种认知偏差直接导致了“被动式 KPI”的采用，以及对“可预防泄露的身份管控措施” 的投资不足。

安全管理者可通过报告预防性成果弥合这一差距，例如：长期管理员角色减少数量、高风险权限的修复比例、撤销孤立凭证的平均时间等。这能将身份安全重新定位为“可衡量、能降低成本的风险管控项目”，而非单纯的“管控清单”。

管理层还需投资于能提供“整合可见性”、“降低复杂性” 并“实现前瞻性风险管理” 的平台与流程。随着AI采用速度加快，这一转变尤为迫切—— AI 带来的新风险既需要基础安全成熟度支撑，也需要应对新兴威胁的敏捷性。在这一调整落地前，即便是最专业的安全团队，也会陷入被动运营的困境。

核心结论

身份安全即云安全。《2025年云与AI安全状况调查报告》显示，身份问题与云配置错误是两大风险驱动因素。企业虽声称将零信任与最小权限列为优先事项，但要让这些策略真正发挥作用，治理、衡量及跨团队运营必须跟上步伐。

原文链接：https://mp.weixin.qq.com/s/Uj6h6TKQeGrpp-LABYt_9g