数字身份 — 新石油将在今天 的经济中创造燃料还是引发 战争？

数字身份能推动您的企业前进，也能让您毁于一旦。不同的数字身份治理和管理方式将带来截然不同的结果。

请思考一下您目前的状况。大部分既有的身份和访问管理 (IAM) 机制部署已经过时，没有根据当前的人员、数据和事物数量进行扩展 — 更不用说考虑将来会发生什么了。很少有组织能适应全球环境中新出现的监管风险和隐私问题。不过，优化了 IAM 架构的组织现在可以提高运营有效性并降低风险。他们可以利用变革性的移动、云、物联网 (IoT) 和机器学习趋势来获取能识别身份的创新型能力，从而获得竞争优势。

新石油

是时候重新定义“个人数据就是新石油”这句老话了。¹ 过去，公司通过推出新的在线客户产品与服务以及开展几乎没有限制的市场营销活动，充分利用个人数据创造价值。但随着隐私监管要求日趋严格，全球公司在利用个人数据时，不得不按照司法管辖区的特定标准来获得许可并进行相应的记录。

就像石油一样，个人数据在泄露时可能产生危害。基于行业数据的研究表明，在美国，数据泄露造成的损失很容易就达数千万美元。² 2018 年 5 月《一般数据保护条例》(GDPR) 生效后，可能给存储欧盟 (EU) 公民数据的企业带来更严重的后果。³

为何在这个充满魅力的数字身份新世界有这么多摩擦？面对商业实践和技术的破坏性变革，人员和实践的发展演变速度要比技术慢得多。公民和消费者十分担忧与隐私相关的风险。人为错误往往是数据泄露的根本原因。

IAM 创新关乎关系管理

组织使用 IAM 进行内部控制，以提升运营效率并推出面向客户的新产品。多年来，他们不仅将 IAM 延伸到企业对企业 (B2B) 合作伙伴与供应商，还涉及个人消费者。

今天，IAM 必须涵盖人员、移动设备、消费设备、云服务、服务提供商和制造商之间的关系。隐私合规性和授权使用管理必须推行至所有领域。如果能够安全应对这些事务，企业就可以取得成功，例如，一个国际机场利用云交付模型中的身份管理功能来扩大运营，每年可成功对 4000 多万名乘客执行严格安检。⁴

呼吁采取行动

如果不能安全应对，个人数据泄露将置公司于尴尬境地。⁵ 反过来说，即使避免了数据泄露并遵守监管要求，也不能保证盈利。来自 Ctrl-Shift 的 Liz Brandt 表示，纯粹以合规为导向的 GDPR 方法虽然能带来一些积极成果，但得不偿失 — 尽管维持住了合规性，却造成 20% 的客户流失以及失去 60% 的市场准入资格。⁶ 为避免这种情况，企业应该：

• 改进组织架构
• 采取隐私原则
• 采取身份和隐私工程学方法

改进组织架构（联合，不是聚集）

上世纪 90 年代，局域网 (LAN) 和商业互联网的兴起带来了创新热潮，轻量级目录访问协议 (LDAP) 以及旨在将身份信息整合到 Microsoft Active Directory 等服务中的企业身份配置产品进入了大众视野。集中式目录成为内部控制的支柱。现在，随着全球推行数据主权法规，集中式目录也慢慢消失。

没有它们，接下来会是什么？在数字身份的第二个黄金时代，⁷ 目录将移至云中，变得更加分散化、虚拟化和抽象化。OAuth、Open ID Connect 和其他标准通过启用跨域单点登录、属性管理和访问控制，提供超越 LDAP 的“联合身份”管理能力。

成功的企业正在利用 OAuth 和相关标准，通过应用程序编程接口 (API) 将 IAM 与应用程序整合在一起。对内，组织应该将 IAM 与人力资源 (HR)、意识／培训、供应商关系管理和安全分析整合在一起。对外，组织应该跨不同的业务单位建立一致的客户关系管理流程。身份即服务 (IDaaS) 解决方案因为更容易跨多样化的 IT 生态系统（包括软件即服务 (SaaS) 环境）整合身份，越来越受到市场欢迎。

将隐私原则纳入业务流程中

澳大利亚、加拿大、欧盟以及许多其他司法管辖区强制实施严格的隐私权，将个人视为个人数据的所有者。除合规性以外，公司还有其他激励措施来获得隐私权。通过采取尊重隐私权的原则并清晰地进行沟通，可以鼓励客户共享他们在其他情况下拒绝提供的信息。

哪些原则？我们以 GDPR 原则⁸ 为例：

• 以公平、合法、透明的方式处理个人数据。
• 仅用于已声明的用途。
• 有限制地收集。
• 确保数据质量。
• 限制保留期限。
• 在可能或法律要求的情况下允许人员删除或移除 记录。
• 提供数据安全性。
• 展示合规性。

采取身份和隐私工程学方法

那些在隐私原则方面颇有心得的公司不仅仅只是夸夸其谈还应该说到做到，如向客户提供易用的工具，使他们能够根据接受的服务内容以合理方式管控自己的数据。对于隐私，如果在内心和思想上取得胜利，就可以在即将到来的 GDPR 浪潮中赢得一席之地。

下一个挑战是在全球合作伙伴生态系统中安全地扩展身份和隐私功能。在线零售正与实体零售相融合，且这两种方式都在与媒体、移动、金融服务和商业服务融合。创新型 IAM 架构使用现代化的联合架构，可以跨这些领域为客户提供便利的体验，无需受“仍需另一个用户密码”(YAUP) 所累。它们可以维护品牌一致性并信任流程。

迄今为止，几乎没有技术能解决多域客户体验问题。要么是前端客户验证功能太弱使其无法广受信任，要么是受信任的代理无法用于传输授权所需的属性，要么是没有跨域整合后端业务流程。通过进一步采用多重身份验证以及 FIDO 联盟⁹ 等组织制定的标准进行在线验证，这将会有所帮助。但组织还需要开发或订阅复杂的身份提供程序 (IDP) 网络中心架构，并通过 API 使其相互关联。

遗憾的是，类似 GDPR 的法规会增大在线生态系统与品牌挂钩的公司面临的风险。YAUP 不会轻易消失，但可以向联合身份环境中添加隐私和许可机制。例如，类似用户管理的访问 (UMA)¹⁰ 和许可接收规范¹¹ 的新标准正在兴起，它们将使客户更容易控制个人数据及其使用情况，并且／或者实施明确的授权流程。

要在数字身份的第二个黄金时代推动业务发展，我们必须做积极的创新者。

尾注

¹ Rotella, P.; “Is Data the New Oil?,” Forbes.com, 2012 年 4 月 2 日, https://www.forbes.com/sites/perryrotella/2012/04/02/is-data-the-new-oil/#64ee40a57db3
² Blum, D.; “Security Business Case for Breach Risk Reduction (Part 1),” Security Architects Partners, 2016 年 4 月 13 日, http://security-architect.com/security-business-case-part1/
³ Karczewska, J.; “COBIT 5 and the GDPR,” COBIT Focus, 2017 年 5 月 19 日
⁴ Okta, Gatwick Airport Takes Flight With Okta
⁵ Information Is Beautiful, World’s Biggest Data Breaches, 2017 年 1 月 5 日, www.informationisbeautiful.net/visualizations/worlds-biggest-data-breaches-hacks/
⁶ Brandt, L.; “GDPR: Spend It and Sink It or Spend It and Grow It,” LinkedIn, 2017 年 2 月 23 日， https://www.linkedin.com/pulse/gdpr-spend-sink-grow-liz-brandt-nee-brown-
⁷ Blum, D.; “The Second Golden Age of Identity,” Security Architects Partners, 2016 年 11 月 22 日, http://security-architect.com/second-golden-age-identity/
⁸ Gabel, D.; Hickman, T.; “Chapter 6: Data Protection Principles—Unlocking the EU General Data Protection Regulation,” White & Case, 2016 年 7 月 22 日, https://www.whitecase.com/publications/article/chapter-6-data-protection-principles-unlocking-eu-general-data-protection
⁹ FIDO Alliance, https://fidoalliance.org/
¹⁰ Kantara Initiative, UMA, 2017 年 3 月 14 日, https://kantarainitiative.org/confluence/display/uma/Home
¹¹ Kantara Initiative, Consent Receipt Specification, 2017 年 5 月 8 日, https://kantarainitiative.org/confluence/display/infosharing/Consent+Receipt+Specification