CIAM 如何平衡数据安全与客户体验？| 身份云研究院
Authing 官方2022.11.07阅读 911
普华永道研究表明，32% 的用户会因为一次体验不佳而放弃使用一个产品。无独有偶，据数据分析公司 Preact 研究显示，首次注册、登录或验证是最主要的用户流失环节，占整体流失率的 22.9%。
对于任何在网上做生意的公司来说，很难做到保证数据安全的同时为合法客户提供低摩擦的登录体验之间有一条界限。客户身份和访问管理（CIAM）就是可以成功平衡这两者的有效解决方案。、
从商业角度来看，如果安全措施太少，一旦发生数据泄露，你将面临监管部门的处罚，更不用说对你的品牌的损害。但太多的安全措施又会导致客户因摩擦而放弃流程，从而丧失转化率。一个强大的 CIAM 解决方案可以帮助你整合用户账户的入职、组织和管理，同时通过僵尸检测和暴力保护等防御性措施来减少漏洞的发生几率。
01
用户账户流程以及 CIAM 如何管理每个阶段
强大的 CIAM 平台可以为你提供可信单一数据源 (SSoT)。可信单一数据源可将企业不同系统的数据进行统一的管理和整合，形成可信任的单一数据来源。除此之外，强大的 CIAM 还为客户提供所有应用系统的单一登录入口。不管有多少个应用系统，用户都只需要登录一次就可以访问所有。
现阶段，自动化是 CIAM 最大的优势，比如自动重设密码、以及当用户意外创建了重复的账户的情况下合并账户的能力，都将有效减少你团队的后端工作量，同时保持足够低的摩擦，保证用户体验。
当用户放弃账户时，你需要一个流程来停用这些帐户并最终删除它们。这将防止这些凭据在未来的攻击场景中被使用，并保持你的用户帐户数据库只存在活跃用户。
02
数据安全的业务影响
一旦账户凭证被盗，恶意行为者有多种攻击载体可供选择，这包括：
凭证填充攻击（Credential stuffing attacks）
当攻击者拿着一个被破解的凭证列表，通过登录流程运行所有这些组合，直到他们找到一个能解锁登录框的组合，这就叫凭证填充。由于密码的重复使用，这些攻击被证明对攻击者很有效。被攻破的用户名/密码组合的清单可以在暗网上找到，这使得凭证塞入攻击成为一种低耗能的入侵方式。
BEC 攻击通常从以受信任的合作伙伴账户为幌子发送的鱼叉式电子邮件开始，针对繁忙的管理人员，目的是为了获得资金转移到攻击者拥有的账户。
暴力破解（Bot-based brute force attacks）
暴力破解可以采取多种形式。其中最常见的是自动凭证填充或所谓的蜂群攻击：当一个恶意行为者使用自动化工具来淹没一个网站的流量，以导致该网站在分布式拒绝服务（DDoS）攻击中崩溃，或购买可用的零售股票以抬高售后市场的价格。
这些攻击对业务的影响可能是巨大的，从业务损失造成的财务影响，再到由于客户失去对企业的信任而增加的客户流失，再到对品牌声誉的长期损害。由于这些原因，在安全性和客户体验之间找到适当的平衡是业务的首要任务。
03
数据安全是一个不断变化的目标
近年来，企业数据信息泄露事件也同样频发，企业数据安全岌岌可危。根据 IBM 安全公司第 17 届年度《数据泄露成本报告》（该研究在 2020 年 5 月至 2021 年 3 月期间考察了全球 500 家机构），数据泄露的平均成本已超过 420 万美元，同比增长 10%。就攻击的规模而言，有 14 家公司被确认遭受了重大的数据泄露，涉及 1000 多万条记录的泄露，造成 5200 万美元损失到 6500 多万条记录的泄露事件，损失 4.01 亿美元不等，损失范围涉及技术、法律、监管、员工生产力的损失、品牌资产和消费者损失等。
企业发现数据泄露的平均时间是 197 天，控制住数据泄露还需要平均 69 天时间。发现和控制的时间越久，产生的损失也越高。
随着不断变化的监管要求、不断发展的攻击载体以及越来越精通数据的消费者，数据安全需求也在不断变化。正因如此，公司的数字身份在当今拥挤的市场中也越来越重要，从登录页面开始管理客户体验是创造繁荣所需的信任关系的关键。想了解更多关于 CIAM （用户访问管理解决方案）的话，请立即与我们的身份专家团队联系。
关于 Authing
Authing 既是客户的支持者也是客户的产品专家和战略顾问，更是值得信赖的合作伙伴。我们提供全球化的身份专家支持团队，通过网络或电话，7*24 小时不间断支持。Authing 的帮助中心提供最新的技术知识库、商业案例以及与您的同行和 Authing 专家联系的机会。无论您何时需要我们，Authing 的支持团队总能最快响应。
目前，Authing 身份云已帮助 30,000+ 家企业和开发者构建标准化的用户身份体系，感谢可口可乐、元气森林、招商银行、中国石油、三星集团、CSDN 等客户选择并实施 Authing 解决方案。
