对我而言，网络安全的具象化是从我同事的笔记本电脑从桌上消失那天开始的。我们当时在一家国防承包商工作，他下载了一份关于网络威胁的政府报告。他不知道的是，这里面有一个后门。当他出差回来时，他的电脑（连同他主管的机密文件副本）都不见了，被我们的安全团队没收了。就在那一刻，威胁格局从抽象概念变成了具象现实。这个画面让抽象的威胁变得具体：网络安全的前线直接延伸到了我的办公桌。
那是过去，这是现在
这段经历从此塑造了我的认知。如今，安全前线已从一张办公桌，扩展到全球每一个家庭办公室、咖啡馆与机场休息室。由云应用程序、第三方供应商和分布式员工组成的流动的无边界生态系统，使传统的实体周边环境逐渐消失。
这一新的现实给领导者带来了深刻的挑战。当围墙消失，安全从何谈起？答案就是身份。没有明确的边界，用户身份就成了所有访问请求必经的“控制平面”。身份已成为现代企业安全战略的核心。
身份是首要目标
我们的对手也注意到了这一转变。当员工开始远程工作时，攻击者也相应调整了战术。他们清楚地看到了自己的新机遇：用户在家中通常会使用安全性较低的网络，而他们的身份是最薄弱的环节。因此，身份成了最常被攻击的媒介。钓鱼攻击与复杂的仿冒攻击已从边缘威胁演变为现代对手的核心战术。
安全团队不能再简单地阻止非授权地点的访问，因为合法工作随时随地都在发生。如果网络犯罪分子窃取了合法凭证，他们就可以不受限制地访问关键资源，几乎不费吹灰之力。这种情况会让 CIO 和 CIOS 彻夜难眠。正如有人对我说的：钓鱼是终极威胁，因为如果攻击者拿到了“王国的钥匙”，其他所有安全控制措施（网络、终端、云）都会变得无关紧要。他们可以直接“从前门走进来”。
以服务用户为宗旨的安全防护
应对这一现实，要求我们的防御速度跟上对手的节奏。几年前，传统观点认为，部署任何形式的多因素身份验证 (MFA) 都能解决问题。12019 年的一项研究声称，MFA 可以阻止 99% 的网络钓鱼。但在瞬息万变的网络安全世界里，这种建议现在已经过时，非常危险。如今我们知道，传统的推送式与短信式 MFA 完全不够用，因为攻击者已开发出复杂的技术来绕过。
虽然 MFA 仍然是安全的重要组成部分，但我们现在必须关注身份验证方法的质量和保证水平。在 Okta，我们的战略重点是采用更智能、更无缝的现代方法。在我的职业生涯中，我第一次可以自信地说，我们可以同时大幅提高安全标准和改善最终用户体验。关键是要摒弃繁琐、充满摩擦的身份验证方法，采用人们每天都在使用的防网络钓鱼的生物识别技术。
很多人没有意识到的是，简单的 Face ID 或 Touch ID 其实已经是多因素认证了。它将你的身份（你的生物特征）和你拥有的东西（你的注册设备）结合在一起，通过单一、无摩擦的操作提供高度信任。目标是打造这样的体验：安全验证不再像减速带般拖沓，而更像按下回车键那样顺畅 — 只需简单操作一步，就能完成验证并进入系统。
将用户安全扩展到企业
对于企业来说，我们可以更进一步。在部署防钓鱼认证的同时，我们还能收集设备本身的上下文信号，比如询问：这是受管理的设备吗？它有正确的安全态势吗？是否与我们的 XDR 解决方案集成？从这一步开始，我们可以构建完整的风险全景，并在后台做出更智能的访问决策。这正是我们在 Okta 开展工作的核心理念：提供安全的无密码认证方案，这不仅能带来文化层面的重大成果，还能将安全从阻碍因素转变为赋能因素。
想了解更多相关信息？在 Threat Vector Podcast 上收听与 Jamie 的完整无剪辑对话。
1“One simple action you can take to prevent 99.9 percent of attacks on your accounts（英文”，Microsoft Security，2019 年 8 月 20 日。
