伴随着这些严峻的挑战，身份管理市场需求快速增长，并逐步形成了稳定、成熟的市场规模。而目前在这个市场上角逐的厂商主要包括CA、IBM、Novell、Oracle、BMC、HP、Micro soft等。
IAM 的应用，不仅能为用户带来更低的管理成本，信息安全风险发生的概率也会随之降低，对法规也有了更好的遵从，并能更快地交付增值的IT 服务。而最为重要的是，能为组织实现IT 投资价值的最大化。
中国大陆对于身份和访问管理系统的建设起步比较晚，主要是因为国内应用系统的建设相对滞后，总体水平并不高，很多组织还把主要精力放在单个系统的建设上；但是随着组织信息化的深入，信息化建设程度领先的组织开始考虑应用系统安全集成的问题，而统一的身份和访问管理作为应用系统集成的一项重要内容，也逐渐成为组织IT建设的重点。
二、身份和访问管理总体能力框架
身份和访问管理的核心能力包括身份管理、访问控制、身份开通、身份和策略库四部分。将这些能力通过IT技术集成到一起能够为组织提供一个统一的身份和访问管理的端到端平台。身份和访问管理总体能力框架。
(一) 身份管理
集中的身份管理解决方案可以完成用户身份信息全生命周期的管理。通过将不同类型用户的授权委托给不同的部门、应用甚至是实施厂商，可以减少管理的成本，提高生产效率。
·全局用户身份的创建和维护。
·提供集中的、委托的、自助的或三者相结合的管理模型。
·支持用户身份信息的分级委托管理将减少与身份管理相关的时间和成本。身份信息的管理可以唯一地指向特定的用户或特定的用户群。
·自助服务允许用户自行维护个人基本信息、修改个人密码口令、忘记密码口令后自动找回，从而减轻系统管理员的工作量。
·提供对管理事件的报告和审计。
(二) 身份开通
身份开通服务按照业务策略和规则，将用户身份从权威账号源传播到目标系统自身的身份库，实现应用账号的集中开通，从而提高了安全性。同时自动化的手段降低了管理成本。集成的工作流提供一种自动化的方式来请求和批准身份管理变更，支持一致的业务规则和流程。
·迅速、自动地将用户身份从统一的身份库传播到目标资源自身的身份库。
·替代手工操作，根据集中的策略和业务规则来提供用户的账号开通。
·集成可定制的审批工作流。
·通过连接器（个别系统采用API调用）来实现与应用系统的集成。
(三) 访问控制
访问控制提供用户的身份鉴别、安全的会话管理，并为后端受安全保护的资源提供授权服务。访问控制可以通过像Web访问控制和操作系统访问控制等技术来实现。通过提供单点登录的解决方案，减少用户重新登录才能办理业务的复杂性，提高用户的体验。
·认证服务。认证服务负责对用户身份的真实性进行验证，通过对用户的Session进行安全管理，为用户提供对企业内的应用和资源的无缝访问，且无需重复登录。
·授权服务。授权服务负责验证用户访问受安全保护资源的权限，验证过程以用户的角色或策略为基础。
(四) 身份和策略库
身份和策略存储提供统一储存用户身份信息、访问规则策略和审计日志信息的功能。是访问控制、开通服务和身份管理服务的基础。
·权威账号存储。储存用户的全局身份信息、应用身份信息和资源信息。
·策略数据存储。储存用于身份开通的策略信息和访问规则信息。
·审计数据存储。储存身份和访问管理所有相关的审计和日志信息。
·目录服务。能够为支持LDAP和PKI的应用系统提供集中的认证和授权。
三、德勤企业身份和访问管理实施方法
身份和访问管理是一套全面的建立和维护数字身份，并提供有效的、安全的IT资源访问的业务流程和管理手段，通过IAM实现企业信息资产统一的身份认证、授权和身份数据集中管理与审计。德勤的IAM服务能够帮助客户设计、实施、部署和维护集成身份识别和访问管理解决方案。德勤身份和访问管理实施方法涡轮图。
在战略和线路图阶段，组成该阶段工作流的活动如下：
·计划——确认IAM目标和愿景覆盖的范围。
·现状分析——了解现状，包括业务挑战、业务流程和现有架构。
·目标分析——识别短期和中期的IAM服务需求，讨论满足需求所需的业务流程和技术选项。
·差异分析——实施现状与目标的差异分析，定义IAM的成熟度模型，识别相关技术工具。
·战略及路线图——创建IAM战略，标识IAM实施的相关时间、优先级，准备IAM项目业务用例。
·成本分析——确定需求预算和IAM项目的成本分析。
在实施阶段，组成该阶段工作流的活动如下：计划与分析——对实施项目进行计划和分析。
·设计——进行解决方案架构设计，包括功能模块和非功能模块，以及硬件、软件架构等。
·构建——根据设计成果，组织系统搭建，编写代码，并根据设计方案进行参数配置。
·测试——执行系统集成测试、性能测试以及用户测试，验证系统有效性。
·部署——评估系统的准备程度，执行部署的筹备工作，制订回退策略，将解决方案部署在生产环境并验证部署的有效性。
·迁移——将构建的系统正式交付使用。
在运行和维护阶段，组成该阶段工作流的活动如下：
·计划——制订运行和维护服务计划。
·服务授权——明确身份和访问管理服务执行流程并提交管理层审批。
·服务提交——根据管理层审批的流程执行服务交付。
·成果提交——执行知识转移和经验总结，并向管理层沟通和汇报。
四、身份和访问管理成功要素
身份和访问管理的成功实施依赖于组织的战略目标、核心业务需求和现有应用环境。每个组织的身份和访问管理体系建设都应考虑下述成功因素：
·管理者需要意识到身份和访问管理的战略性，审慎评估对组织可能带来的影响和转变。
·明确驱动规则以及身份和访问管理工作流定义的安全策略。
·实施部门需获得管理层的全力支持，并认可流程改造所带来的影响。
·关注身份和访问控制管理流程优化改造、人员和组织的转变管理，技术只是身份和访问管理的实现手段。
·采用基于请求的管理模型来模仿组织现有的权限管理流程。
·逐步实现基于角色和基于规则的权限授予模型，实现基于请求流程的自动化实现机制。
·准备全面的转变管理和交流计划。
·采用分阶段的方式集成目标系统以及支持不同类型用户的身份和访问管理。
·根据需求分析审慎地进行身份和访问管理软件选型。
五、结束语
今天的组织在身份认证与访问管理方面面临着各种各样的挑战，除了要充分意识到它的重要性和艰巨性，还需要寻求更为自动化且更为安全的身份识别与访问管理解决方案。组织内部和外部的环境变化要求进一步提高管理职能的效率以及管理执行的力度，同时能够尽可能地控制管理成本。组织管理者只有充分意识到身份和访问管理是一项长期的管理工作，而不是一个项目或者一次性的行动，才能在组织内部推动该项管理工作，并借此给企业带来长远的收益，这些收益不仅仅局限于管理效率和安全性，更包括长远的战略目标实现和组织声誉。
个人资料泄漏调查经验分享
台湾新版《个人资料保护法》已于2012年10月实施，在这部与企业及民众都有切身利害关系的法律实施之后，各产业都无法置身事外。放眼2012年，个人资料泄漏事件依旧频传，一般民众对于自身权益保护的意识也日益高涨，且根据《个人资料保护法》第十二条的规定，若企业因违反该法而导致个人资料被侵害，“应查明后以适当方式通知当事人”。然而，第二十九条提及的企业损害赔偿责任，如果能“证明其无故意或过失者，不在此限”。因此，调查事件真相不仅仅是企业的义务，更是帮助企业保护自身的必要诉讼防守策略。计算机取证与调查势必成为企业应变个人资料泄漏事件的必要一环，本文将介绍企业进行个人资料泄漏事件调查时，在前、中、后三阶段可能面临的状况。
一、调查前置准备时
在事件调查行动开始前，专业的计算机取证调查顾问团队必须从环境架构复杂的客户端快速掌握信息且取得资源，才能确保后续调查过程的正确性与时效性。很多时候，由于人员的应变意识不足，或并不具备妥善的环境，又或公司内部并未取得共识，而直接造成对调查的阻碍或误解。因此，在企业与外部顾问共同展开调查时，企业应做好下述信息与资源的准备。
首先是事件背景资料的搜集，厘清究竟是哪些异常状况发生，导致企业认为有个人资料泄漏事件，包括异常状况发生在什么时间、发生于哪些主机或系统，并进一步记录该受害主机的平台环境，该主机开放的相关服务与事件发生时的网络联机状况，以及最重要的，事件通报或发现人员曾经执行过的任何应变动作。
其次是影响范围的初判，个人资料泄漏的起因通常不会只涉及单台主机，无论是外来因素或是内部因素造成的，牵连主机都可能包含数据库、相互介接系统平台、其他数据抛转主机，甚至是相同或互通网段服务器与用户主机等。唯有先取得前述系统/网络环境架构信息，并确认是否有类似或其他异常状况(仍在)发生，才能辅助判断事件的规模及程度，并开辟事件的“防火线”。
在调查的初步范围确定后，应针对企业内部的科技环境现状进行确认，尤其是各种系统稽核日志，如同目前《个人资料保护法》实施细则修正草案第十二条第二项所要求的，“使用记录、轨迹数据及证据保存”，调查相关范围内的主机与系统，看它们是否皆具备稽核功能且妥善保存了足以帮助调查的轨迹资料。此外，还要看企业是否具备并保存了联机防护设备监控的信息与异动记录。若企业已具备周全的证据保存环境，且曾经对于组织内的个人资料进行过盘查与流向清查，那么这些对于调查的进展都有极大的帮助。
前三项信息的取得可能都要依赖信息（系统与网络）安全部门的协助，但在计算机取证专业团队进行实地调查前，企业应建立起其他人员共同参与的共识，以便调查过程顺利进行。例如，管理高层的授权与布置，可以在外部顾问进行调查时，确保内部员工的配合度；遵法与行政方面的支持，必要时可包含法务、稽核、人资甚至总务与保全方面的协助。
二、事件调查启动时
在计算机取证专业团队进驻并启动调查后，若外泄事件持续发生，企业通常以应变防堵为优先作法，可能的系统下线、网络隔离、主机关机等动作都必须有专业人员进行实时取证与完整稽核轨迹留存作为相应的补偿措施，才不会导致事件调查的证据来源完整性受到影响。企业方面可能会有的疑问是，科技环境架构如此庞大复杂，要从哪些主机着手才能查明事件发生的原因呢？以下介绍两种常见的实务调查方向。
(一) 由内而外进行调查
这种调查方式常见于个人资料泄漏事件已经明确发生，企业得知事件是来自外部机构通报或接到客户投诉等，但却不知外泄缘由。因此调查起点先定位于数据所在系统或主机，包括应用系统及数据库等；进而层层推进，向该主机有所介接、抛转、连接、互通的其他层面主机扩大调查。
(二) 由外而内进行调查
此种调查常见于已有外因造成的明显异常现象发生，由企业内部人员发现而主动通报，但尚无法确认哪些数据受害。因此调查起点先定位于外来联机的异常记录，如防火墙或IPS记录等；进而向内深入调查所有被接触过的主机及其延伸范围。
除了针对前面所提及的各种层面的完整稽核轨迹日志（包含数据库、网络防护监控设备、应用系统、服务器平台、操作系统、联机软件与防病毒软件等），进行人、事、时、地、物交叉比对的反常分析，以试图找出完整的犯规轨迹之外；针对单一嫌疑主机的深入调查也是十分必要的，专业人员利用特殊分析手法，在完全遵循数字鉴别原则的情况下，针对嫌疑者的行为执行数字采证。
三、调查完成后
在查明事件起因后，计算机取证专业团队会出具调查报告给管理阶层参阅，并对资讯人员提出相关强化方向的建议，将因事件所获得的数据文件完整移交给企业方人员；但若企业有委托保存数字证物的需求，则由外部专业数字鉴别实验室进行最严谨的数字证物托管，直到诉讼程序或委托结束。此外，假使企业认为有必要进行后续诉讼程序，鉴别顾问也会协助证据的呈交准备，并陪同企业代表（如法务人员）向执法单位进行证物的相关说明。
随着《个人资料保护法》逐渐为大众所熟悉，个人资料泄漏已成为企业不可忽视的潜在风险，对于事件查明的责任，已成为企业必须深思的议题。事件调查之前的企业准备、事件调查过程的实际方式与调查结束后企业所能获得的益处与后续帮助，皆可作为企业因考虑组织人力与公正性，而决定采用与专业第三方协同调查时，可遵循的良好实务经验。