数据泄露成本持续同比上升：是时候将访问控制与网络安全合并为统一模型了

磁带、电子打字机和卡片读取器有什么共同点？

如果你的答案是：“它们都是在上世纪六十年代出现的技术创新”，那你是正确的。

你在工作（或其他任何地方）中仍然使用磁带和打字机的可能性不大，但卡片读取器仍然是办公室安全的常用工具。这凸显了组织仍然依赖传统安全解决方案的程度，往往还未意识到其中的风险。

更重要的是，商业世界的安全长期以来被划分为访问控制和网络安全两大块。一支团队专注于物理威胁，另一支团队则处理数字威胁。

然而，随着新威胁从几乎所有方向涌现，攻击尝试激增，安全高管——如首席信息安全官（CISO）和首席安全官（CSO）——有责任弥合物理安全与数字安全之间的鸿沟。联合行动不仅能更全面地了解潜在风险，还能更深入地理解安全工作。这对任何拥有需要保护的知识产权的公司都适用，也就是说，几乎是当今所有在运营的企业。

我们越来越多地看到访问控制与网络安全相互交叉，部分原因是，一侧的泄露最终可能导致另一侧的泄露。

信息孤岛长期是组织面临的挑战，但在安全领域尤为危险。物理安全和数字安全已无法再各自为政。通过统一两者，组织可以构建更强大、更具韧性的基础——更好地保护资产、员工、利润底线和声誉。

从卡片读取器到生物识别

各类公司CISO和CSO的一个常见错误是，即使意识到风险仍依赖卡片读取器等传统技术来实现物理安全。不幸的是，物理安全往往在发生泄露之前并未被列为首要任务。2024年Deloitte研究发现，仅有六位州雇用的CISO报告称其州的网络安全预算涵盖了物理安全，较2022年的15位大幅下降。

当公司刚起步且员工只有少数时，物理安全并不是主要挑战。企业可能在大楼大堂配有保安，并在实际工作区的出入口设置卡片读取器。当时这可能已经足够。

但随着办公室规模、地点和员工人数的增长，管理安全变得更加困难，至少在物理层面上，这包括在员工尝试进入工作区时进行身份验证并阻止不法分子进入。当多个办公室各自维护独特的安全标准时，物理安全会变得更加复杂，这几乎不可能从上层进行统一监控，实际上也为欺诈者打开了大门。

而且，不幸的是，威胁并不总是来自外部。假设一名员工被解雇。物理安全侧重于阻止该人员进入大楼，而网络团队则监控潜在的数字威胁。但如果双方不沟通、无法对接信息，就没有人能完整了解风险。这是一个巨大的错误。

钥匙卡经常丢失、被盗或被克隆，成为安全中的weak link。而且在每个办公室的每扇门前都配备保安并不实际。这时更先进的技术，如生物识别认证，就显得尤为重要。它可以帮助企业在不大幅增加人力的情况下降低风险，这对CISO、CSO（以及CTO和CFO）来说无疑是好消息。

统一安全模型

可以这样想：网络安全是一座金字塔。最有价值、需要最严密防护的资产——如IP和客户数据——位于金字塔的顶端。物理安全则是金字塔的基座。金字塔中间则是需要不同程度安全保护的资产。

你的CISO/CSO可能已经竭尽全力保护顶层乃至中层的数据。但如果基座不稳，整座金字塔都面临风险。只要有一个不法分子，无论是发送精心伪造的钓鱼邮件，还是在员工身后溜进敞开的门后插入U盘，都可能引发一次价值数百万的泄露。根据IBM报告，2024年全球数据泄露的平均成本为490万美元，比上一年增长了10%。而对于工业部门——通常包括数据中心和关键基础设施——这一数字更高。

如果组织拥有能够整体审视物理和数字资产的安全团队，他们就能更好地保护整座金字塔，包括所有可能的攻击向量。以这种方式简化安全运营固然复杂——这几乎是CISO或CSO的全职工作。但在代价高昂的泄露发生之前，提前投资统一安全模型仍是更明智的选择。

物理与数字安全的未来

有一点是确定的：不法分子将继续不懈地尝试以恶意目的侵入公司安全。为了保持领先，企业必须采用不会干扰工作场所的更安全技术。如果员工在每个门口都必须刷卡并输入密码，企业就会给员工的日常工作增加摩擦。诚然，这（至少在大多数情况下）只能保证正确的人进入相应的房间，但该系统容易出现尾随、密码共享和卡片遗失等问题。一研究发现，平均拥有 40,000 名员工的公司每年会损失 10,378 张钥匙卡/钥匙扣。

面部认证等生物识别技术可以帮助消除部分办公室摩擦，为所有员工（包括 CISO 和 CSO）实现更好的平衡。通过面部生物识别验证员工身份，员工只需继续行走即可实时验证，并更快通过出入口。

如今，人工智能正帮助生物识别系统随时间变得更智能。借助机器学习，这些技术能够持续适应个人外观的自然变化，如新发型或佩戴眼镜，而无需重新注册。

投资此类前沿的访问控制技术是组织实现未来防护的最明智方式之一。它既能维护物理和数字安全，又能提升员工体验。