企業通常很清楚自己有多少員工、多少台筆電、多少部伺服器，但如果今天問 Security Team 企業現在有多少個 Identity，答案往往沒有那麼容易。
除了正式員工之外，企業環境裡還可能存在 Contractor、外部使用者、Admin Account、Service Account、Cloud Identity、第三方 SaaS 帳號，甚至 AI Agent。
而真正困難的不是數量，而是另一個更重要的問題：
這些 Identity 和 Access，現在真的都還應該存在嗎？
有些員工已經離職，但某個 SaaS 帳號仍然有效；有人三年前因為專案取得特殊權限，現在依然保留；某些高權限帳號沒有完整套用 MFA；也可能有 Service Account 已經沒有人知道誰負責。
這些問題未必來自一次明顯的資安事件。很多時候，它們只是企業多年正常營運後逐漸累積下來的結果。當 Identity、帳號與權限持續增加，但 Ownership、Access 與 Security Policy 沒有同步被整理，Identity 本身就會逐漸變成企業的 Attack Surface。
這就是 Identity Sprawl 真正值得關注的地方。
Identity Sprawl 的問題不只是帳號太多
Identity Sprawl 很容易被理解成「企業帳號太多」，但真正的風險並不是數量本身，而是企業無法確認哪些帳號、權限與存取關係仍然合理。
上一篇談到 Identity Lifecycle Management 時，我們提到一個常見情境：員工加入公司後取得第一批權限，之後轉換部門、參與不同專案，又陸續增加新的 Access。如果舊權限沒有同步被移除，幾年後就可能形成 Privilege Creep。
Identity Sprawl 就是這些問題長期累積後的結果。
例如，一名離職員工的主要帳號已經停用，但某個第三方 SaaS Account 還存在；一個 Administrator Account 很久沒有使用，卻依然保持 Active；某個企業 Application 明明要求 MFA，實際上卻存在可以繞過 SSO 或 MFA 的登入路徑。單獨看每一項，都不一定像重大漏洞。但它們組合起來，就會擴大企業的 Identity Attack Surface。
企業特別值得注意的幾類風險，包括長期未使用的帳號、未完整 Offboarding 的使用者、超出工作需求的權限、MFA 覆蓋缺口，以及已經找不到明確 Owner 的帳號或 Non-Human Identity。
Okta Identity Security Posture Management（ISPM）能從不同 Identity、SaaS 與 Cloud 來源中找出包括 unused accounts、partially off-boarded users、No MFA 等問題，並根據風險程度協助企業排序處理。
真正危險的 Identity，未必是企業完全不知道它存在。更常見的問題是：企業知道它存在，卻已經說不清楚它為什麼還需要存在。
已經有 IAM，為什麼還需要 Identity Security Posture Management？
這也是企業第一次接觸 ISPM 時最容易產生的疑問。
如果公司已經有 Okta、Microsoft Entra ID 或其他 IAM 平台，也已經在做 SSO、MFA 與 Lifecycle Management，為什麼還需要另一層 Identity Security Posture Management？
原因在於兩者解決的問題不同。
IAM 主要負責讓企業建立 Authentication、Provisioning 與 Access Policy。例如確認使用者是誰、允許哪些人登入某個系統，以及在人員入職或離職時建立或撤銷帳號。但企業真正的 Identity Landscape 往往橫跨很多系統。同一個人可能在 Okta 有主要 Identity，在 Microsoft 365 有帳號，在 AWS 有 Role，在 GitHub 有 Repository Access，在 Salesforce 又有另一組 Permission。
從單一系統來看，每一項設定都可能沒有明顯問題。但把它們放在一起看，就可能出現完全不同的風險。例如某名使用者同時擁有高權限、很久沒有使用某項 Access，而其中一條登入路徑又沒有受到足夠的 MFA 保護。
Security Team 真正需要看的，不只是每個系統各自的設定，而是：
「這個 Identity 在整個企業環境中到底擁有什麼？又是怎麼登入的？」
這正是 ISPM 的價值。
Okta ISPM 可以連接 Identity Provider、SaaS Application 與 Cloud Infrastructure，持續建立 Identity、Permission 與 Authentication 的可視性，讓 Security Team 找出分散在不同系統之間的風險。
可以簡單理解成：
IAM 告訴企業「誰可以登入、誰可以取得 Access」。
而 ISPM 再往前一步問：
「企業現在這些 Identity、Access 與 Authentication 設定，整體來看安全嗎？」
Okta ISPM 如何把看不見的 Identity Risk 變成可以處理的問題？
Security Team 通常不是完全找不到問題，真正困難的是問題太多
如果一個平台一次告訴你：「目前有 3,000 個 Identity Security Issue」
這個數字本身其實沒有太大幫助。企業真正需要知道的是：哪一個應該先處理？
例如兩個帳號都沒有完整 MFA 保護
其中一個只是低權限的測試帳號，另一個卻是可以存取重要系統的 Admin Account，表面上都是「No MFA」，但實際風險完全不同。
Okta ISPM 的做法不是只建立一份問題清單，而是根據 Identity 的 Context 與 Severity 協助 Security Team 排序。例如 privileged user 未受到 MFA 保護、Critical Application 缺少 MFA Coverage，或存在可以繞過既有 SSO / MFA Policy 的登入路徑，都可以被提升為更需要優先處理的問題。
這讓 Identity Security 從單純的 Finding，進一步變成 Risk Prioritization。
第一步是 See：看見企業有哪些 Identity、Account、Application 與 Access Relationship。
第二步是 Understand：判斷哪些組合真正形成高風險，例如 Excessive Permission、Stale Account、MFA Gap 或 Privileged Access。
第三步則是 Remediate：把這些風險轉成可以採取的行動。
Unused Account 應該停用；過多權限應該縮減；MFA Gap 應該修正 Policy；Partially Offboarded User 應該完成 Deprovisioning；長期未使用的 Application 或 Workload 也應該重新評估是否仍然需要存在。
Okta ISPM 目前也能識別長期沒有活動的 Application 與 Workload，協助企業減少不必要的 Access Point。因此 ISPM 真正的價值不是「找到更多問題」，而是讓企業知道哪些 Identity Risk 最值得先處理。
Identity Security 不應該等到帳號被攻擊才開始
傳統 Security 很容易把重點放在 Attack 發生之後：偵測異常、產生 Alert、調查 Incident，再進行 Response。
但 Identity Security 還有另一個更早的階段：在攻擊發生之前，先把不必要的 Attack Surface 移除。
如果一個離職帳號根本不應該存在，那最好的防禦不是等待有人利用它登入後再偵測異常，而是提前把帳號關閉。如果某個 Admin Account 根本不需要保留永久高權限，那最好的防禦也不是等帳號被攻擊後才告警，而是先降低它的權限。如果企業發現某條登入路徑沒有 MFA，最好的時間點同樣是在攻擊發生之前修正。
Okta 也把 Identity Security Posture Management 放在 Identity Security 的 Pre-Attack 階段：持續找出 Identity Risk、Misconfiguration、Excessive Permission 與 Authentication Gap，目標是在攻擊者利用它們之前，先縮小企業可以被攻擊的範圍。
這也讓 ISPM 與傳統 IAM 形成很清楚的互補。
Lifecycle Management 可以幫企業減少新的權限問題持續產生。
Identity Governance 可以確認使用者是否仍然需要目前的 Access。
ISPM 則更進一步回頭檢視：企業現在已經累積了哪些 Identity Risk？
當企業開始把這些問題持續找出、排序與修正，Identity Security 就不再只是一次性的 Access 設定，而會逐漸變成一個持續改善的 Security Posture。
Identity Attack Surface 越小，攻擊者可以利用的機會就越少
Identity Sprawl 往往來自多年營運過程中的正常變化：員工入職、調職、離職；新 SaaS 上線；Cloud 使用增加；Service Account 增加；新的 AI 與 Non-Human Identity 進入企業。
真正的問題不是企業能不能完全阻止 Identity 增加，而是能不能持續知道：
哪些 Identity 還存在？
誰負責？
擁有什麼權限？
怎麼登入？
這些 Access 是否仍然合理？
當答案開始變得模糊，Identity 就會從企業營運的必要條件，逐漸變成 Attack Surface。
Okta ISPM 的角色，就是讓 Security Team 可以從分散的 Identity Data 中重新建立可視性，找出不必要的帳號、過度權限、Authentication Gap 與其他 Identity Misconfiguration，並把有限的資安資源優先用在真正影響最大的問題上。
Identity Security 不應該只問「誰正在攻擊我們？」更應該先問：「我們到底留下了多少可以被攻擊的 Identity？」
如果企業目前仍然很難回答自己到底有多少帳號、多少高權限使用者、哪些 Access 已經長期未使用，真正需要改善的可能不只是 IAM，而是整體 Identity Security Posture。
歡迎聯絡思想科技 Master Concept 專業顧問一起評估企業目前的 Identity Security Posture，找出 Identity Sprawl、MFA Gap、Stale Account 與 Excessive Access 中可能被忽略的風險。
FAQ
Identity Sprawl 是什麼？
Identity Sprawl 是企業的帳號、權限與 Human / Non-Human Identity 分散在不同 SaaS、Cloud 與 Identity 系統中，導致企業越來越難掌握誰擁有什麼 Access。
Identity Sprawl 有什麼風險？
它可能留下 Stale Account、過多權限、MFA Gap 或無人負責的 Identity，進一步擴大企業的 Identity Attack Surface。
ISPM 是什麼？
Identity Security Posture Management（ISPM）是持續發現、評估並優先處理 Identity Risk 與設定缺口的安全管理方式。
IAM 和 ISPM 有什麼不同？
IAM 主要管理 Authentication 與 Access；ISPM 則持續檢查現有 Identity、Permission 與 Authentication 設定是否已經形成安全風險。
Okta ISPM 可以找出哪些問題？
Okta ISPM 可協助找出 Unused Account、Partially Offboarded User、MFA Gap、Excessive Permission，以及其他 Identity Security Misconfiguration。
