Переосмысление владения CIAM на предприятии

1. Введение#

Спросите десять предприятий, кому принадлежит клиентская идентификация (CIAM), и вы получите десять разных ответов. Иногда это CISO. Иногда — технический директор (CTO), потому что CIAM должен быть интегрирован непосредственно в приложение, веб-сайт и API продукта. Иногда это CPO (директор по продукту). Иногда это команда по борьбе с мошенничеством, которая взяла на себя частичный контроль, потому что никто другой не видел картину целиком. Часто владельца вообще нет, и систему поддерживает DevOps-инженер, которому она досталась три реорганизации назад.

Магический квадрант Gartner для CIAM (Gartner CIAM Magic Quadrant) делит клиентский IAM на пять функциональных областей: регистрация, аутентификация, авторизация, самообслуживание и аналитика, которые почти никогда четко не ложатся на одну команду. По данным Grand View Research, мировой рынок CIAM оценивался в 8,12 млрд долларов США в 2023 году и, по прогнозам, достигнет 26,72 млрд долларов США к 2030 году (совокупный среднегодовой темп роста 17,4%). Вопросы владения растут пропорционально этим расходам.

CIAM — одна из самых кросс-функциональных программ на большинстве предприятий B2C. Она находится на стыке безопасности, разработки, продукта, предотвращения мошенничества и роста, и каждая из этих функций оптимизирует свои метрики. Владение решает, какая метрика побеждает при их конфликте. Неоднозначное владение означает, что не побеждает никто, и программа идентификации пускается на самотек.

В этой статье мы переосмыслим владение CIAM для современного предприятия: общие профили владельцев, как отрасль влияет на ответ, почему фрагментированные данные и культура «это не моя проблема» оставляют вопрос открытым, и как выглядит общая операционная модель, если реорганизация не обсуждается.

1.1 На какие вопросы отвечает эта статья#

В этой статье мы рассмотрим следующие вопросы:

1. Почему владение CIAM неоднозначно на большинстве предприятий и чего на самом деле стоит эта неоднозначность?
2. Кто является типичными владельцами CIAM и как каждый из них по-своему оптимизирует программу?
3. Почему фрагментированное владение часто коррелирует с отсутствующим слоем аналитики аутентификации?
4. Как отраслевой контекст (электронная коммерция против банкинга или регулируемого B2C) меняет ответ?
5. Где разделенное владение вредит больше всего?
6. Какие KPI в сфере CIAM никто полностью не контролирует, но они нужны каждой команде?
7. Как выглядит общая система показателей CIAM и как ее внедрить без реорганизации?

2. Проблема броска монеты#

2.1 Почему CIAM — ваша самая кросс-функциональная программа#

Идентификация потребителей и клиентов затрагивает всё. Она решает, сможет ли пользователь купить, продлить подписку, восстановить доступ или воспользоваться регулируемой функцией. Офис CISO обеспокоен, потому что каждое событие аутентификации — это событие безопасности. Офис технического директора заботится об этом, поскольку CIAM необходимо интегрировать в приложение, сайт и API, и каждое изменение во входе в систему поставляется вместе с реальным кодом продукта. Офис CPO заинтересован, потому что каждое событие аутентификации — это событие конверсии. Отдел по борьбе с мошенничеством следит, потому что каждое повышение уровня аутентификации (step-up) — это сигнал о возможном фроде. Отдел роста заботится об этом, так как персонализация зависит от идентификации пользователя. Ни у одной другой системы нет пяти законных владельцев одновременно.

2.2 Цена неоднозначного владения#

Затраты видны во время внедрения ключей доступа (passkeys). Развертывания, которые останавливаются на 5–15% использования, почти всегда имеют одну общую черту: ни один владелец не отвечал за внедрение от начала до конца. Безопасность профинансировала пилот, продукт отвечал за интерфейс, ИТ — за провайдера идентификации (IDP), отдел по борьбе с мошенничеством — за step-up аутентификацию, и никто не отвечал за подталкивание когорт, которое фактически стимулирует регистрацию. Программа двигалась со скоростью самого медленного владельца.

Барометр онлайн-аутентификации Альянса FIDO за 2024 год (FIDO Alliance 2024 Online Authentication Barometer) показал, что осведомленность о ключах доступа в мире выросла до 57%, и 42% респондентов, знакомых с ними, включили их хотя бы для одного аккаунта. Разрыв между осведомленностью и активацией — это то, где неоднозначное владение CIAM проявляется наиболее конкретно: технология работает, а ее внедрение — нет. Как отметил аналитик Gartner Дэвид Махди в контексте сближения дисциплин IAM, «организации должны переосмыслить свою архитектуру IAM, чтобы справиться с растущей децентрализацией управления идентификацией и доступом». Без владельца переосмысления не происходит.

2.3 Проблема отключенной аналитики#

Одна из причин, по которой так много команд в конечном итоге претендуют на долю в CIAM, заключается в том, что изначально не существует общего инструмента аналитики аутентификации. Приведенная ниже диаграмма показывает закономерность: четыре системы хранят четыре фрагмента пути аутентификации, и ни одна из них не находится выше, чтобы объединить эти сигналы.

Руководящие принципы цифровой идентификации NIST (специальная публикация 800-63-4: NIST Special Publication 800-63-4) прямо призывают к «непрерывной оценке» гарантий аутентификатора, что невозможно без сквозного обзора событий. На практике такое представление есть лишь у меньшинства программ B2C: опрос потребителей Ping Identity 2024 года (2024 Ping Identity Consumer Survey) показал, что 63% потребителей отказались бы от учетной записи после двух неудачных попыток входа, что является метрикой, которую отслеживают лишь немногие команды CIAM, поскольку данные, необходимые для ее отслеживания, находятся в трех разных системах.

Затем каждый владелец защищает свой сегмент. Отчасти это связано с бюджетом — команда, которая заплатила за данные, чувствует, что заслужила контроль. Отчасти с влиянием — данные — это самый простой способ продемонстрировать ценность при кросс-функциональном обзоре. Практический эффект заключается в том, что даже когда проблема CIAM охватывает все четыре системы, ни один человек не может увидеть ее от начала до конца. Выделенный слой наблюдаемости аутентификации устраняет это оправдание и обычно вызывает давно назревший разговор о владельце.

3. Типичные владельцы#

На CIAM регулярно претендуют пять функций, и каждая из них оптимизирует разные метрики. В приведенном ниже сравнении обобщается, по каким показателям оценивается каждый архетип и где находится его слепая зона.

3.1 Офис CISO#

Оптимизирует: уровень мошенничества, охват MFA, долю скомпрометированных аккаунтов и результаты аудита. Относится к CIAM как к мере безопасности. Сильные стороны: четкие KPI и бюджетные полномочия под давлением регулирующих органов (DORA, NIS2 или NIST 800-63). Слепые зоны: влияние трения на конверсию, затраты на поддержку неработающих процессов и опыт той большой части пользователей, чьи устройства ломаются незаметно для них.

3.2 Офис CTO#

Оптимизирует: усилия по интеграции, надежность платформы, качество SDK, скорость релизов и затраты на разработку. Рассматривает CIAM как проблему продуктовой интеграции, потому что вход в систему — это код, который поставляется вместе с приложением, веб-сайтом и API. Сильные стороны: близость к продукту, владение клиентским SDK, способность быстро исправлять неисправные процессы. Слепые зоны: нюансы регуляторики, компромиссы при борьбе с мошенничеством и долгосрочная гигиена учетных данных после запуска интеграции. ИТ-директор (CIO) выступает в этой роли в государственном секторе и на предприятиях с сильно централизованным ИТ, но в большинстве компаний, ориентированных на потребителей, эта роль больше подходит офису технического директора (CTO).

3.3 Офис CPO или отдел продуктов#

Оптимизирует: конверсию входа, уровень активации, успешность восстановления и время до первой ценности (time-to-first-value). Относится к CIAM как к продукту. Сильные стороны: строгий подход к UX, A/B-тестирование и эмпатия к клиенту. Слепые зоны: подверженность мошенничеству, нормативные ограничения и долгосрочная гигиена учетных данных.

3.4 Отдел по борьбе с мошенничеством или отдел рисков#

Оптимизирует: частоту срабатывания step-up, частоту ложных срабатываний, частоту возврата платежей (chargeback) и частоту захвата аккаунтов. Владеет сегментом идентификации, редко — всей системой. Сильные стороны: моделирование рисков, получение сигналов в реальном времени и реагирование на инциденты. Слепые зоны: процессы регистрации, процессы восстановления и части идентификации, которые не являются транзакционными.

3.5 Отдел роста или маркетинга#

Новый владелец, особенно в потребительских подписках и ритейле. Оптимизирует: уровень повторного вовлечения, кросс-продажи при входе в систему и готовность к персонализации. Относится к идентификации как к основе для циклов роста. Сильные стороны: мышление жизненного цикла и культура экспериментирования. Слепые зоны: всё, что не касается роста.

4. Где разделенное владение действительно вредит#

4.1 Предоставление доступа (Provisioning) против Отзыва доступа (Deprovisioning)#

Предоставление доступа — это проблема эффективности: как быстро вы сможете ввести пользователя в систему. Отзыв доступа — это проблема безопасности: как быстро вы сможете удалить из системы скомпрометированного или уволившегося пользователя. Их почти всегда покупают как один инструмент, и они недостаточно настроены, потому что владелец, ориентированный на эффективность, никогда не чувствует боли отзыва доступа, а владелец, ориентированный на безопасность, никогда не чувствует боли предоставления доступа.

4.2 UX от отдела по борьбе с мошенничеством против UX от продукта#

Специалисты по борьбе с мошенничеством добавляют трение, потому что оно блокирует злоумышленников. Продукт устраняет трение, потому что оно блокирует выручку. Когда обе команды формируют одну и ту же страницу входа без общего владельца, результатом становится компромисс, который не удовлетворяет ни одну из сторон: достаточно трения, чтобы раздражать пользователей, но недостаточно, чтобы остановить мошенничество. Step-up с оценкой рисков — это технический ответ. Единый владелец клиентского пути — это организационный ответ.

4.3 Нет общего представления о производительности входа#

Разделенное владение также наносит ущерб, потому что нет общего слоя аналитики. Реальные показатели производительности входа — коэффициент успешности сквозного процесса, успешность восстановления, частота срабатывания step-up, доля использования резервных методов (fallback) по когортам и успешность на уровне методов (пароли, OTP, соцсети, ключи доступа) — разбросаны по IDP, пакету продуктовой аналитики, антифрод-движку, SIEM и нескольким электронным таблицам между ними. Каждая команда видит свой сегмент, никто не видит весь путь, а симптомы скрываются в метриках, которые по отдельности выглядят нормально, но прячут реальную проблему.

Вход в систему, который происходит медленно для пользователей старых версий Android, проявляется как небольшой всплеск задержки IDP, небольшое падение конверсии и небольшой рост количества обращений в службу поддержки. Ни один из этих показателей сам по себе не вызывает тревоги. Но вместе они составляют регрессию, которую стоит исправить. Без единого владельца и единого представления эта регрессия может оставаться нетронутой в течение кварталов.

5. Отрасль формирует ответ#

То, кто в конечном итоге владеет клиентской идентификацией (CIAM), также зависит от отрасли. Одна и та же организационная структура, которая работает в одном секторе, в другом кажется чрезмерно или недостаточно управляемой.

• Электронная коммерция рассматривает CIAM как проблему конверсии. Входом владеет продукт, повторным вовлечением — отдел роста, а защита от мошенничества располагается рядом с ними. Аппетит к безопасности умеренный. Периодичность — еженедельные эксперименты. Исследование о брошенных корзинах, проведенное институтом Baymard (Baymard Institute cart-abandonment research), сообщает, что средний уровень отказов составляет 70,2%, и значительная часть связана с проблемами при работе с аккаунтом, что надежно удерживает продукт в кресле владельца.
• Банкинг и финансовые услуги рассматривают CIAM как проблему безопасности и соответствия нормативным требованиям (compliance). Программой владеет CISO, рисками управляет отдел рисков (step-up), а платформой управляет ИТ. Аппетит к безопасности высок, а регулярность проверок — ежеквартальная с жестким аудитом.
• Телекоммуникации, страхование и здравоохранение находятся посередине. Давление в области комплаенса тянет их к банкингу. Давление со стороны клиентского опыта тянет их к электронной коммерции. Модель управления обычно представляет собой разделение между CISO и CPO с общей системой показателей.
• Государственный сектор и регулируемый B2B ставят возможность аудита выше экспериментов. CIAM находится в ведении CIO (там, где все еще существует централизованное ИТ) или специализированной функции управления идентификацией (Identity Governance) с темпом, обусловленным комплаенсом. Требования к уровню уверенности в идентификации (Identity Assurance Level) NIST 800-63-4 устанавливают минимальную планку.

Приведенный ниже квадрант распределяет каждую отрасль по двум измерениям, определяющим ответ на вопрос о владении — аппетит к безопасности и частота проверок (review cadence) — и отображает доминирующего владельца, который вытекает из каждой позиции.

Система показателей, которая работает для ритейлера, считается недостаточно управляемой в банке. Модель управления, которая работает для банка, воспринимается как слишком сложная у ритейлера. Опубликованные исследования Forrester Total Economic Impact о CIAM, заказанные вендорами, показывают широкий разброс: исследование ForgeRock CIAM TEI показало ROI в 186% за три года, в то время как исследование WSO2 CIAM TEI сообщило о ROI в 332%. Соотношение драйверов (повышение конверсии, снижение уровня мошенничества, затраты на аудит) существенно различается в разных секторах, поэтому и сам диапазон рентабельности инвестиций так варьируется. Выбор правильного владельца начинается с определения отраслевого паттерна, в котором вы фактически работаете.

6. Идентификация сотрудников против Идентификации клиентов#

IAM для сотрудников и IAM для клиентов обычно находятся в разных командах, и чаще всего это правильная конфигурация. Обе системы работают с идентификацией, но они оптимизируют разные вещи. IAM для сотрудников (Workforce IAM) управляет известными сотрудниками на управляемых устройствах с длинной сессией и небольшой популяцией пользователей — обычно от 1000 до 100 000 человек. CIAM управляет анонимными потенциальными покупателями и клиентами на неуправляемых устройствах с короткими, чувствительными к конверсии сессиями и базой пользователей на несколько порядков больше, часто десятками или сотнями миллионов. Модели угроз, KPI и выбор инструментов для них расходятся.

7. Нет единственно правильного ответа#

Не существует универсально правильного или неправильного места для размещения CIAM. Важно, чтобы работали внутренние зависимости: команда-владелец имеет полномочия принимать решения, команды-участники имеют официальное место за столом переговоров, а система показателей является общей настолько, что никто не может вырвать отдельную метрику из контекста.

Регулируемый банк может передать CIAM в ведение CISO и добиться успеха. Ритейлер может управлять CIAM под руководством CPO и добиться успеха. Телекоммуникационная компания может использовать разделенную модель между CISO и CPO и быть успешной. То, что терпит неудачу везде — это неявное владение без функции принуждения (forcing function), без общего слоя аналитики и без регулярности проведения кросс-функциональных обзоров. Организационный паттерн имеет меньшее значение, чем операционная модель, которая стоит над ним.

8. Общая система показателей CIAM#

Выбрать систему показателей обычно проще, чем выбрать владельца, и это работает без реорганизации. Идея проста: каждый дашборд руководителя по отдельной функции локально правилен, но глобально не полон. Решение — это одна страница, пять метрик, ежемесячно проверяемых функциями-владельцами вместе.

8.1 Метрики, которыми никто не владеет полностью#

Это пять кросс-функциональных KPI, которые находятся между областями видимости CISO, CTO, CPO, отделов борьбы с мошенничеством и роста. Каждая из них является несущей (load-bearing), и каждая недостаточно оснащена инструментами измерения на большинстве предприятий. Приведенная ниже диаграмма показывает, как каждая метрика находится на пересечении нескольких функций-владельцев, поэтому ни одна из них не ложится полностью на одну команду.

• Успешность входа по когортам. Совокупный показатель успешности входа скрывает всё. Глобальный показатель 92% может маскировать 70% на определенной комбинации ОС, браузера и менеджера паролей. Сообщение об успешности только в агрегированном виде — самая распространенная ошибка измерения в CIAM.
• Время до первого аутентифицированного действия. Задержка, которую пользователь фактически испытывает от попадания на страницу входа до возможности совершить транзакцию. Включает время срабатывания условного пользовательского интерфейса (Conditional UI), выбор учетных данных, биометрический запрос и возврат обратно. Коррелирует с конверсией, и ею никто не владеет.
• Использование и успешность путей восстановления. Сколько пользователей обращаются к восстановлению, какие пути они используют и сколько из них успешны. Восстановление — это место, где мошенничество встречается с трением и затратами на поддержку. Это относится к CISO, CPO и CTO одновременно, что обычно означает ни к кому.
• Создание passkeys в сравнении с их использованием. Создание — это доля подходящих пользователей, которые зарегистрировали ключ доступа. Использование — это доля входов в систему, которые фактически используют ключ доступа. Развертывание может иметь 60% охват и 20% использования, если зарегистрированные пользователи продолжают вводить пароли по привычке. Тот же разрыв относится к любому новому методу аутентификации.
• Отказы с разбивкой по методам аутентификации. С какого метода началась сессия и как часто она не заканчивалась. Отказы от паролей, OTP, соцсетей и ключей доступа (passkeys) имеют разные коренные причины: гигиена учетных данных, сбой доставки, сбой у стороннего поставщика, расположение элементов интерфейса или конфликт менеджера паролей. Их усреднение скрывает все эти проблемы.

8.2 Одна страница, пять метрик, ежемесячный обзор#

Система показателей (scorecard) — это артефакт на одну страницу, который ежемесячно анализируется функциями-владельцами. У каждой метрики есть основной владелец качества данных, кросс-функциональный владелец плана действий и целевой показатель, устанавливаемый совместно в начале каждого квартала. Страницы в Notion или Google Таблицы достаточно: обсуждение происходит вокруг одного документа (пейджера), а не на базе разрозненных дашбордов.

Каждый владелец вносит тот сегмент данных, который видит только он:

• Безопасность (Security) вносит информацию об уровне мошенничества, уровне скомпрометированных аккаунтов и результатах step-up аутентификации по когортам.
• CTO / Разработка предоставляет данные о времени безотказной работы (uptime), уровне ошибок интеграции, производительности SDK и стоимости одной аутентификации по методам.
• Продукт вносит данные о воронках конверсии, оттоке на каждом шаге и времени до первой ценности.
• Отдел по борьбе с мошенничеством делится информацией о частоте запуска step-up и доле ложных срабатываний по когортам.
• Отдел роста вносит информацию о соотношении анонимных и идентифицированных сессий и уровне повторного вовлечения (re-engagement rate).

Матрица ниже суммирует шаблон участия и делает явными пробелы в покрытии — ни один владелец не производит все пять метрик в одиночку.

8.3 Как внедрить это без реорганизации#

Большинство программ управления системой показателей терпят неудачу из-на инструментов измерения, а не из-за управления. Если базовый слой наблюдаемости не может разбить показатель успешности по ОС, браузеру и менеджеру паролей, никакая регулярность проверок не создаст полезную систему показателей. Последовательность, которая работает на практике:

1. Сначала инструменты измерения. Телеметрия событий на стороне клиента, которая может разбить успешность по когортам, является предпосылкой для каждой другой метрики в системе показателей.
2. Сначала выберите одну метрику для совместного владения. Успешность входа по когортам обычно является правильным первым выбором, поскольку она требует инструментов измерений по когортам, от которых зависят все остальные метрики.
3. Ежемесячный 60-минутный обзор. Первое заседание: согласуйте пять метрик и текущий базовый уровень (baseline). Второе заседание: согласуйте квартальные цели. Третье заседание: первый план действий. Добавляйте метрики в течение двух кварталов, а не все сразу.

Через шесть месяцев зрелое внедрение предоставляет отчет об успешности входа по когортам с указанием владельцев трех худших когорт, охвате и использовании ключей доступа как двух разных числах, успешности восстановления с общим владельцем от CISO/CPO, частоте срабатывания step-up наряду с долей ложных срабатываний и стоимости одной аутентификации с разбивкой по методам. Ежемесячный обзор переходит от споров о данных к спорам о решениях, что и является фактическим результатом.

9. Как Corbado добавляет недостающий слой данных для аутентификации#

Corbado не решает, кто владеет CIAM, и не пытается это сделать. Владение — это организационное решение. Что привносит Corbado, так это слой данных, которого изначально не хватало — тот слой, который разрозненные хранилища (silos), разделенные бюджеты и отношение в стиле «это не моя проблема» никогда не создавали сами по себе. Аутентификация, наконец, получает эквивалент того, что уже есть у продуктовой аналитики, инструментов наблюдаемости и средств борьбы с мошенничеством в их собственных доменах.

Слой наблюдаемости аутентификации располагается над IDP, системой предотвращения мошенничества и SIEM, объединяя их сигналы в единое представление пути входа. Попытки на бэкенде, процессы на стороне клиента, поведение менеджеров паролей, успешность на уровне когорт и результаты восстановления находятся в одной системе и измеряются относительно друг друга.

• Единый слой данных для аутентификации. Сигналы бэкенда, фронтенда, борьбы с мошенничеством и безопасности коррелируются для каждой сессии, когорты и пути пользователя, поэтому реальная производительность входа перестает быть скрытой в четырех разных системах.
• Успешность на уровне когорты. Успешность входа в систему с разбивкой по ОС, браузеру, менеджеру паролей и аппаратному обеспечению — это первая метрика системы показателей, которую большинство команд не могут получить из существующих инструментов.
• Создание и использование как отдельные показатели. Создание passkey и использование passkey передаются как два различных KPI, что является самым важным исправлением в измерениях, в котором нуждается большинство систем показателей.
• Аналитика путей восстановления. Использование потоков восстановления, успешность и отказы выявляются в той же таксономии событий, что и потоки входа, поэтому CISO и CPO видят одни и те же цифры.
• Отказы по методам. Отток по каждому методу позволяет системе показателей отделить отказ от пароля (гигиена учетных данных) от отказа от ключа доступа (passkey) (конфликт UI или менеджера паролей).
• Страховочные механизмы для внедрений (Rollout Safety Rails). Динамическое подавление, подталкивание специфических когорт и «аварийные выключатели» (kill-switches) позволяют тому, кто проводит программу, вносить изменения, не затрагивая напрямую IDP.
• Референсные бенчмарки. Базовые показатели других внедрений из клиентской базы Corbado позволяют сравнивать внутренние данные с внешними, что часто превращает ежемесячный обзор в принятие решения.

Споры о владении не исчезают с появлением слоя данных. Но их становится легче разрешить, потому что прекращаются споры формата «мои данные говорят, что…» и начинаются обсуждения о том, что делать дальше.

10. Заключение#

У CIAM есть несколько законных владельцев, и это не изменится. Меняется то, выбирает ли предприятие владельца или выбирает систему показателей. Выбрать владельца быстрее, но для этого нужен политический капитал. Выбор системы показателей происходит медленнее, но работает без реорганизации. Любой из этих путей лучше неявного подбрасывания монетки, которое используют большинство предприятий сегодня. Цена неоднозначного владения измеряется застопорившимися внедрениями, разрозненными процессами и тихой деградацией как показателей безопасности, так и конверсии одновременно.

О Corbado

Corbado — это Passkey Intelligence Platform для CIAM-команд, обеспечивающих аутентификацию пользователей в крупных масштабах. Мы показываем то, что не видят логи IDP и общие инструменты аналитики: какие устройства, версии ОС, браузеры и менеджеры учётных данных поддерживают passkey, почему регистрации не превращаются в логины, где сбоит WebAuthn-поток и когда обновление ОС или браузера тихо ломает вход — всё это без замены Okta, Auth0, Ping, Cognito или вашего собственного IDP. Два продукта: Corbado Observe добавляет наблюдаемость для passkey и любых других способов входа. Corbado Connect даёт managed passkey со встроенной аналитикой (рядом с вашим IDP). VicRoads использует passkey для более чем 5 млн пользователей с Corbado (+80 % активации passkey). Поговорить с экспертом по passkey →

FAQ#

Кто обычно владеет CIAM на крупном предприятии?#

По нашему опыту, владение распределяется между функциями CISO, CTO, CPO, борьбы с мошенничеством и роста. В регулируемых отраслях основными полномочиями обладает офис CISO. В компаниях, ориентированных на потребителей (digital-native), основные полномочия обычно принадлежат офису CPO или CTO, поскольку CIAM должен быть интегрирован в продукт. Выделенный менеджер по продуктам идентификации, управляющий общей системой показателей, является зрелым шаблоном для обоих вариантов.

Влияет ли отрасль на то, кто должен владеть CIAM?#

Да. Электронная коммерция рассматривает CIAM как проблему конверсии и обычно передает ее продукту или отделу роста. Банкинг рассматривает это как проблему безопасности и соответствия нормативным требованиям и возлагает ответственность на CISO. Телекоммуникации, страхование и здравоохранение используют разделенные модели. Правильный ответ следует из аппетита отрасли к безопасности и регулярности проверок (review cadence), а не из абстрактных лучших практик.

Почему разделенное владение CIAM вредит внедрению новых методов аутентификации?#

Любой новый метод аутентификации — от социального входа и MFA (step-up) до ключей доступа (passkeys) — нуждается в скоординированном UX регистрации, путях восстановления, политиках рисков и инструментах поддержки. Когда каждый из этих элементов находится в ведении разных владельцев с разной скоростью работы, внедрение движется со скоростью самого медленного владельца. Развертывания passkeys являются самым ярким текущим примером и регулярно останавливаются на уровне от 5% до 15% использования.

Должны ли IAM для сотрудников и IAM для клиентов находиться в одной команде?#

Обычно нет. Их объединяет терминология и мало что еще. IAM для сотрудников оптимизируется для управляемых устройств, известных пользователей и экономической эффективности. IAM для клиентов оптимизируется для неуправляемых устройств, анонимных пользователей и конверсии. Большинство зрелых предприятий разделяют управление ими и делят между собой совет (council), а не единого руководителя. Ознакомьтесь с нашим руководством по наблюдаемости аутентификации, чтобы узнать о стороне CIAM в этом разделении.

Какие KPI в CIAM наиболее важны?#

Пять кросс-функциональных метрик, которые располагаются на стыке дашбордов отдельных функций: успешность входа по когортам, время до первого аутентифицированного действия, охват и использование ключей доступа как два разных показателя, успешность путей восстановления и отказы с разбивкой по методам аутентификации. Каждая метрика является критически важной, и на большинстве предприятий не хватает инструментов для их измерения.

Почему охват passkey (Reach) и использование passkey (Usage) — это не одна и та же метрика?#

Охват — это процент пользователей, удовлетворяющих критериям, которые зарегистрировали ключ доступа. Использование — это процент входов в систему, которые фактически используют ключ доступа. При внедрении может быть высокий охват и низкое использование, если зарегистрированные пользователи по привычке продолжают вводить пароли. Отчет только по одной метрике вводит руководство в заблуждение.

Что такое общая система показателей CIAM (Scorecard)?#

Это одностраничный артефакт с пятью кросс-функциональными метриками, который ежемесячно анализируется функциями-владельцами совместно. У каждой метрики есть основной владелец за качество данных, кросс-функциональный владелец плана действий и цель, которая устанавливается совместно в начале каждого квартала. Обсуждение происходит вокруг этого одностраничного документа, а не на базе отдельных дашбордов.

Как часто следует пересматривать систему показателей?#

Ежемесячно на 60-минутном кросс-функциональном собрании с функциями-владельцами. Если чаще — между обзорами ничего не меняется. Если реже — системный дрейф остается незамеченным, особенно для регрессий на уровне когорт после обновлений ОС или браузера.

Как нам начать без реорганизации?#

Выберите две метрики, которые приносят больше всего проблем, соберите владельцев на ежемесячный 60-минутный обзор только по этим метрикам и расширяйте список в течение двух кварталов. Никакие названия должностей не меняются. Сама система показателей становится слоем управления. Большинство предприятий приходят к зрелой модели в течение 12–18 месяцев, даже формально не меняя линии подчинения.

Может ли вендор помочь разрешить споры о владении?#

Вендор не может решить вопрос о владении за вас. Но он может устранить неопределенность данных, которая усложняет разрешение споров о владении. Общий аналитический слой дает каждому владельцу тот срез данных, который ему важен, сохраняя при этом агрегированное представление, чего часто бывает достаточно, чтобы превратить политические дебаты в операционное обсуждение.