在数据泄露成为企业安全常态的今天，身份安全正站在网络安全的最前线。无论是全球巨头，还是刚刚起步的创业公司，每家企业都不得不直面这一挑战。人工智能驱动的攻击手段层出不穷，深度伪造、自动化凭据填充、AI生成的社交攻击……身份安全的攻防博弈正在快速升级。

对于CISO（首席信息安全官）及其团队而言，身份安全已不再是单点防御，而是企业安全战略的核心支柱。然而，传统身份管理方案早已难以应对现代企业的需求：云计算、SaaS应用、远程办公、DevOps自动化，使得企业内部的人类身份和机器身份数量成倍增长，身份安全的复杂性也前所未有地加剧。

与此同时，市场对身份安全的需求正在爆发，但行业仍处于分散状态，尚未形成绝对的市场领导者。这为创业者带来了一个关键信号——身份安全正在成为下一个大规模企业级创新的风口。那些能够提供自动化、智能化、零信任驱动身份管理解决方案的公司，将有机会在这一市场中脱颖而出，塑造行业格局。

根据硅谷科技评论（SVTR）AI创投库，安全合规领域作为AI行业17大应用之一，以173起AI融资事件在AI应用排行榜排名第四，仅次于生命科学、企业服务和金融服务行业。文末阅读原文，查看公司具体信息。

其中身份安全赛道又是安全合规领域创业的热土，其中不乏获得全球知名机构青睐的AI初创公司，包括开发人工智能工具，以自动化和管理企业的身份和访问流程的Twine、开发一款浏览器扩展程序帮助企业保护设备、身份、数据和SaaS的LayerX、在云环境中检测和应对与数字身份相关的威胁Permiso、通过移动应用上验证用户身份来降低欺诈风险的Incognia、利用生成式人工智能检测AI生成的身份的Deduce。

身份安全管理市场地图

人工智能技术正成为身份攻击的强大推动力，从复杂的钓鱼攻击到深度伪造的生成，无不体现着其影响力。

整个人类身份管理领域可以大致分为两个部分：员工身份（Workforce Identity）和客户身份（Customer Identity）。在这两大板块中，虽然都在不断涌现创新，但当前最紧迫的挑战主要集中在员工身份方面。随着企业面对日益复杂的IT环境，这一部分的管理难度和连锁反应愈发明显。

根据 Technavio 的数据，员工身份（即帮助确保内部企业资源安全同时为员工提供访问权限的解决方案）占身份市场的 50%，复合年增长率为 14.5%。客户和其他特权身份管理市场分别以 32% 和 18% 。员工身份是身份管理市场最重要构成部分，也是本文的重点。

现代企业的员工身份架构主要包括两个关键环节：认证（即确定谁有权进入）和授权（即确定他们能做什么）。在这个架构中，以下三个领域不仅蕴含着巨大的市场机遇，同时也正经历着行业整合，并面临着为复杂IT环境量身定制的下一代解决方案的激烈竞争：

• 访问管理（Access Management, AM）： 实时认证，为员工提供应用程序和数据的访问权限。

• 身份治理与管理（Identity Governance & Administration, IGA）： 汇总并管理数字身份、角色以及访问权限。

• 特权访问管理（Privileged Access Management, PAM）： 专注于高权限用户的认证与授权，确保关键权限的安全性。

除了上述核心领域，员工身份安全栈还包括四个至关重要的部分：

• 非人类身份（Non-Human Identities, NHI）： 针对非人类主体（如SSH密钥、API密钥、令牌、机密信息等）的认证、授权、生命周期管理和特权访问。虽然近年来人类账户的增长大多趋于平缓，但云原生架构、微服务、SaaS 和 API 依赖项等趋势正在推动非人类或机器身份呈指数级增长。

• 身份安全态势管理（Identity Security Posture Management, ISPM）： 评估并强化身份基础设施组件（涵盖上述领域）的安全态势的框架。

• 身份威胁检测与响应（Identity Threat Detection & Response, ITDR）： 用于识别和修复基于身份的攻击的软件。

• 云基础设施权限管理（Cloud Infrastructure Entitlement Management, CIEM）： 与更广泛的云安全领域相结合，专注于管理基础设施即服务（IaaS）的权限问题。

身份安全领域创业机遇

身份安全市场涵盖多个细分领域，因此企业往往更倾向于采用平台化解决方案，而不是单独管理多个最佳实践工具。然而，现实情况是，企业最终可能仍然需要整合多个身份平台（IdPs），这不仅带来了可见性缺失和集成挑战，还增加了安全风险。因此，身份安全市场并非“赢家通吃”型，而是一个开放竞争的领域。

目前，市场上已经存在多个行业巨头，如Okta、CyberArk、Ping、Delinea 和 SailPoint，它们各自取得了可观的市场份额，甚至SailPoint近期计划重新上市。但即便如此，据SailPoint估算，这些现有领导者仅占550亿美元的员工身份市场的10%，这意味着该领域仍存在巨大的创业机会。

1. 多身份平台（Multi-IdP）环境管理

企业IT环境通常是一个层层叠加的结构，各个组件反映了公司在不同发展阶段做出的技术决策。许多企业采用混合身份环境，即不同身份平台分别管理不同的组件。这样的架构虽然有其历史原因，但也带来了可见性和一致性管理上的挑战，给IT团队和开发人员带来额外负担。

这一挑战催生了现代身份治理与管理（IGA）解决方案的机会，例如ConductorOne、Veza 和 Opal Security。这些公司提供的产品能够保持对底层IdP的兼容性，打破可见性孤岛，并推动更统一的授权策略，从而降低身份相关风险，同时让IT团队和开发人员的管理变得更加轻松。此外，这些解决方案还能在身份安全架构的其他领域形成战略性扩展点，进一步提升企业的整体安全能力。

2. 影子IT（Shadow IT）和未集成应用（Disconnected Apps）

影子IT的风险往往是隐形的。 即便企业部署了强大的身份安全体系，仍有大量未集成（non-federated）的应用游离在管控之外，这类应用通常被称为未集成应用（Disconnected Apps）。其中包括社交媒体工具、免费SaaS应用等，企业通常对这些应用的数量和风险情况一无所知。事实上，有50%的企业无法准确统计其正在使用的未集成应用数量。

目前，Cerby等公司正通过创新方式帮助企业现代化管理这些未集成应用，弥补身份安全架构中的这一缺口。这类解决方案的市场潜力巨大，特别是针对那些希望消除身份管理盲区的企业而言。

3. 非人类身份（Non-Human Identities, NHI）

过去十年，影子IT风险和身份管理复杂度的另一大驱动力，是微服务架构、云原生技术和DevOps实践的兴起。这些技术虽然带来了极大的敏捷性和自动化能力，但也导致了服务账户、API密钥、令牌等身份凭证的爆炸式增长，这些统称为非人类身份（NHI）。

在云基础设施环境（如AWS）中，NHI无处不在，常用于自动化工作流（如机器人流程自动化RPA）或跨应用通信。如今，NHI的数量已是人类身份的50倍，但它们的安全管理却远远落后。

NHI的管理面临高度碎片化的挑战，原因在于其涉及多个服务、资源及不同的管理环境。此外，NHI的管理逻辑与人类身份管理存在关键区别，例如：

• 人工驱动 vs. 自动化

• 最小权限原则（Least Privilege）vs. 过度授权

• 人类身份使用MFA vs. NHI依赖密钥与令牌

目前，多个创业公司正在试图解决这一痛点，例如：

• Astrix 和 Entro 专注于NHI的可见性与资产管理，帮助企业识别和监控非人类身份。

• P0 Security 采用开发者驱动的方法，尝试同时管理人类和非人类身份，以实现更广泛的身份安全管控。

身份安全：创业者的黄金机会

身份安全不仅是网络安全的核心，更是数字经济稳定运行的基石。尽管现有市场上已有诸多成熟玩家，但身份安全市场的分散化特性，尤其是AI带来的新的市场格局变化，使得创业公司依然有机会切入特定领域，打造独具特色的解决方案。

无论是多身份平台管理、影子IT治理，还是非人类身份的安全管控，身份安全领域仍然存在大量未被充分解决的挑战，这为创业者提供了广阔的创新空间。

硅谷科技评论（SVTR.AI），在ChatGPT问世之际，创立于美国硅谷，依托#AI创投库、#AI创投会、#AI创投营 和风险投资，打造全球前沿科技（AI）创新生态系统。联系凯瑞（pkcapital2023），加入我们，共创未来。点击文末阅读原文，访问SVTR.AI，发现更多机会与内容！