員工身分與內部威脅工程：確認登入的人就是你錄用的人

很長時間裡，身分說的都是客戶的身分

在資安工程裡，身分長期以來指的是顧客那一側。登入流程、社群認證、帳號被盜後的處置。員工帳號由人資建立、由 IT 發放，比較接近行政事務，很少被當成需要工程師設計的系統。

遠距工作打破了這條界線。2026 年 8 月，美國聯邦調查局對一名在聯邦機構遠距工作的 IT 人員展開調查，認為其為北韓籍(TechCrunch)。美國司法部的調查顯示，這類人員以盜用或合成的身分通過書面審核，再經由設在美國境內的筆電農場與代理主機連線，讓自己看起來像當地居民(DOJ)。

暴露出來的並不是招募人員的疏失。履歷篩選、視訊面試、背景調查各自驗證不同的東西，而其中沒有任何一項把「正在使用的帳號」與「真實的那個人」綁定起來。把這層綁定做成系統並持續監控，成了一項獨立的工程任務。

市場訊號指向同一方向。負責偵測與回應帳號濫用的 ITDR（身分威脅偵測與回應）領域，2026 年規模估計為 34.2 億美元，到 2031 年的年複合成長率預估為 25.17%，其中亞太是成長最快的區域(Mordor Intelligence)。在台灣，半導體與硬體供應鏈長期把營業秘密保護視為重點，加上跨國團隊與委外開發比例提高，同樣的問題正被更多團隊擺上檯面。

底座是 IAM，上面再疊行為分析

底座是 IAM。單一登入與多因素認證、讓權限隨到職調動離職自動跟隨的帳號生命週期、特權存取管理，這些都要落到實作層面而不是停在概念。能用 API 驅動 Okta 或 Microsoft Entra ID 這類身分服務，是進入實務的門檻。

其次是偵測工程。不可能的移動軌跡、權杖重放、異常的權限提升、與本人習慣不符的時段認證，把這些訊號翻譯成規則與查詢。這裡真正拉開差距的不是偵測本身而是誤報治理。正常出差與憑證遭竊在日誌裡長得很像，因此決定「哪種組合才值得叫醒一個人」的判斷力，才是這個職位的水準所在。

在此之上是把 SIEM 與 SOAR 接起來，讓告警直通自動化回應；把網域控制站、雲端 IdP 與端點的日誌沿同一條身分軸做關聯分析。日誌解析所需的腳本能力，以及把零信任與最小權限真正落成架構的設計判斷，同樣是硬需求。

再補一項非技術能力。這個職位建構的是把同事當成監控對象的系統。看什麼、明確不看什麼、告警出現後由誰按什麼順序查核，都要和人資、法務一起訂。在台灣還要同時考慮個人資料保護法對員工個資處理的要求。協調不下來，再好的偵測規則也上不了線。

從 IAM 維運或資安監控起步

入門通常從 IAM 維運或資安監控中心開始。帳號開通自動化、存取權限定期盤點工具、IdP 日誌收集管線，這些是最先接到的任務。後端工程師轉入也很常見，做過內部認證服務或權限系統的經驗可以直接沿用。

中期是自己設計偵測規則並把回應流程自動化。這一段拉開差距的是事件回應經驗。真正調查過一次帳號失陷、還原過完整時間軸的人，和只寫過規則的人，後續成長速度不同。CISSP 與雲端業者的身分方向認證在大型企業招募中有分量，但在產品公司，一份寫清楚你建構或調查過什麼的案例資料通常更管用。

進入領導層後分成兩條路。一條是承擔整個組織的身分架構，把人資系統到正式環境權限串成一條完整鏈路。另一條通向產品端：ITDR 成長很快，親歷過這個問題的工程師轉入資安廠商，去做自己當初希望有的功能。

如果想從現在的位置靠近這份工作，幾乎任何團隊裡都有兩件事可做。數一數離職員工的帳號實際需要幾天才關閉，再畫出委外人員與正職員工在權限授予路徑上的差異。把其中任何一件寫成文件，你在這類職位的面試裡就有了可講的東西。