Ποιος έχει πρόσβαση, πού και γιατί: Η νέα περίμετρος της ασφάλειας

Πως οι νέες τεχνολογίες και στρατηγικές προσεγγίσεις για την ασφάλεια μετουσιώνουν σε πράξη την ενοποίηση του ελέγχου πρόσβασης στον φυσικό αλλά και ψηφιακό κόσμο;

Του Χρήστου Κοτσακά

Στην είσοδο ενός σύγχρονου οργανισμού, η ασφάλεια κρίνεται σε πολύ περισσότερα σημεία από την πόρτα, την κάρτα πρόσβασης ή το εταιρικό laptop. Το κινητό διαπιστευτήριο, η κάμερα, το περιβάλλον cloud, η εφαρμογή λογισμικού ως υπηρεσίας (SaaS), το κλειδί προγραμματιστικής διεπαφής (API key) και ο agent τεχνητής νοημοσύνης συμμετέχουν πλέον στην ίδια εξίσωση. Το βασικό ερώτημα παραμένει απλό, αλλά η απάντηση γίνεται όλο και πιο απαιτητική: ποια οντότητα ζητά πρόσβαση, σε ποιον πόρο, για ποιον σκοπό, με ποια δικαιώματα και με ποιο επίπεδο κινδύνου;

Για χρόνια, η φυσική ασφάλεια και η κυβερνοασφάλεια κινούνταν σε παράλληλες διαδρομές. Η μία πλευρά διαχειριζόταν πόρτες, κάρτες πρόσβασης, κάμερες, χώρους και επισκέπτες, ενώ η άλλη λογαριασμούς, εφαρμογές, δίκτυα, συσκευές τελικού χρήστη και δεδομένα. Το μοντέλο αυτό λειτούργησε όσο το γραφείο, το data center και το εταιρικό δίκτυο αποτελούσαν σχετικά καθαρά όρια. Σήμερα, η παλιά περίμετρος γίνεται πολύ πιο ρευστή, καθώς η εργασία, οι εφαρμογές και οι συνεργασίες μετακινούνται συνεχώς.

Από το δίκτυο στην απόφαση πρόσβασης

Η συζήτηση γύρω από την ταυτότητα συχνά συμπυκνώνεται στη φράση «identity is the new perimeter». Ως σλόγκαν, αποδίδει σωστά την κατεύθυνση της αγοράς. Τεχνικά, όμως, χρειάζεται μεγαλύτερη ακρίβεια. Η ταυτότητα λειτουργεί πλέον ως βασικό επίπεδο πολιτικής και λήψης αποφάσεων πρόσβασης μέσα σε αρχιτεκτονικές Zero Trust. Συνεργάζεται με τη συσκευή, το δίκτυο, την εφαρμογή, την ενεργή συνεδρία σύνδεσης, τα δικαιώματα και το επιχειρησιακό πλαίσιο, ώστε κάθε αίτημα πρόσβασης να αξιολογείται με βάση τον πραγματικό κίνδυνο.

Αυτό αλλάζει τον ρόλο της διαχείρισης ταυτότητας και πρόσβασης (Identity and Access Management – IAM). Από εργαλείο διαχείρισης κωδικών, επαναφοράς πρόσβασης και βασικής αυθεντικοποίησης, εξελίσσεται σε κεντρικό μηχανισμό ελέγχου για την κυβερνοασφάλεια, τη συμμόρφωση και την επιχειρησιακή συνέχεια. Μια ώριμη απόφαση πρόσβασης λαμβάνει υπόψη τον ρόλο του χρήστη, την κατάσταση της συσκευής, την τοποθεσία, την ευαισθησία των δεδομένων, τη φυσική παρουσία, τις ενεργές συνεδρίες και το τρέχον επίπεδο απειλής. Η πρόσβαση παύει να αντιμετωπίζεται ως στατική άδεια και γίνεται δυναμική απόφαση πρόσβασης, η οποία μπορεί να περιοριστεί ή να ανακληθεί όταν αλλάζουν οι συνθήκες.

Η λογική αυτή βρίσκεται στον πυρήνα του Zero Trust. Η εμπιστοσύνη χορηγείται για συγκεκριμένο αίτημα, συγκεκριμένο πόρο και συγκεκριμένο πλαίσιο, ενώ μπορεί να απαιτήσει πρόσθετη επαλήθευση ή να οδηγήσει σε περιορισμό δικαιωμάτων. Το κρίσιμο σημείο για τους οργανισμούς βρίσκεται στη μετάβαση από την αυθεντικοποίηση μίας στιγμής στη συνεχή αξιολόγηση πρόσβασης. Ένα επιτυχημένο login στην αρχή της ημέρας παρέχει περιορισμένη εικόνα, αν λίγα λεπτά αργότερα αλλάξει η κατάσταση της συσκευής, εμφανιστεί ύποπτη συμπεριφορά ή ανακληθούν δικαιώματα.

Η φυσική και η ψηφιακή πρόσβαση συγκλίνουν

Η σύγκλιση φυσικής και ψηφιακής πρόσβασης συχνά παρουσιάζεται ως θέμα ευχρηστίας: ένα ενιαίο διαπιστευτήριο, μια κάρτα στο κινητό ή μια πιο ομαλή εμπειρία εισόδου. Η ουσία βρίσκεται βαθύτερα. Αφορά τη συνέπεια του κύκλου ζωής της ταυτότητας, από την πρόσληψη έως την αλλαγή ρόλου και την αποχώρηση. Ένας εργαζόμενος, ένας εξωτερικός συνεργάτης ή ένας ανάδοχος μπορεί να έχει πρόσβαση σε κτίρια, εφαρμογές, αποθετήρια κώδικα, συστήματα παραγωγής και λογαριασμούς διαχείρισης. Όλα αυτά χρειάζονται κοινή διακυβέρνηση ταυτότητας.

Σε οργανισμούς υψηλής κρισιμότητας, όπως τράπεζες, τηλεπικοινωνιακοί πάροχοι, data centers, βιομηχανικές εγκαταστάσεις, υπηρεσίες υγείας και δημόσιοι φορείς, αυτή η σύγκλιση αποκτά άμεση επιχειρησιακή αξία. Η φυσική παρουσία σε έναν ελεγχόμενο χώρο, η πρόσβαση σε ευαίσθητη εφαρμογή και η χρήση προνομιακού λογαριασμού πρέπει να μπορούν να συσχετιστούν. Όταν τα συστήματα φυσικής ασφάλειας και τα εργαλεία IAM λειτουργούν σε απομονωμένα περιβάλλοντα, ο οργανισμός χάνει τη συνολική εικόνα του κινδύνου και αφήνει κενά στον έλεγχο.

Τα κινητά διαπιστευτήρια (mobile credentials), τα ενοποιημένα διαπιστευτήρια (converged credentials) και η βιομετρική επαλήθευση μπορούν να ενισχύσουν αυτό το μοντέλο, αρκεί να ενταχθούν σε σαφή πολιτική πρόσβασης. Σε ορισμένες διεθνείς έρευνες αγοράς, οι οργανισμοί εμφανίζονται να υιοθετούν κινητά διαπιστευτήρια συχνότερα για λόγους ασφάλειας παρά μόνο για ευκολία, με ενδεικτικές αναφορές σε ποσοστά της τάξης του 50% για την ασφάλεια έναντι 34% για την ευχρηστία. Τα στοιχεία αυτά λειτουργούν ως ένδειξη τάσης και όχι ως καθολική μέτρηση για κάθε αγορά ή κλάδο. Το βασικό συμπέρασμα παραμένει ότι τα διαπιστευτήρια πρόσβασης αντιμετωπίζονται πλέον ως εργαλείο μείωσης κινδύνου και όχι απλώς ως μέσο ευκολότερης εισόδου.

Οι μη ανθρώπινες ταυτότητες αυξάνουν την επιφάνεια κινδύνου

Η επόμενη μεγάλη πρόκληση για το IAM αφορά τις μη ανθρώπινες ταυτότητες (Non-Human Identities – NHIs). Σε αυτή την κατηγορία ανήκουν λογαριασμοί υπηρεσιών, ταυτότητες φόρτων εργασίας, κλειδιά API, ψηφιακά πιστοποιητικά, κλειδιά SSH, ψηφιακά tokens, bots, συσκευές IoT και αυτοματοποιημένες διεργασίες. Πρόκειται για ταυτότητες που δεν αντιστοιχούν σε φυσικό πρόσωπο, αλλά εκτελούν εργασίες, συνδέουν συστήματα και συχνά έχουν πρόσβαση σε κρίσιμα δεδομένα ή υποδομές. Με την ανάπτυξη του cloud, των APIs και των αυτοματισμών, ο αριθμός τους αυξάνεται πολύ γρήγορα.

Πολλές έρευνες καταγράφουν εντυπωσιακές αναλογίες μη ανθρώπινων προς ανθρώπινες ταυτότητες. Ως ενδεικτικό σημείο αναφοράς, ορισμένες διεθνείς μελέτες έχουν αναφέρει αναλογίες έως 82:1 στο ευρύτερο εταιρικό περιβάλλον και περίπου 45:1 σε πιο αυστηρά ελεγχόμενα χρηματοπιστωτικά περιβάλλοντα. Η ακριβής εικόνα αλλάζει ανά οργανισμό, κλάδο, μεθοδολογία και ορισμό της ταυτότητας. Αυτό που έχει σημασία, όμως, είναι η τάση: οι μηχανικές ταυτότητες πολλαπλασιάζονται ταχύτερα από τους μηχανισμούς που τις ελέγχουν.

Το πρόβλημα μεγαλώνει επειδή αυτές οι ταυτότητες συχνά διαθέτουν εκτεταμένα δικαιώματα, μεγάλη διάρκεια ζωής και ασαφή ιδιοκτησία. Ένα κλειδί API μπορεί να μείνει ενεργό για χρόνια, ένα μυστικό πρόσβασης να καταλήξει σε αποθετήριο κώδικα, ένας λογαριασμός υπηρεσίας να συνεχίσει να λειτουργεί μετά το τέλος ενός έργου και ένα πιστοποιητικό να ανανεώνεται χωρίς επαρκή έλεγχο. Σε τέτοια σενάρια, ένα εκτεθειμένο token ή μυστικό πρόσβασης μπορεί να ανοίξει βαθύτερη πρόσβαση από έναν μεμονωμένο ανθρώπινο λογαριασμό.

Η απάντηση απαιτεί συστηματική απογραφή, καταγεγραμμένο ιδιοκτήτη για κάθε μη ανθρώπινη ταυτότητα, περιορισμένα δικαιώματα, σύντομη διάρκεια διαπιστευτηρίων, αυτοματοποιημένη ανανέωση, διαχείριση μυστικών πρόσβασης και συνεχή παρακολούθηση. Οι μη ανθρώπινες ταυτότητες χρειάζονται θέση στο ίδιο πλαίσιο διακυβέρνησης ταυτότητας που καλύπτει εργαζομένους, συνεργάτες και προμηθευτές. Η ωριμότητα φαίνεται σε συγκεκριμένους δείκτες: πόσες μηχανικές ταυτότητες έχουν ιδιοκτήτη, πόσα μυστικά πρόσβασης παραμένουν hardcoded, πόσοι λογαριασμοί υπηρεσιών διαθέτουν υπερβολικά προνόμια και πόσο γρήγορα ανακαλείται ύποπτη πρόσβαση.

Οι AI agents φέρνουν νέα ερωτήματα ελέγχου

Η εμφάνιση των AI agents μεταφέρει τη συζήτηση ένα βήμα παραπέρα. Ένα παραδοσιακό script εκτελεί προκαθορισμένες ενέργειες. Ένας agent μπορεί να ερμηνεύει οδηγίες, να επιλέγει εργαλεία, να καλεί APIs, να ανακτά δεδομένα, να δημιουργεί αιτήματα υποστήριξης, να συνοψίζει έγγραφα ή να προτείνει ενέργειες. Με αυτόν τον τρόπο, αποκτά επιχειρησιακό βάρος. Δρα μέσα στο πληροφοριακό περιβάλλον και, σε πολλές περιπτώσεις, ενεργεί εκ μέρους ενός ανθρώπου, μιας ομάδας ή μιας διαδικασίας.

Εδώ προκύπτει το κρίσιμο ζήτημα της λογοδοσίας. Όταν ένας agent μεταφέρει δεδομένα, εκτελεί μια ροή εργασίας ή ενεργοποιεί μια διαδικασία, ο οργανισμός πρέπει να μπορεί να ξεχωρίσει την ανθρώπινη εντολή, την απόφαση του συστήματος και το τεχνικό δικαίωμα που επέτρεψε την πράξη. Η απλή κληρονόμηση όλων των δικαιωμάτων του χρήστη αποτελεί επικίνδυνη πρακτική. Οι agents χρειάζονται πρόσβαση ανά εργασία, περιορισμένο εύρος δράσης, χρονικά ελεγχόμενα προνόμια, σαφή ίχνη ελέγχου και δυνατότητα άμεσης ανάκλησης.

Η πιο ώριμη προσέγγιση οδηγεί στη δυναμική εμβέλεια δικαιωμάτων (dynamic permission scoping). Με απλά λόγια, ο agent πρέπει να λαμβάνει μόνο τα δικαιώματα που χρειάζεται για τη συγκεκριμένη εργασία, τη συγκεκριμένη στιγμή και μέσα σε συγκεκριμένα όρια. Αυτό έχει ιδιαίτερη σημασία επειδή οι AI agents λειτουργούν με μεγαλύτερο βαθμό αυτονομίας από ένα κλασικό script. Το αποτέλεσμα της ενέργειάς τους μπορεί να διαμορφωθεί από τα δεδομένα, το prompt, τα διαθέσιμα εργαλεία και το περιβάλλον στο οποίο λειτουργούν. Άρα, τα δικαιώματά τους πρέπει να προσαρμόζονται στο task και όχι να παραμένουν στατικά.

Το πεδίο της διακυβέρνησης ταυτοτήτων για agents βρίσκεται ακόμη σε φάση ωρίμανσης. Αυτό σημαίνει αυστηρότερους εσωτερικούς κανόνες από σήμερα: κάθε agent που αποκτά πρόσβαση σε δεδομένα, APIs ή επιχειρησιακές διαδικασίες πρέπει να έχει σαφή ιδιοκτήτη, περιορισμένα δικαιώματα, καταγεγραμμένο σκοπό χρήσης και πλήρες ίχνος ελέγχου. Με αυτόν τον τρόπο, η τεχνητή νοημοσύνη εντάσσεται στη διακυβέρνηση της πρόσβασης αντί να δημιουργεί ένα παράλληλο, ανεξέλεγκτο επίπεδο αυτοματισμού.

Από την αρχική ανάθεση στη συνεχή διακυβέρνηση

Η παραδοσιακή αντίληψη για το IAM εστίαζε στην αρχική ανάθεση και στην αφαίρεση πρόσβασης: δημιουργία λογαριασμών, ανάθεση ρόλων, αλλαγές δικαιωμάτων και απενεργοποίηση κατά την αποχώρηση. Αυτή η βάση παραμένει απαραίτητη, αλλά το σύγχρονο περιβάλλον απαιτεί και διακυβέρνηση κατά τη διάρκεια της πρόσβασης (runtime governance). Το σύστημα πρέπει να αξιολογεί ενεργές συνεδρίες, tokens, προνόμια και σήματα κινδύνου όσο η πρόσβαση βρίσκεται σε εξέλιξη.

Σε αυτό το σημείο αποκτούν αξία προσεγγίσεις όπως η συνεχής αξιολόγηση πρόσβασης (Continuous Access Evaluation) και τα κοινά σήματα ασφαλείας (shared security signals). Το ζητούμενο είναι η ανταλλαγή σημάτων μεταξύ παρόχου ταυτότητας, εργαλείων προστασίας συσκευών, συστημάτων SIEM, εφαρμογών SaaS και εργαλείων διαχείρισης συσκευών. Πρακτικά, αν ένα σύστημα προστασίας τελικού σημείου εντοπίσει κακόβουλο λογισμικό στο laptop ενός εργαζομένου, ένα οικοσύστημα τυποποιημένων σημάτων, όπως το CAEP / Shared Signals Framework, μπορεί να ενημερώσει την εφαρμογή cloud. Εκείνη, με βάση την πολιτική του οργανισμού, μπορεί να τερματίσει την ενεργή συνεδρία, να ζητήσει νέα αυθεντικοποίηση ή να περιορίσει προσωρινά την πρόσβαση του χρήστη.

Έτσι, το Zero Trust αποκτά πρακτικό περιεχόμενο. Αν αλλάξει ο κίνδυνος, αλλάζει και η πρόσβαση. Αν ανακληθεί ένα δικαίωμα, η ανάκληση πρέπει να φτάσει γρήγορα στις εφαρμογές που το χρησιμοποιούν. Αν μια συσκευή εμφανίσει ύποπτη συμπεριφορά, η ενεργή συνεδρία πρέπει να ελεγχθεί ξανά. Η ασφάλεια μετακινείται από τον έλεγχο στην είσοδο προς τη συνεχή επιτήρηση της σχέσης ανάμεσα στην ταυτότητα, τη συσκευή και τον πόρο.

Παράλληλα, ο έλεγχος πρόσβασης βάσει ρόλων (Role-Based Access Control – RBAC) παραμένει χρήσιμος, αρκεί να λειτουργεί ως βάση και όχι ως πλήρης απάντηση. Σε μεγάλους οργανισμούς, η μηχανική ρόλων μπορεί να οδηγήσει σε υπερβολική πολυπλοκότητα. Η πιο ώριμη προσέγγιση συνδυάζει ρόλους για βασικά δικαιώματα, χαρακτηριστικά χρήστη ή συστήματος για λεπτότερη πολιτική, ελέγχους με βάση το πλαίσιο και διαχείριση προνομιακής πρόσβασης (Privileged Access Management – PAM) για ενέργειες υψηλού ρίσκου.

Η ρύθμιση μετατρέπει την ταυτότητα σε διοικητική ευθύνη

Η τεχνολογική μετατόπιση συμπίπτει με αυξανόμενη ρυθμιστική πίεση. Η NIS2, η DORA, η CER και ο Cyber Resilience Act διαμορφώνουν ένα ευρωπαϊκό περιβάλλον όπου η κυβερνοασφάλεια συνδέεται με διοικητική ευθύνη, ανθεκτικότητα, διαχείριση κινδύνου και εποπτεία. Η ταυτότητα και η πρόσβαση βρίσκονται μέσα σε αυτή τη μεταβολή. Οι πολιτικές ελέγχου πρόσβασης, η ισχυρή αυθεντικοποίηση, η διαχείριση πληροφοριακών αγαθών, η φυσική ασφάλεια, η ψηφιακή πρόσβαση, η παρακολούθηση και οι έλεγχοι στην αλυσίδα προμηθευτών εντάσσονται πλέον σε ελέγξιμο πλαίσιο συμμόρφωσης.

Στην Ελλάδα, ο ν.5160/2024 ενσωματώνει τη NIS2 και μεταφέρει τη συζήτηση σε επίπεδο διοίκησης. Τα όργανα διοίκησης των οντοτήτων που εμπίπτουν στο πεδίο εφαρμογής καλούνται να εγκρίνουν μέτρα διαχείρισης κινδύνου, να επιβλέπουν την εφαρμογή τους και να λαμβάνουν σχετική εκπαίδευση. Η αλλαγή αυτή έχει ιδιαίτερη βαρύτητα για CEOs και μέλη Διοικητικών Συμβουλίων, καθώς η κυβερνοασφάλεια μετατρέπεται από τεχνικό πεδίο ανάθεσης σε αντικείμενο προσωπικής λογοδοσίας και διοικητικής ευθύνης. Με απλά λόγια, το ερώτημα «ποια οντότητα έχει πρόσβαση, πού και γιατί» ανεβαίνει πλέον στο επίπεδο της εταιρικής διακυβέρνησης.

Η ίδια λογική αποτυπώνεται και στις ελληνικές κανονιστικές πράξεις που ακολούθησαν. Η ΚΥΑ 1689/2025 εξειδικεύει το εθνικό πλαίσιο απαιτήσεων κυβερνοασφάλειας, ενώ η ΥΑ 1899/2025 θεσπίζει τον Υπεύθυνο Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών (Υ.Α.Σ.Π.Ε.), με συγκεκριμένα προσόντα, καθήκοντα και ασυμβίβαστα. Ιδιαίτερη σημασία έχει το ασυμβίβαστο με τον DPO, καθώς δείχνει σαφή διάκριση αρμοδιοτήτων ανάμεσα στην προστασία δεδομένων και την επιχειρησιακή ασφάλεια συστημάτων. Παράλληλα, η διαδικασία εγγραφής των υπόχρεων οργανισμών στην ειδική ψηφιακή πλατφόρμα της Εθνικής Αρχής Κυβερνοασφάλειας δίνει πρακτική μορφή στη νέα εποπτική αρχιτεκτονική.

Για τους χρηματοπιστωτικούς οργανισμούς, η DORA προσθέτει ακόμη πιο συγκεκριμένη πίεση γύρω από τη διαχείριση κινδύνων τεχνολογίας, τη συνεχή παρακολούθηση, την ισχυρή αυθεντικοποίηση, τον έλεγχο τρίτων παρόχων και τον περιορισμό φυσικής ή ψηφιακής πρόσβασης σε εγκεκριμένες λειτουργίες. Η κανονιστική κατεύθυνση είναι σαφής: οι οργανισμοί πρέπει να αποδεικνύουν ποιος έχει πρόσβαση, γιατί την έχει, πότε αναθεωρείται, πώς ανακαλείται και ποιος φέρει την ευθύνη για την απόφαση. Η διακυβέρνηση ταυτότητας μετατρέπεται έτσι σε αντικείμενο διοικητικής λογοδοσίας.

Ο οδικός χάρτης για τους ελληνικούς οργανισμούς

Για μια ελληνική επιχείρηση, ο πρακτικός δρόμος ξεκινά από την απογραφή. Χρειάζεται πλήρης εικόνα ανθρώπινων λογαριασμών, μη ανθρώπινων ταυτοτήτων, προνομιακών λογαριασμών, εφαρμογών, φυσικών χώρων, διαπιστευτηρίων, μυστικών πρόσβασης, πιστοποιητικών και εξωτερικών συνεργατών. Χωρίς αυτή τη βάση, κάθε πολιτική πρόσβασης κινείται σε ασταθές έδαφος. Το πρώτο ερώτημα που πρέπει να απαντηθεί αφορά την ορατότητα: ποιες ταυτότητες υπάρχουν, ποιος τις κατέχει, ποια δικαιώματα διαθέτουν, πότε χρησιμοποιήθηκαν τελευταία φορά και σε ποιο επιχειρησιακό σκοπό αντιστοιχούν.

Το δεύτερο βήμα αφορά τον εξορθολογισμό. Η αυθεντικοποίηση πολλαπλών παραγόντων (MFA) σε κρίσιμα συστήματα, η διαχείριση προνομιακής πρόσβασης, η διαχείριση μυστικών πρόσβασης για μηχανικές ταυτότητες, η περιοδική πιστοποίηση πρόσβασης, τα προσωρινά προνόμια και η αυτοματοποιημένη απενεργοποίηση λογαριασμών κατά την αποχώρηση πρέπει να γίνουν μέρος της κανονικής λειτουργίας. Στο φυσικό επίπεδο, οι κάρτες πρόσβασης, τα κινητά διαπιστευτήρια και η πρόσβαση σε ευαίσθητους χώρους χρειάζονται σύνδεση με τον ίδιο κύκλο ταυτότητας.

Το τρίτο βήμα αφορά τη μέτρηση. Οι διοικήσεις και οι CISO χρειάζονται δείκτες που να δείχνουν πραγματική ωριμότητα: μέσος χρόνος απενεργοποίησης πρόσβασης μετά την αποχώρηση, αριθμός ορφανών λογαριασμών, ποσοστό προνομιακών λογαριασμών υπό ειδική διαχείριση, ποσοστό μη ανθρώπινων ταυτοτήτων με καταγεγραμμένο ιδιοκτήτη, πλήθος hardcoded μυστικών πρόσβασης, χρόνος ανάκλησης ενεργής συνεδρίας μετά από κρίσιμο σήμα κινδύνου, ποσοστό εφαρμογών με MFA, συχνότητα αναθεωρήσεων πρόσβασης και αριθμός εξαιρέσεων που παραμένουν ενεργές πέρα από το εγκεκριμένο χρονικό όριο. Αυτοί οι δείκτες μετατρέπουν την ασφάλεια από γενική πρόθεση σε ελεγχόμενη πρακτική.

Η ταυτότητα θα βρίσκεται όλο και περισσότερο στο κέντρο της ασφάλειας, επειδή οι οργανισμοί λειτουργούν πλέον μέσα σε περιβάλλοντα όπου άνθρωποι, μηχανές, εφαρμογές, χώροι και agents αλληλεπιδρούν συνεχώς. Η επόμενη περίοδος θα απαιτήσει λιγότερη εμπιστοσύνη σε στατικές περιμέτρους και περισσότερη ακρίβεια στις αποφάσεις πρόσβασης. Όσοι οργανισμοί ενοποιήσουν φυσική και ψηφιακή ασφάλεια, διαχειριστούν τις μη ανθρώπινες ταυτότητες και θέσουν κανόνες για τους AI agents, θα αποκτήσουν πραγματική ανθεκτικότητα. Οι υπόλοιποι θα ανακαλύψουν ότι το μεγαλύτερο ρίσκο κρυβόταν στην ίδια την πρόσβαση που θεωρούσαν δεδομένη.