Неотдавнашен преглед на Wing Security, компания за сигурност на базата на SaaS, която анализира данните на над 500 компании, разкри някои тревожни данни. Според този преглед 84% от компаниите са имали служители, използващи средно 3,5 приложения SaaS, които са били пробити през предходните 3 месеца. Въпреки че това е обезпокоително, то не е голяма изненада. Експоненциалното нарастване на използването на SaaS кара екипите по сигурността и ИТ да се борят да следят кои SaaS приложения се използват и как. Това не означава, че SaaS трябва да се избягват или блокират; напротив, приложенията SaaS трябва да се използват, за да се осигури растеж на бизнеса. Но използването им трябва да се извършва с известна предпазливост.

Определяне на рисковите приложения SaaS

Най-интуитивният рисков фактор за определяне на това дали дадено приложение е рисково, е да го потърсите и да видите дали е било нарушено. Приложенията SaaS очевидно са цел, тъй като наблюдаваме все повече атаки, свързани с тях. Пробивът е ясен знак да се стои настрана, поне докато доставчикът на SaaS не извърши пълно отстраняване и възстановяване (което може да отнеме известно време…). Но има и други критерии, които трябва да се вземат предвид, когато се определя дали дадено SaaS приложение е безопасно за използване. Ето още два, които трябва да вземете предвид:

• Съответствия – Съответствията за сигурност и поверителност, които доставчикът на приложението има или няма, са добър показател за неговата безопасност. Осигуряването на SOC, HIPAA, ISO (списъкът продължава…) изисква дълги и скрупульозни процеси, при които компанията трябва да се придържа към строги разпоредби и условия. Познаването на съответствията на дадена компания е наложително, за да се разбере нивото на нейната сигурност.
• Присъствие на пазара – Проверката дали дадено приложение присъства на добре познати и отчетени пазари също е полезна стъпка при определянето на неговата цялост, която може да бъде свързана с мерките му за сигурност. В уважаваните пазари приложенията трябва да преминат през процес на проверка, да не говорим, че получават потребителски отзиви, които вероятно са един от най-важните показатели за легитимността на дадено приложение.

Въпреки че разбирането на това кои приложения са потенциално рискови е важно, то не е лесна задача. И също така не е първата стъпка. Според Wing Security всички компании, които са прегледали, са имали висок трицифрен брой използвани SaaS приложения. Така че първият и основен въпрос, който екипите по сигурността трябва да си зададат, е:

Колко приложения SaaS използват служителите?

Очевидно е, че е невъзможно да се определи дали SaaS се използва безопасно, без първо да се установи колко приложения SaaS се използват и кои. Това е елементарно, но не е просто. SaaS се използва от всички служители и макар че налагането на SSO и използването на IAM системи е важно и полезно, децентрализираният, достъпен и често пъти самообслужващ се характер на SaaS приложенията означава, че служителите могат да започнат да използват почти всяко SaaS, от което се нуждаят, като просто го потърсят онлайн и го свържат с работното пространство на компанията си, като лесно избегнат IAM. Това е особено вярно, когато се вземат предвид многото SaaS приложения, които предоставят безплатен инструмент или негова безплатна версия.

Като се има предвид това, откриването на SaaS приложения също се предоставя като безплатен инструмент на самообслужване, така че отговорът на гореспоменатия въпрос би трябвало да е достатъчно лесен. След като е налице ясно картографиране на използването на SaaS, следващата стъпка е да се определят рисковите SaaS приложения. След като рисковите приложения бъдат класифицирани като такива, е важно да се отнемат токените, които те са получили от потребителите, които са ги свързали с организацията. Това може да бъде дълъг и тромав процес без наличието на подходящ инструмент (Wing предлага премахване на рискови приложения като друга възможност в безплатната си версия, но с някои ограничения, които са премахнати в премиум офертата).

Гарантирането на безопасното използване на SaaS изисква задаването и отговарянето на още два въпроса:

1. Какви разрешения са предоставени на приложенията SaaS?

Вероятно не е необходимо да се споменава, че не всички приложения въвеждат риск през цялото време. Струва си също така да се добави, че дори ако дадено SaaS приложение е нарушено, рискът, който то може да породи, зависи до голяма степен от разрешенията, които са му били предоставени. Почти всички SaaS приложения изискват определена степен на разрешение за достъп до фирмени данни, за да предоставят услугата, за която са създадени. Разрешенията варират от разрешения само за четене до разрешения за запис, които позволяват на приложението SaaS да действа от името на потребителя, например да изпраща имейли от негово име. Правилното управление на позициите за сигурност на SaaS означава да се наблюдават разрешенията, дадени от потребителите на дадено приложение, и да се гарантира, че са му дадени само необходимите разрешения.

2. Какви са данните, които постъпват във и между тези приложения?

В крайна сметка става въпрос за защита на критичните данни на компанията, независимо дали става въпрос за бизнес информация, Pii или код. Данните имат много формати и текат по много различни начини. Уникалният начин, по който SaaS се използва във всички бизнес звена и екипи и от всеки в организацията, създава риск от споделяне на данни чрез използване на SaaS приложения, които не са проектирани за безопасно споделяне на данни. Той също така създава риск от споделяне на данни между приложенията SaaS. В днешно време много приложения SaaS са свързани и включването на едно от тях може да даде достъп до подмножество от много други. Това е гигантска мрежа от взаимосвързаност и споделяне на данни.

Започнете с основите – опознайте своя слой SaaS

Сигурността на SaaS може да бъде непосилна. Това е нова, стабилна граница, която непрекъснато се развива. Освен това е просто още един риск от дългия списък с рискове, с които екипите по сигурността трябва да се справят. Ключът към решаването на проблема със сигурността на SaaS е да се знае кои приложения се използват. Тази основна първа стъпка хвърля светлина върху предизвикателството на SaaS сенчестите ИТ и позволява на екипите по сигурността да оценят правилно спешността и мащаба на рисковете за сигурността на SaaS. Познаването със сигурност на количеството и естеството на използваните SaaS не трябва да бъде сложно или скъпо. Има много инструменти, които могат да решат този проблем.