Tuy nhiên, có ba thách thức chính đã nảy sinh bắt nguồn từ sự phát triển này: (1) Trong khi các ứng dụng SaaS bao gồm một loạt các cài đặt bảo mật gốc, chúng cần được làm cứng bởi nhóm bảo mật của tổ chức. (2) Nhân viên đang cấp quyền truy cập ứng dụng của bên thứ 3 vào các ứng dụng SaaS cốt lõi gây ra các mối đe dọa tiềm ẩn cho công ty. (3) Các ứng dụng SaaS này được truy cập bởi các thiết bị khác nhau mà không có điểm vệ sinh thiết bị của chúng thậm chí không được kiểm tra.
1 – Quản lý cấu hình sai
Không phải là một nhiệm vụ dễ dàng để mọi cài đặt ứng dụng được định cấu hình đúng cách – mọi lúc. Thách thức nằm ở mức độ nặng nề của trách nhiệm này – mỗi ứng dụng có hàng chục hoặc hàng trăm cài đặt bảo mật để đặt cấu hình, ngoài hàng nghìn vai trò và quyền của người dùng trong một doanh nghiệp điển hình, kết hợp với nhiều tiêu chuẩn và khuôn khổ ngành tuân thủ mà các tổ chức cố gắng tuân theo.
Sự phức tạp của việc bảo mật các ứng dụng SaaS chỉ tăng lên bởi thực tế là chủ sở hữu ứng dụng SaaS thường ngồi bên ngoài nhóm bảo mật, trong bộ phận sử dụng ứng dụng nhiều nhất (nghĩ rằng Sales có ứng dụng CRM, Marketing có ứng dụng tự động hóa) – và họ chưa được đào tạo và không tập trung vào việc bảo trì bảo mật của ứng dụng. Tất cả chỉ là mức độ nặng nề và không thực tế khi mong đợi các nhóm bảo mật có thể kiểm soát ngăn xếp SaaS của tổ chức.
2 — Quyền truy cập ứng dụng của bên thứ 3
OAuth 2.0 đã đơn giản hóa rất nhiều xác thực và ủy quyền và cung cấp một ủy quyền truy cập chi tiết. Được thể hiện dưới dạng phạm vi, một ứng dụng yêu cầu ủy quyền của người dùng cho các quyền cụ thể. Một ứng dụng có thể yêu cầu một hoặc nhiều phạm vi. Thông qua việc phê duyệt các phạm vi, người dùng cấp cho các ứng dụng này quyền thực thi mã để thực hiện logic đằng sau hậu trường trong môi trường của họ. Các ứng dụng này có thể vô hại hoặc đe dọa như một tệp thực thi.
Khi nói đến máy cục bộ và tệp thực thi, các tổ chức đã có quyền kiểm soát tích hợp cho phép các nhóm bảo mật chặn các chương trình và tệp có vấn đề. Nó cần phải giống nhau khi nói đến các ứng dụng SaaS.
3 – Tư thế người dùng từ thiết bị đến SaaS
Từ mục nhập đầu tiên cho đến vị thế thiết bị, các nhóm bảo mật cần có khả năng xác định và quản lý các rủi ro đến từ người dùng SaaS và các thiết bị liên quan của họ. Một thiết bị có điểm vệ sinh thấp gây ra rủi ro cao tùy thuộc vào ứng dụng mà nhân viên này đang sử dụng. Trong trường hợp của một người dùng có đặc quyền cao, một thiết bị không an toàn có thể gây ra mức độ rủi ro thậm chí còn cao hơn cho một tổ chức. Nhóm bảo mật cần khả năng tương quan người dùng ứng dụng SaaS, vai trò và quyền của họ với mức độ tuân thủ và tính toàn vẹn của thiết bị được liên kết của họ. Cách tiếp cận đầu cuối này cho phép cách tiếp cận không tin cậy toàn diện đối với bảo mật SaaS hiện chỉ mới xuất hiện.
Quản lý vị thế bảo mật SaaS xử lý các thách thức về ngăn xếp SaaS
Đó là lý do tại sao Gartner đặt tên cho SaaS Security Posture Management (SSPM) là giải pháp PHẢI CÓ để liên tục đánh giá rủi ro bảo mật và quản lý vị thế bảo mật của các ứng dụng SaaS trong “4 công nghệ phải có đã tạo nên chu kỳ cường điệu của Gartner cho bảo mật đám mây, 2021. ” Các giải pháp đám mây khác không cung cấp phạm vi bảo hiểm phòng ngừa. Ví dụ, một giải pháp CASB theo định hướng sự kiện; CASB sẽ cảnh báo tổ chức về rò rỉ hoặc vi phạm SaaS chỉ khi nó đã xảy ra.
Một giải pháp SSPM, như Adaptive Shield, phát huy tác dụng để cho phép các nhóm bảo mật xác định, phân tích và ưu tiên các cấu hình sai cũng như cung cấp khả năng hiển thị cho các ứng dụng của bên thứ 3 có quyền truy cập vào các ứng dụng cốt lõi của họ và quản lý vị trí Thiết bị với SaaS-Người dùng.
Adaptive Shield cho phép bạn lọc và chia nhỏ dữ liệu theo ứng dụng, miền và khung tuân thủ.
Cốt lõi của giải pháp là kiểm tra bảo mật chi tiết và chi tiết được thực hiện liên tục trên ngăn xếp SaaS, trong khi các nhóm bảo mật có thể giải quyết các cấu hình sai ngay lập tức hoặc tạo một yêu cầu tích hợp với bất kỳ hệ thống tạo yêu cầu nào:
Thông qua tính năng Giám sát hoạt động, Adaptive Shield giám sát hoạt động của người dùng đặc quyền:
(Adaptive Shield)
Đăng nhận xét
Đăng nhận xét