精益IT安全团队降低SaaS应用风险指南

软件即服务（SaaS）行业在短短几年内就从新奇变成了当今商业世界不可或缺的一部分。虽然对大多数组织的好处显而易见–；更高的效率、更高的生产率和可访问性–；SaaS模式带来的风险开始显现。可以毫不夸张地说，如今大多数公司都使用SaaS。这对他们的安全团队构成了越来越大的挑战。

XDR和SSPM提供商Cynet发布了一份名为《精益IT安全团队降低SaaS应用程序风险指南》的新指南，该指南详细介绍了SaaS生态系统风险如此之高的原因，以及安全团队如何缓解这些风险。

如今，中型公司平均使用185个SaaS应用程序。这意味着app-to-person连接的数量呈指数级增长。大多数中型企业拥有近4406个接触点，形成了一个需要大量资源才能简单监控的攻击面。数字灾难的风险不容忽视–；特别是考虑到管理大多数SaaS应用程序的安全模式。

了解精益安全团队的SaaS风险

SaaS的核心安全问题之一是，风险不再仅仅是“可能出现的问题”。由于SaaS应用程序已经在组织中根深蒂固，一个SaaS应用程序的安全漏洞可能会造成严重损害，而且这种情况经常发生。它们可以是从服务中断到大规模数据泄露的任何情况，并造成严重问题。

问题是，SaaS风险来自哪里？答案是多个地方：

• SaaS公司自己。并非所有SaaS提供商都有相同的安全控制，直接攻击SaaS提供商可以让攻击者访问其所有客户。这有助于解释通过可信第三方发起的供应链攻击激增的原因。
• 提供商数据泄露。由于SaaS应用程序与组织的连接，它们必须处理大量数据。在某些时候，组织必须依靠他们的供应商的安全控制，这并不总是达到标准。
• 访问控制配置错误。当SaaS应用程序设置不正确时；由IT团队或供应商自己–；它为网络攻击或用户制造的问题打开了大门。
• 不利的软件更新。复杂的SaaS系统非常脆弱，不好的更新可能会造成严重的中断，打开新的漏洞或使关键功能失效。
• 服务宕机。与基于云的模式相关的一个问题是，与供应商的问题通常会导致订阅者的服务中断。无论问题是财务崩溃、数据中心问题还是流氓员工，在SaaS上运行的关键任务服务都有被延迟、中断或禁用的风险。
• 内部威胁。由于可以访问如此多的数据，供应商内部的流氓员工很容易将其访问权限用于犯罪目的。

精益It安全团队如何管理？

尽管这种现状给精益IT安全团队带来了重大挑战，但这并不是世界末日。组织仍然依赖其提供商提供安全保障，但他们可以采取措施将风险降至最低。这包括：

• 更彻底地审查供应商，确保他们满足组织的要求和监管需求。
• 探索供应商持有的外部验证和认证
• 使用SaaS管理平台（SMP）或SaaS安全态势管理（SSPM）等有助于统一和集中安全策略的外部工具。