根據(jù)IBM Security發(fā)布的《2020年數(shù)據(jù)泄露成本報(bào)告》，各行業(yè)中云的使用量增加了50%。針對(duì)云服務(wù)(主要是針對(duì)Office 365等團(tuán)隊(duì)協(xié)作服務(wù))的威脅數(shù)量已增加630%。

有75%的受訪者表示，由于新冠疫情的大流行，很多組織開(kāi)始采用遠(yuǎn)程工作，發(fā)現(xiàn)數(shù)據(jù)泄露或從數(shù)據(jù)泄露中恢復(fù)的時(shí)間大大增加了。如果組織在開(kāi)始的30天內(nèi)發(fā)現(xiàn)違規(guī)行為可以節(jié)省超過(guò)100萬(wàn)美元，但報(bào)告顯示實(shí)際的平均響應(yīng)時(shí)間高達(dá)280天。

[[394370]]

因?yàn)檫h(yuǎn)程工作的逐漸普及，SaaS應(yīng)用程序也被攻擊者盯上了。未經(jīng)過(guò)安全培訓(xùn)的員工在異地辦公，訪問(wèn)權(quán)限的控制和敏感數(shù)據(jù)的訪問(wèn)都變得更加復(fù)雜，也增加了數(shù)據(jù)暴露和泄露的風(fēng)險(xiǎn)。

因此，增強(qiáng)SaaS的安全水平對(duì)當(dāng)今企業(yè)的安全至關(guān)重要，可以參考Gartner定義的SaaS安全狀態(tài)管理(SSPM)提高SaaS應(yīng)用程序安全性。

Gartner的Tom Croll表示：“越來(lái)越多的業(yè)務(wù)關(guān)鍵數(shù)據(jù)被完全存在于公司網(wǎng)絡(luò)外部的應(yīng)用程序進(jìn)行處理，這使傳統(tǒng)的控制措施失效了”，“我們需要新的方式來(lái)應(yīng)對(duì)這些挑戰(zhàn)，SSPM工具將會(huì)進(jìn)一步增強(qiáng)對(duì)存儲(chǔ)在常用SaaS應(yīng)用程序中的數(shù)據(jù)的保護(hù)。核心功能包括監(jiān)視本地SaaS安全設(shè)置的配置、報(bào)告不合規(guī)情況和自動(dòng)修復(fù)違規(guī)情況，以保持與多個(gè)合規(guī)性框架的一致性”。

新興解決方案

云安全領(lǐng)域已有很多產(chǎn)品，但是SSPM解決方案是唯一一種以定制和自動(dòng)化方式評(píng)估公司的SaaS安全狀況的解決方案，該解決方案針對(duì)每個(gè)SaaS應(yīng)用程序進(jìn)行了定制化應(yīng)對(duì)，用以持續(xù)監(jiān)視和增強(qiáng)公司的SaaS安全性。

但我們不能因此忽略基礎(chǔ)安全防護(hù)，SaaS應(yīng)用程序安全始終包含兩個(gè)方面：SaaS應(yīng)用程序服務(wù)提供商內(nèi)置了旨在保護(hù)公司和用戶(hù)數(shù)據(jù)的許多安全功能，但本地的安全超出了這些服務(wù)提供商的控制范圍，組織內(nèi)部的安全團(tuán)隊(duì)仍然要負(fù)責(zé)保護(hù)和管理數(shù)據(jù)、配置、用戶(hù)角色和權(quán)限等。

對(duì)于組織而言，確保正確配置所有SaaS應(yīng)用程序、用戶(hù)角色和權(quán)限不僅是一項(xiàng)永無(wú)休止、耗時(shí)費(fèi)力的工作，而且是一項(xiàng)不可能完成的任務(wù)。

管理SaaS安全的挑戰(zhàn)

SaaS應(yīng)用程序的環(huán)境是動(dòng)態(tài)且不斷更新的，例如在添加或刪除員工以及啟用新應(yīng)用程序之后，必須重置、更改或更新權(quán)限和配置。同時(shí)，組織需要滿(mǎn)足法律合規(guī)和行業(yè)標(biāo)準(zhǔn)以及一些最佳實(shí)踐(NIST，MITRE等)。對(duì)于平均擁有288個(gè)SaaS應(yīng)用程序的企業(yè)而言，這需要耗費(fèi)大量的人力物力。

每個(gè)SaaS應(yīng)用程序都有自己的安全配置，例如可以共享哪些文件，是否需要MFA，是否在視頻會(huì)議中允許錄制等。安全團(tuán)隊(duì)需要了解每個(gè)應(yīng)用程序?qū)?yīng)的規(guī)則和配置，確保它們符合公司的策略要求。而安全團(tuán)隊(duì)并不是每天使用應(yīng)用程序的人，也難以?xún)?yōu)化配置。

[[394371]]

組織需要管理/監(jiān)視的應(yīng)用程序、配置、用戶(hù)角色和權(quán)限的數(shù)量隨應(yīng)用程序的數(shù)量增長(zhǎng)而快速增加。例如一個(gè)擁有數(shù)百個(gè)SaaS應(yīng)用程序的企業(yè)，每個(gè)應(yīng)用程序最多可能有數(shù)百個(gè)配置選項(xiàng)，更不用說(shuō)擁有數(shù)千到數(shù)十(甚至數(shù)十萬(wàn))員工的大企業(yè)。安全團(tuán)隊(duì)要學(xué)習(xí)數(shù)百種應(yīng)用程序設(shè)置，并監(jiān)視成千上萬(wàn)的設(shè)置以及成千上萬(wàn)的用戶(hù)角色與權(quán)限。

大多數(shù)SaaS應(yīng)用程序是在使用它們最多的部門(mén)購(gòu)買(mǎi)的，例如，自動(dòng)化SaaS解決方案通常位于營(yíng)銷(xiāo)部門(mén)中，CRM位于銷(xiāo)售部門(mén)中，而IT部門(mén)中則包含云計(jì)算，生產(chǎn)力和協(xié)作工具。這些SaaS應(yīng)用程序可能會(huì)分散保存著有關(guān)公司客戶(hù)和業(yè)務(wù)項(xiàng)目的關(guān)鍵數(shù)據(jù)，難以統(tǒng)一管理。

SaaS 應(yīng)用程序的使用者通常沒(méi)有接受過(guò)安全培訓(xùn)，對(duì)持續(xù)不斷的配置需求也沒(méi)有深入了解。安全團(tuán)隊(duì)最終對(duì)其所采用的安全協(xié)議一無(wú)所知，更重要的是，使用者也并未將注意力集中在其帶來(lái)的風(fēng)險(xiǎn)上。

SaaS安全

因?yàn)檫h(yuǎn)程辦公的增加，組織更容易受到SaaS安全配置缺陷的攻擊。幸運(yùn)的是，安全團(tuán)隊(duì)現(xiàn)在可以使用Adaptive Shield之類(lèi)的SSPM解決方案來(lái)規(guī)范化SaaS應(yīng)用程序安全解決上述挑戰(zhàn)。

在關(guān)鍵業(yè)務(wù)SaaS應(yīng)用程序中，合理的SSPM解決方案可以為公司的SaaS安全狀況提供更好的可見(jiàn)性與更為及時(shí)的補(bǔ)救措施。

[[394372]]

SSPM解決方案旨在簡(jiǎn)化和提高安全團(tuán)隊(duì)的效率，減少安全團(tuán)隊(duì)的工作量和工作壓力，同時(shí)增加對(duì)潛在風(fēng)險(xiǎn)或違規(guī)行為的防護(hù)。

Adaptive Shield類(lèi)的SSPM解決方案使安全團(tuán)隊(duì)可以輕松地查看、監(jiān)控和修復(fù)公司所有SaaS應(yīng)用程序的配置信息和用戶(hù)角色信息，同時(shí)管理不同種類(lèi)的SaaS應(yīng)用程序(例如：視頻會(huì)議平臺(tái)、客戶(hù)支持工具、人力資源管理系統(tǒng)、文件共享應(yīng)用程序、消息傳遞應(yīng)用程序、營(yíng)銷(xiāo)平臺(tái)等)。