搜索

[7397] 2021-09-01_未托管的SaaS数据将带来供应链风险

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-17
2021-09-01_未托管的SaaS数据将带来供应链风险 未 托 管 的   S a a S   数 据 将 带 来 供 应 链 风 险 安 全 小 E   E 安 全   2 0 2 1 - 0 9 - 0 1 S a a s ， S o f t w a r e   a s   a   S e r v i c e 。 S a a s 平 台 是 运 营 s a a s 软 件 的 平 台 。 S a a S 提 供 商 为 企 业 搭 建 信 息 化 所 需 要 的 所 有 网 络 基 础 设 施 及 软 件 、 硬 件 运 作 平 台 ， 并 负 责 所 有 前 期 的 实 施 、 后 期 的 维 护 等 一 系 列 服 务 ， 企 业 无 需 购 买 软 硬 件 、 建 设 机 房 、 招 聘 I T 人 员 ， 即 可 通 过 互 联 网 使 用 信 息 系 统 。 S a a S   是 一 种 软 件 布 局 模 型 ， 其 应 用 专 为 网 络 交 付 而 设 计 ， 便 于 用 户 通 过 互 联 网 托 管 、 部 署 及 接 入 。 当 对 软 件 服 务 化   ( S a a S )   数 据 的 访 问 不 受 管 理 时 ， 内 部 和 外 部 威 胁 的 可 能 性 都 会 增 加 。 这 就 是 D o C o n t r o l   I n c .   的 一 份 新 报 告 如 此 令 人 不 安 的 原 因 。 在 评 估 平 均 拥 有   1 , 0 0 0   名 员 工 的 公 司 和 拥 有 5 0 0 , 0 0 0   至   1 0 0 0   万 资 产 的 数 据 存 储 之 后 ， 这 家   S a a S   公 司 发 现 所 有   S a a S   数 据 访 问 中 有   4 0 %   未 受 管 理 。 这 意 味 着 多 达   2 0 0 , 0 0 0   项 资 产 可 能 会 被 公 开 共 享 。 “ 我 们 应 该 立 即 为 该 行 业 敲 响 警 钟 。 随 着 企 业 将 他 们 的 数 据 转 移 到 云 端 ， 随 着 内 部 人 员 、 合 作 伙 伴 和 供 应 链 的 其 他 部 分 可 以 访 问 这 些 数 据 ， 这 些 数 据 的 潜 在 暴 露 量 会 增 加 几 个 数 量 级 ， ” C y b e r h a v e n   首 席 执 行 官   H o w a r d   T i n g 说 。 “ 企 业 必 须 开 始 让 他 们 的   S a a S   供 应 商 承 担 责 任 ， 并 有 可 审 计 的 方 式 来 准 确 了 解 谁 可 以 访 问 他 们 的 数 据 以 及 如 何 保 护 数 据 。 ” D o C o n t r o l   研 究 人 员 指 出 ， 在 拥 有 千 人 规 模 的 公 司 里 ， 平 均 有 4 0 0 个 加 密 密 钥 在 内 部 共 享 给 任 何 拥 有 链 接 的 人 ， 其 中   2 0 %   的   S a a S   资 产 “ 通 过 链 接 在 内 部 共 享 ， 使 许 多 员 工 暴 露 于 他 们 无 权 查 看 的 数 据 点 ” 。 即 使 在 几 乎 完 全 远 程 工 作 一 年 多 之 后 ， 公 司 似 乎 也 没 有 让 员 工 意 识 到 将 个 人 资 产 和 专 业 资 产 分 开 的 重 要 性 — — “ 8 %   的 员 工 将 他 们 的 公 司 账 户 资 产 与 个 人 账 户 共 享 ， 暴 露 公 司 持 续 向 员 工 提 供 数 据 ， ” D o C o n t r o l   表 示 。 前 情 提 要 前 情 提 要 具 体 内 容 具 体 内 容
— — “ 8 %   的 员 工 将 他 们 的 公 司 账 户 资 产 与 个 人 账 户 共 享 ， 暴 露 公 司 持 续 向 员 工 提 供 数 据 ， ” D o C o n t r o l   表 示 。 0 1 外 部 外 部   S a a S   漏 漏 洞 洞 内 部 威 胁 并 不 是 唯 一 的 风 险 。 该 报 告 发 现 ， 组 织 的   S a a S   访 问 实 践 也 使 他 们 容 易 受 到 外 部 力 量 的 影 响 ： 他 们 允 许   1 , 0 0 0   到   1 5 , 0 0 0   名 外 部 合 作 者 访 问 公 司 数 据 。 报 告 发 现 ， “ 有   2 0 0   到   3 , 0 0 0   家 外 部 （ 特 别 是 第 三 方 ） 公 司 可 以 访 问 公 司 资 产 ” 。 如 果 这 还 不 够 成 问 题 ， 请 考 虑 “ 1 8 %   的   S a a S   应 用 程 序 资 产 在 外 部 共 享 ， 并 且 即 使 在 删 除 用 户 后 仍 保 持 在 外 部 共 享 。 ” J u p i t e r O n e   首 席 信 息 安 全 官 兼 研 究 主 管   S o u n i l   Y u   表 示 ： “ 未 托 管 的   S a a S   使 用 意 味 着 敏 感 的 企 业 数 据 可 能 会 扩 散 到 从 未 设 想 过 容 纳 此 类 数 据 的 位 置 。 ”   此 外 ， “ S a a S   应 用 程 序 通 常 与 其 他   S a a S   应 用 程 序 集 成 。 如 果 这 些 集 成 也 没 有 得 到 管 理 ， 那 么 组 织 就 有 可 能 通 过 多 个   S a a S   渠 道 授 予 对 其 公 司 数 据 过 度 宽 松 和 持 续 访 问 的 风 险 。 ” 当 然 ， S a a S   应 用 程 序 是 用 于 协 作 的 ， 预 计 它 们 会 扩 大 公 司 的 攻 击 面 。 但 正 如   D o C o n t r o l   首 席 执 行 官 兼 联 合 创 始 人   A d a m   G a v i s h   指 出 的 那 样 ， 组 织 在 管 理 访 问 方 面 的 做 法 必 须 转 变 为 保 护 数 据 资 产 。 “ 迄 今 为 止 ， 安 全 从 业 者 一 直 专 注 于 以 安 全 的 方 式 启 用   S a a S   访 问 ， 但 现 在 是 优 先 考 虑 内 部 和 外 部 数 据 访 问 的 相 关 性 的 时 候 了 ， ” G a v i s h 在 一 份 声 明 中 说 。 “ 无 法 管 理 的 数 据 访 问 会 给 任 何 组 织 带 来 重 大 风 险 ， 并 增 加 数 据 泄 露 的 可 能 性 。 ” A p p O m n i   工 程 副 总 裁   T i m   B a c h   指 出 ， “ S a a S   在 过 去 十 年 中 已 成 为 企 业 的 首 选 技 术 解 决 方 案 ， 现 在 在 日 常 业 务 运 营 中 变 得 越 来 越 重 要 ， ”   S a l e s f o r c e   等 应 用 程 序 表 示 ，   S e r v i c e N o w 、 W o r k d a y 、 M i c r o s o f t 3 6 5 、 G S u i t e 、 B o x   和   S l a c k   的 重 要 性 日 益 增 加 ， 支 持 组 织 内 “ 每 条 业 务 线 的 重 要 活 动 ” 。 0 2 保 护 多 云 环 境 保 护 多 云 环 境 但 众 所 周 知 ， S a a S   多 云 环 境 难 以 保 护 。 S y m m e t r y   S y s t e m s   的 联 合 创 始 人 兼 首 席 执 行 官   M o h i t   T i w a r i   解 释 说 ： “ 有 生 产 数 据 存 储 （ S Q L 、 N o S Q L 、 缓 存 、 队 列 … … ） 、 分 析 数 据 等 … … 包 含 敏 感 数 据 并 与 互 联 网 对 话 。 ”   “ 而 且 每 个 数 据 存 储 都 暴 露 了 一 组 不 同 的 旋 钮 — — 加 密 、 访 问 控 制 等 — — 很 难 设 置 和 保 持 同 步 。 ” 巴 赫 说 ， 让 应 用 程 序 几 乎 对 用 户 不 可 见 的 无 处 不 在 和 便 利 性 “ 创 造 了 一 个 悖 论 ” 。 “ 根 据 几 乎 所 有 客 观 标 准 — — 数 据 的 敏 感 性 、 对 业 务 运 营 的 重 要 性 、 对 数 据 完 整 性 的 需 求 等 — — 这 些 应 用 程 序 及 其 包 含 的 数 据 都 是 关 键   I T   基 础 设 施 堆 栈 的 一 部 分 。 但 他 们 很 少 受 到 负 责 管 理 和 保 护 关 键 企 业   I T   的 管 理 员 的 关 注 。 ” 他 说 ， S a a S   通 常 不 会 受 到 “ 与   I a a S 、 裸 机 和   I T   基 础 设 施 堆 栈 的 其 他 元 素 相 同 级 别 的 尽 职 调 查 ” 。 因 此 ， 组 织 “ 容 易 受 到 泄 露 和 破 坏 的 影 响 ， 这 些 泄 露 和 破 坏 可 能 会 损 害 敏 感 信 息 的 完 整 性 、 破 坏 运 营 并 损 害 声 誉 和 市 场 价 值 ， ” 巴 赫 说 。 “ 作 为 安 全 从 业 者 ， 我 们 需 要 将   S a a S   视 为 关 键 基 础 设 施 ， 并 相 应 地 进 行 投 资 以 保 护 它 。 ” 为 了 应 对 这 些 挑 战 ， “ 组 织 首 先 需 要 了 解 正 在 使 用 的   S a a S   应 用 程 序 ， ” Y u   说 。 “ 此 外 ， 组 织 应 明 确 审 查   S a a S 应 用 程 序 的 权 限 范 围 并 批 准 它 们 ， 然 后 才 允 许 它 们 通 过 其 身 份 提 供 商 进 行 身 份 验 证 。 ”
应 用 程 序 的 权 限 范 围 并 批 准 它 们 ， 然 后 才 允 许 它 们 通 过 其 身 份 提 供 商 进 行 身 份 验 证 。 ” 此 外 ， Y u   说 ， “ 组 织 需 要 关 注 那 些 在 使 用   S S O   之 外 访 问 的   S a a S   应 用 程 序 。 ” 公 司 似 乎 需 要 听 取   T i w a r i   的 建 议 ， “ 从 根 本 上 重 新 思 考 如 何 监 控 他 们 的 敏 感 数 据 在 哪 里 、 如 何 保 护 它 以 及 如 何 使 用 它 。 ” 推 荐 阅 读 ： 英 国 ： 组 织 在 实 施 零 信 任 架 构 时 面 临 的 挑 战 漏 洞 管 理 面 临 三 个 核 心 问 题 数 据 的 需 求 与 数 据 供 应 链 挑 战 齐 头 并 进 美 国 电 信 运 营 商 T - M o b i l e 就 数 据 泄 露 一 事 展 开 调 查 提 升 网 络 弹 性 和 应 对 政 府 信 息 安 全 挑 战 数 据 蔓 延 ： 云 数 据 挑 战 巴 西 宣 布 成 立 国 家 数 据 保 护 委 员 会 注 ： 本 文 由 E 安 全 编 译 报 道 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理