Почти 1/3 компаний пострадали от утечки данных SaaS в прошлом году
28 августа 2024 г.Тридцать один процент организаций столкнулся с утечкой данных SaaS за последние 12 месяцев, что на 5% больше, чем в предыдущем году, говорится в новом отчете. Этот всплеск может быть связан с недостаточной видимостью развертываемых приложений, включая сторонние подключения к основным платформам SaaS.
Почти половина компаний, использующих Microsoft 365, считают, что у них менее 10 приложений, подключенных к платформе, но обобщенные данные отчета показывают, что среднее число подключений превышает тысячу. Треть призналась, что не знает, сколько приложений SaaS развернуто в их организации.
SaaS-приложения: популярная цель для киберпреступников
Для отчета «Состояние безопасности SaaS 2024» платформа безопасности AppOmni опросила менеджеров и ИТ-экспертов из 644 компаний в США, Великобритании, Франции, Германии, Японии и Австралии в феврале и марте 2024 года. Почти половина из них имеет более 2500 сотрудников.
«Бизнес-подразделения или отдельные лица часто обходят традиционные процессы закупок ИТ-услуг, чтобы внедрить новые сторонние SaaS-приложения, которые легко интегрируются с их основными SaaS-платформами», — пишут авторы.
Согласно другому недавнему отчету Onymos, среднестатистическое предприятие теперь использует более 130 SaaS-приложений по сравнению с 80 в 2020 году.
Они являются популярной целью для киберпреступников из-за хранящихся в них конфиденциальных данных, многочисленных точек входа из-за их широкого распространения и интеграции с другими сервисами, а также их зависимости от часто неправильно настроенных облачных сред.
По прогнозам Gartner, к 2025 году 45% организаций по всему миру столкнутся с атаками на свои цепочки поставок программного обеспечения.
СМ.: Миллионы приложений Apple оказались уязвимы для атаки на цепочку поставок CocoaPods
Децентрализованное управление безопасностью сопровождает развертывание SaaS-приложений, что может привести к образованию пробелов
Другим фактором является постепенный переход к децентрализации управления безопасностью, что привело к путанице в отношении обязанностей и, как следствие, к опасным пробелам.
SaaS в значительной степени заменил локальное программное обеспечение, которое легко защитить физическими мерами безопасности, такими как камеры и охранники. Поскольку SaaS является облачным, развертывается на разных устройствах и используется разными людьми, его безопасность и управление также стали рассредоточенными.
Только 15% респондентов опроса указали, что ответственность за безопасность SaaS сосредоточена в команде кибербезопасности организации.
«Преимущества децентрализованных операций сопровождаются размыванием ответственности между CISO, руководителями направлений бизнеса и командой по кибербезопасности», — пишут авторы отчета. «Изменения, необходимые для комплексной безопасности SaaS, часто отходят на второй план по сравнению с бизнес-целями, даже если у руководителей бизнес-подразделений нет знаний для внедрения мер безопасности».
Они добавили: «А поскольку на уровне владельца приложения существует так много автономии в отношении контроля безопасности, сложно реализовать последовательные меры кибербезопасности для защиты от уязвимостей, специфичных для приложений».
Проверка SaaS-приложений не на должном уровне — даже тех, которые одобрены компанией
Почти все опрошенные организации развернули только SaaS-приложения, которые соответствовали определенным критериям безопасности. Однако 34% заявили, что правила не соблюдаются строго. Это на 12% больше, чем в опросе 2023 года.
Размывание границ ответственности между руководителями компаний и ИТ-отделами, а также их желание как можно быстрее добиться повышения эффективности, приводят к тому, что приложения не всегда проходят самую высокую проверку безопасности перед выпуском.
Кроме того, только 27% респондентов уверены в уровнях безопасности приложений, подвергшихся санкциям. Менее трети уверены в безопасности данных своей компании или клиентов, хранящихся в корпоративных SaaS-приложениях, что на 10% меньше, чем в прошлом году.
Авторы отчета написали: «SaaS-приложения сильно различаются в том, как они обрабатывают политики, события и элементы управления доступом и разрешениями. Поэтому несистематическое управление политиками на уровне отдельных приложений может привести к непоследовательной реализации».
Рекомендации по созданию безопасной SaaS-среды
Команда AppOmni предусмотрела несколько шагов для обеспечения безопасности SaaS-среды:
Брендан О'Коннор, генеральный директор и соучредитель AppOmni, сказал в отчете: «Времена ожидания поставщиков SaaS как основных поставщиков безопасности для вашего SaaS-решения прошли.
«В качестве операционной системы бизнеса ваше SaaS-решение требует хорошо структурированной программы безопасности, организационного согласования ответственности и подотчетности, а также постоянного мониторинга в нужном масштабе».
Оригинал