Help net security發佈了一篇CISO 減少 SaaS 攻擊面的指南
SaaS（軟體即服務）是一種流行的雲端服務模式，讓企業可以透過網路訂閱和使用各種應用程式，而不需要自己安裝或維護軟體。SaaS 可以節省成本、提高效率、增加彈性，但也帶來了一些安全風險。SaaS 的攻擊面是指可能被惡意利用的 SaaS 的漏洞或弱點，包括使用者、資料、設備、網路、身分驗證、授權、加密、監控等方面。如果 SaaS 的攻擊面過大，就可能導致資料洩漏、服務中斷、法律違規、信譽損失等嚴重後果。
因此，企業的 CISO（資訊安全長）必須制定和執行有效的策略，來減少 SaaS 的攻擊面，保護企業的資產和利益。以下是一些實用的建議，可以幫助 CISO 達成這個目標：
- 評估 SaaS 的安全性：在選擇或使用任何 SaaS 服務之前，CISO 應該對其進行全面的安全評估，包括檢查 SaaS 供應商的安全政策、標準、認證、合約、責任、保障等，並要求 SaaS 供應商提供相關的安全報告、測試、審計等證據。CISO 也應該定期監測和更新 SaaS 的安全狀況，並與 SaaS 供應商保持良好的溝通和合作。
- 管理 SaaS 的使用者：使用者是 SaaS 的最重要的安全因素之一，也是最容易被忽視的。CISO 應該建立和執行一套完善的 SaaS 使用者管理制度，包括定義和分配使用者的角色、權限、責任，以及設定和強制使用者的安全規範、教育、培訓、意識等。CISO 也應該監控和記錄使用者的 SaaS 活動，並及時處理任何異常或違規的情況。
- 保護 SaaS 的資料：資料是企業的核心資產，也是 SaaS 的主要攻擊目標。CISO 應該確保 SaaS 的資料在傳輸、存儲、處理、共享、銷毀等過程中，都有足夠的保護措施，例如使用強大的加密、雜湊、數位簽章等技術，以及遵守相關的法規、標準、協議等規範。CISO 也應該制定和執行一套有效的 SaaS 資料備份和災難復原計畫，以防止資料的遺失或損毀。
- 控制 SaaS 的設備：設備是使用者與 SaaS 服務的連接點，也是 SaaS 的重要安全因素之一。CISO 應該規範和管理使用者使用 SaaS 服務的設備，包括桌上型電腦、筆記型電腦、平板電腦、智慧型手機等，並確保這些設備都有安裝和更新必要的安全軟體、防火牆、防毒、防駭等，以及適當的鎖定、清除、遠端控制等功能。CISO 也應該限制或禁止使用者使用未經授權或不安全的設備，以及使用公共的網路或設備，來存取 SaaS 服務。
- 優化 SaaS 的網路：網路是 SaaS 服務的運作基礎，也是 SaaS 的重要安全因素之一。CISO 應該優化和保護企業的網路環境，包括使用 VPN、SSL、TLS 等技術，來加密和驗證 SaaS 的網路流量，以及使用 IDS、IPS、WAF 等工具，來偵測和阻擋 SaaS 的網路攻擊。CISO 也應該監測和分析 SaaS 的網路性能、品質、可用性等指標，並及時解決任何網路問題或故障。
- 強化 SaaS 的身分驗證：身分驗證是確認使用者的身分和合法性的過程，也是 SaaS 的重要安全因素之一。CISO 應該強化和統一 SaaS 的身分驗證機制，包括使用多因素驗證、單一登入、聯合身分驗證等技術，來提高 SaaS 的身分驗證的安全性和便利性，以及使用 IAM、PAM、SIEM 等平台，來管理和監控 SaaS 的身分驗證的過程和結果。CISO 也應該定期檢查和更新 SaaS 的身分驗證的策略和設定，並及時撤銷或修改任何過期或不合適的身分驗證的憑證或權限。
- 細化 SaaS 的授權：授權是分配使用者的權限和範圍的過程，也是 SaaS 的重要安全因素之一。CISO 應該細化和客製化 SaaS 的授權機制，包括使用最小權限原則、基於角色的授權、基於屬性的授權、基於情境的授權等技術，來確保使用者只能存取和操作他們需要和允許的 SaaS 的資源和功能，以及使用 IAM、PAM、SIEM 等平台，來管理和監控 SaaS 的授權的過程和結果。CISO 也應該定期檢查和更新 SaaS 的授權的策略和設定，並及時撤銷或修改任何過期或不合適的授權的憑證或權限。
- 加強 SaaS 的監控：監控是觀察和記錄 SaaS 的運作狀況和活動的過程，也是 SaaS 的重要安全因素之一。CISO 應該加強和整合 SaaS 的監控機制，包括使用 SIEM、SOAR、UEBA 等平台，來收集和分析 SaaS 的日誌、事件、警報、指標等資訊，以及使用 AI、ML、NLP 等技術，來提升 SaaS 的監控的智慧和自動化。CISO 也應該建立和執行一套有效的 SaaS 的監控的流程和規則，並及時回應和處理任何 SaaS 的監控的結果或發現。
- 總結和建議：SaaS 是一種方便和高效的雲端服務模式，但也帶來了一些安全挑戰。CISO 應該採取主動和全面的態度，來減少 SaaS 的攻擊面，提高 SaaS 的安全性。這需要 CISO 與 SaaS 供應商、使用者、資料、設備、網路、身分驗證、授權、加密、監控等相關的因素和利害關係人，建立和維持良好的合作和信任關係，並使用適當的技術和工具，來實施和管理 SaaS 的安全策略和措施。只有這樣，才能確保 SaaS 的服務品質和價值，以及企業的資產和利益。
詳情請看：