La seguretat de les aplicacions SaaS entra al radar de les empreses
El risc ja no acaba a l'ordinador de l'usuari: configuracions, permisos i integracions de les aplicacions SaaS requereixen vigilància pròpia.
Resum de la notícia
Correu, emmagatzematge, CRM, gestió de projectes, recursos humans i facturació funcionen cada vegada més des d'aplicacions SaaS. Aquesta comoditat ha reduït la càrrega de mantenir servidors propis, però ha creat una nova superfície de risc que no sempre rep la mateixa atenció que la xarxa o els equips.
En un entorn SaaS, molts incidents es produeixen per configuracions incorrectes o permisos excessius. Un enllaç públic compartit accidentalment, un compte antic que continua actiu o una aplicació de tercers amb accés a massa dades poden passar desapercebuts durant mesos.
Les empreses estan responent amb revisions periòdiques de configuració i amb eines capaces de detectar canvis de risc. També pren importància el control d'aplicacions connectades mitjançant OAuth, perquè un complement instal·lat per un usuari pot obtenir permisos per llegir correu, arxius o calendaris sense necessitat de conèixer la contrasenya.
Una altra pràctica creixent és l'automatització del cicle de vida dels comptes. Quan una persona entra, canvia de funció o abandona l'empresa, els seus permisos s'haurien d'ajustar de forma ràpida i consistent. Mantenir accessos antics incrementa el risc i complica qualsevol auditoria posterior.
L'avantatge és que bona part d'aquestes millores pot aplicar-se sense substituir les aplicacions existents. Es tracta de conèixer quins serveis s'utilitzen, quina informació contenen i com estan configurats.
Una revisió útil pot centrar-se en tres àrees: enllaços compartits públicament, aplicacions de tercers amb permisos amplis i usuaris que fa setmanes que no tenen activitat. Són controls fàcils d'explicar i solen descobrir exposició innecessària. A partir d'aquí es pot construir una política més completa de postura SaaS.
Què va passar
Correu, emmagatzematge, CRM, gestió de projectes, recursos humans i facturació funcionen cada vegada més des d'aplicacions SaaS. Aquesta comoditat ha reduït la càrrega de mantenir servidors propis, però ha creat una superfície de risc que no sempre rep la mateixa atenció que la xarxa o els equips.
Molts incidents en entorns SaaS es produeixen per configuracions incorrectes o permisos excessius: un enllaç públic compartit per error, un compte antic que continua actiu o una aplicació de tercers connectada per OAuth amb accés a massa dades poden passar desapercebuts durant mesos.
Què significa per a una empresa mitjana
Les empreses mitjanes solen usar desenes d'aplicacions SaaS sense un inventari centralitzat, cosa que dificulta saber quina informació conté cadascuna i qui hi té accés. Aquest desconeixement és, a la pràctica, el principal factor de risc.
L'avantatge és que bona part de les millores no requereix substituir les aplicacions existents: es tracta d'aplicar revisió i disciplina al que ja es fa servir.
Què convé revisar
Una revisió de postura SaaS pot començar per tres àrees concretes:
- Enllaços compartits públicament en eines d'emmagatzematge i col·laboració.
- Aplicacions de tercers connectades mitjançant OAuth amb permisos amplis sobre correu, arxius o calendaris.
- Usuaris i comptes que porten setmanes sense activitat i que s'haurien de desactivar.
- Automatització del cicle de vida dels comptes quan una persona entra, canvia de funció o marxa de l'empresa.
Preguntes freqüents
- Què és el risc OAuth en aplicacions SaaS?
- És el risc que un complement o aplicació de tercers, instal·lat per un usuari, obtingui permisos per llegir correu, arxius o calendaris sense necessitat de conèixer la contrasenya.
- Cal substituir les aplicacions SaaS actuals per millorar la seguretat?
- No. La majoria de millores consisteixen a revisar configuració i permisos del que ja es fa servir, no a canviar d'eines.
- Per on començar una revisió de seguretat SaaS?
- Per enllaços compartits públicament, aplicacions de tercers amb permisos amplis i usuaris inactius; són controls fàcils d'explicar que solen descobrir exposició innecessària.
Conceptes esmentats en aquest article: SaaS · Emmagatzematge
A Seintec podem ajudar-te a inventariar les teves aplicacions SaaS, revisar permisos i integracions i establir controls que redueixin l'exposició sense frenar la col·laboració. Contacta amb nosaltres si vols saber quins riscs s'amaguen avui darrere de les teves eines de treball habituals.
Contactar amb SeintecServei relacionat
Ciberseguretat
Blindem la teva empresa perquè mai s'aturi.