SaaS の構成を間違えたくない場合に注意すべき 5 つの設定

企業は、コラボレーション、マーケティング、ファイル共有などの無数の機能を実行するために SaaS アプリケーションに依存しています。しかし問題は、サイバー攻撃、データ侵害、その他の多くのリスクを防ぐためにこれらのアプリケーションを構成するためのリソースが不足していることが多いことです。

深刻なデータ侵害や多大な経済的損失は、SaaS のセキュリティ構成エラーによって引き起こされます。 Verizon の 2020 年の調査報告書によると、このエラーはデータ侵害の 2 番目に大きな原因であり、全侵害の約 1/3 を占めています。

その中で、構成ミスは最も一般的なエラーであり、多くの場合、データベースまたはファイルシステムのコンテンツがクラウドサービスに直接公開されることにつながります。

企業は、SaaS アプリケーションに対して有効にしているセキュリティ設定が最も弱いため、脆弱になる傾向があります。 IT セキュリティチームは、不適切に構成された SaaS アプリケーションのリスクから組織を保護するために、さらに多くのことを行う必要があります。ここでは、特別な注意が必要な 5 つの SaaS 構成エラーを紹介します。

1. SSO が有効になっている場合でも、SaaS システム管理者が MFA を使用していることを確認します。

SSO は、SaaS アプリケーションのアクセスを保護するための重要な機能となっています。ただし、仕様により、一部のユーザーは依然としてこのコントロールを無視しています。メンテナンス上の理由から、ほとんどの SaaS ベンダーは、SSO が有効になっている場合でも、システム所有者が自分のユーザー名とパスワードを使用してログインすることを許可しています。

これらのスーパーユーザーに対して必要な多要素認証が有効になっていることを確認してください。管理者がユーザー名とパスワードに依存しているにもかかわらず、管理者の資格情報が危険にさらされた場合、攻撃者はアカウントにアクセスできるようになります。

2. 共有メールボックスはハッカーに高く評価されています

多くの企業は、財務や顧客などに関する機密情報に共有メールボックスを使用しています。平均的な組織では、従業員 20 人ごとに 1 つの共有メールボックスを持っています。これらのメールボックス関連の問題は、明確な所有者がなく、すべてのユーザーがパスワードを知っているために発生します。この問題は非常に深刻であるため、Microsoft は共有メールボックスアカウントへのログインをブロックすることを推奨しています。

3. 内部情報にアクセスできる外部ユーザーを管理する

現在、多くの企業がコラボレーションツールを使用して情報を交換しています。外部共有はサプライヤーやパートナーに対して組織を開放する優れた方法ですが、データの制御を失うリスクが伴います。外部ユーザーとコラボレーションするためのポリシーを必ず定義し、すべての SaaS アプリケーションに適切な制限を設定してください。

4. 監査を有効にして可視性と制御を最大化する

セキュリティの専門家として、不足している情報を認識しておく必要があります。一部の組織ではデフォルトでチェックされたアクションで十分ですが、他の組織では重大なセキュリティ脆弱性になる可能性があります。何が見えていないのかを必ず理解し、ギャップがある場合は最適化してください。

5. 知らないうちにデータエンティティに匿名でアクセスできないようにする

企業データを完全に制御し続けるのは簡単な作業ではありません。さらに、SaaS アプリケーションを追加すると、さらに困難になります。ダッシュボード、フォーム、ディスカッション、その他のデータエンティティなど、どのリソースが公開されているかを特定し、問題が発見されたらすぐに修正するための措置を講じます。

SaaS の構成を間違えたくない場合に注意すべき 5 つの設定