İşbirliği, SaaS uygulamalarının özünde yer alır. Sözcük veya bir biçimi, Google Workspace ana sayfasının en üstteki iki başlığında görünür. Microsoft 365’in ana sayfasında altı kez, Box’ta üç kez ve Workday’de bir kez bulunabilir. Neredeyse tüm SaaS sitelerini ziyaret ettiğinizde, uygulamanın en önemli satış noktasının bir parçası olarak “işbirliği” olasılığı görünecektir.
Bulutta oturarak, uygulamalardaki içerik anında paylaşılabilir, bu da başkalarıyla çalışmayı her zamankinden daha kolay hale getirir.
Ancak, bu paylaşılabilirlik iki taraflı bir madeni paradır. Kapak tarafında, genellikle kolayca erişilebilen, halka açık web sitelerinde oturan hassas bağlantılar bulunur. Sızan belgelerin neden olduğu ifşa, şirket sırlarını toplamaya çalışan rakiplerden, dahili bilgileri muhabirler veya yasa koyucularla paylaşan muhbirlere kadar çok büyük zararlara neden olabilir. İşbirliği SaaS’ın ayrılmaz bir parçası olduğu için, bağlantıların paylaşılması yüksek riskli bir durum ve doğru süreçlerle hafifletilebilecek gerçek hayattaki ihlaller yaratır.
SaaS yığınınızın tamamında görünürlük kazanmanıza nasıl yardımcı olabileceğinizi öğrenin.
Dosyaları ve Belgeleri Paylaşma
M365, Salesforce, Google Workspace ve Box tarafından kullanılan terminoloji biraz farklı olsa da, bir SaaS uygulamasından dosyaları ve belgeleri paylaşmanın temelde iki yolu vardır. Dosya sahibi, kaynağı belirli kullanıcıların kullanımına sunabilir veya “bağlantısı olan herkesin” kullanımına sunabilir.
Dosyayı belirli kullanıcılarla paylaşmak külfetli ve zaman alıcı olabilir. Dosya farklı paydaşlara aktarıldıkça, dosya sahibinin ihtiyaç duyduğu her kullanıcıyı eklemesi gerekir. Dışarıdan bir satıcıyla çalışırken, dosyayla kimin çalışacağını anlamak için satıcıyla koordinasyon gerekir. Her kullanıcının e-posta adresinin ayrı ayrı eklenmesi gerekir ve biri eksikse, dosya sahibinin paylaşım ayarlarına geri dönüp eklemesi gerekir.
Bir dosyayı bağlantıya sahip olan herkesle paylaşmak çok daha az külfetlidir. Belge sahibi bağlantıyı kopyalayabilir, satıcıya gönderebilir ve artık belge yönetimini düşünmek zorunda kalmaz. Ek olarak, insanlar genellikle iş tarafından izlenen bir e-posta hesabı yerine özel bir hesaptan (örneğin, gmail e-postaları) erişim talep eder. Bunun nedeni bazen harici satıcıların yalnızca özel bir etki alanına sahip olmaları olabilir veya kendi özel hesaplarında oturum açmış olmaları ve bu nedenle yanlışlıkla ona erişim talep etmeleri olabilir.
Bununla birlikte, bağlantıyı özgürce paylaşmak ne kadar cazip olsa da, bunu yapmak belgenin sızdırılmasını sağlar. Bağlantı paylaşıldıktan sonra dosyaya ne olacağı kontrol edilemez ve kullanıcılar dosyaya herhangi bir hesaptan erişebilir. Dosyanın sızdırılma riskinin derecesi katlanarak artar.
Google Drive, Microsoft Sharepoint ve NYC Schoolchildren
New York Şehri okul yetkilileri, bağlantı paylaşmanın tehlikelerini zor yoldan öğrendi. 2021’de okul yetkilileri onaylanmış NYC devlet okulu sistemindeki 3.000’den fazla öğrencinin ve 100 personelin hassas bilgilerini içeren bir veri sızıntısı. Bir öğrenci bir Google Drive’a erişim kazandığında veriler açığa çıktı.
Bu hikaye bir Microsoft Sharepoint’in hemen ardından geldi çiğneme, bu sırada ödev yapan bir öğrenci, COVID-19 sırasında okulların ne zaman yeniden açılacağını tartışan bir taslak belgeye rastladı. Mektup, test politikalarının, karantina politikalarının ayrıntılarını ve okul sisteminin yayınlamaya hazır olmadığı diğer bilgileri içeriyordu. Bu veriler, güvenli olmayan belge paylaşım ayarları nedeniyle açığa çıktı.
Silahlı Kuvvetlerde Google Formları
Paylaşılan bağlantılara dikkat etmesi gerekenler sadece okul yetkilileri değil. 2021’de bir silahlı kuvvetler birimi, askerlerden COVID-19 aşılarıyla ilgili bir Google formu doldurmalarını istedi. Her asker adını ve kimlik numarasını girerek koronavirüs ile ilgili soruları yanıtladı.
Ancak, Google Formunun yazarı, yanıtlayanların sonuçları incelemesine izin verdi. Bağlantıya sahip olan herkesin askerlerin adlarına ve kimlik numaralarına erişimi vardı. Veriler kronolojik olarak listelendi ve belirli askerleri birimlerine göre gruplandırmayı kolaylaştırdı. Bu verilere, tarayıcısı ve bağlantısı olan herkes erişebilirdi.
Uyarı alındıktan sonra askeri birlik formu kaldırdı, ancak verilerin ne kadar uzağa sızdığını bilmek imkansız.
Dünyaya Açığa Çıkan Kutu Dosyaları
Buna göre TechCrunch2019’da güvenlik araştırmacıları, düzinelerce şirketin Box’a kaydedilen hassas kurumsal ve müşteri verilerini sızdırdığını tespit etti. Box hesaplarını taramak için bir komut dosyası kullanan araştırmacılar, Box da dahil olmak üzere 90’dan fazla şirket buldu ve verileri bağlantıya sahip olan herkes tarafından görülebiliyordu.
Amadeus, Apple, Edelman ve Herbalife’ın da dahil olduğu şirketler, müşteri adlarını ve iletişim bilgilerini, proje tekliflerini, bağışçı adlarını, hasta bilgilerini ve daha fazlasını ifşa etti. Şirketler platformda bulunan erişim kontrollerini kullansaydı, bu bilgiler kolayca korunabilirdi.
Veri Sızıntısını ve Veri Kaybını Önlemeye Yönelik En İyi Uygulamalar
SaaS uygulamalarında yer alan veriler bulutta yaşar, ancak bağlantısı olan herhangi birinin eline geçmesine gerek yoktur. Güvenlik bilincine sahip kuruluşlar, verilerinin güvende kalmasını sağlamak için bu yönergeleri izlemelidir.
Dosyaları belirli kullanıcılarla paylaşın – Kullanıcıların verilere erişmeden önce oturum açmalarını zorunlu kılmak, verilerin yanlış ellere geçme olasılığını büyük ölçüde azaltır
Paylaşılan bağlantılara son kullanma tarihleri ekleyin – Çoğu belge ve dosya paylaşılır ve sonunda unutulur, bu da şirketleri açığa çıktıklarını bile bilmedikleri bir konuma getirir. Bağlantıya bir son kullanma tarihi ekleyerek, bu gözetim şirkete zarar verecek şekilde geri gelmeyecektir.
Tüm bağlantıları parolayla koruyun – Tüm dışa dönük dosyalarda parola koruması gerektirerek ek bir veri güvenliği katmanı ekleyin
Bir Kaynak Envanteri Oluşturun – Tüm kurumsal kaynakları, her bir dosyanın paylaşım ayarlarını içeren tek bir yerde listeleyerek, güvenlik ekiplerine riski ve maruz kalmayı değerlendirmelerini sağlayan tek bir görünüm sağlar.
Korumasız her bağlantı, verileri ifşa etme potansiyeline sahiptir. Bağlantı paylaşan olarak, alıcının cihazının hijyenini, bağlantıyı başkalarıyla paylaşıp paylaşmayacaklarını, hatta başkalarının e-posta hesaplarına erişmelerini sağlayıp sağlamadıklarını bilmek imkansızdır. Bağlantıların güvenliğini sağlamak, bu riski sınırlamak için mevcut olan ana koruma yollarından biridir.
Aşırı paylaşılan bağlantılara karşı korunmaya yönelik başka bir yaklaşım, bir SSPM çözümü kullanılarak otomatikleştirilmiş yöntemdir. Adaptive Shield gibi bir SSPM, hangi kaynakların genel olarak paylaşıldığını ve risk altında olduğunu belirleyerek kuruluşların veri kaybına karşı korunmasına yardımcı olur. Ayrıca, son kullanma tarihi olmadan paylaşılan veya konukların öğeyi paylaşmasına izin verecek şekilde ayarlanmış kaynakları da tanımlayabilir. Güvenlik ekibi saldırı yüzeyinin farkına vardığında, gerektiğinde bağlantıyı düzeltebilir ve güvenliğini sağlayabilir.
Kuruluşunuzu veri kaybından nasıl koruyabileceğinize dair 15 dakikalık bir demo edinin.
