Le cadre de cybers\u00e9curit\u00e9 du National Institute of Standards and Technology (NIST) des \u00c9tats-Unis est l’une des lignes directrices les plus importantes au monde en mati\u00e8re de s\u00e9curisation des r\u00e9seaux. Il peut \u00eatre appliqu\u00e9 \u00e0 un certain nombre d\u2019applications, y compris SaaS. <\/p>\n
L’un des d\u00e9fis auxquels sont confront\u00e9s les responsables de la s\u00e9curisation des applications SaaS r\u00e9side dans les diff\u00e9rents param\u00e8tres pr\u00e9sents dans chaque application. Il est difficile de d\u00e9velopper une politique de configuration qui s’appliquera \u00e0 une application RH qui g\u00e8re les employ\u00e9s, une application marketing qui g\u00e8re le contenu et une application R&D qui g\u00e8re les versions logicielles, tout en s’alignant sur les normes de conformit\u00e9 du NIST. <\/p>\n
Cependant, plusieurs param\u00e8tres peuvent \u00eatre appliqu\u00e9s \u00e0 presque toutes les applications de la pile SaaS. Dans cet article, nous explorerons quelques configurations universelles, expliquerons pourquoi elles sont importantes et vous guiderons dans leur configuration de mani\u00e8re \u00e0 am\u00e9liorer la s\u00e9curit\u00e9 de vos applications SaaS. <\/p>\n
Commencez par les administrateurs<\/h2>\n
Le contr\u00f4le d’acc\u00e8s bas\u00e9 sur les r\u00f4les (RBAC) est une cl\u00e9 de l’adh\u00e9sion au NIST et doit \u00eatre appliqu\u00e9 \u00e0 chaque application SaaS. Il existe deux types d’autorisations au sein d’une application SaaS. L’acc\u00e8s fonctionnel couvre des \u00e9l\u00e9ments tels que la cr\u00e9ation de comptes et la navigation dans l’application. Les autorisations d’acc\u00e8s aux donn\u00e9es, en revanche, d\u00e9terminent quels utilisateurs peuvent r\u00e9cup\u00e9rer et modifier les donn\u00e9es. Le compte administrateur (ou le compte super-administrateur dans certaines applications) est le plus sensible au sein de l’application, car il dispose d’un acc\u00e8s complet aux deux types d’autorisations. <\/p>\n
Pour les acteurs malveillants, pirater un compte administrateur \u00e9quivaut \u00e0 gagner \u00e0 la loterie. Ils ont acc\u00e8s \u00e0 tout. Les organisations doivent faire tout ce qui est en leur pouvoir pour garder le contr\u00f4le de ces comptes. Ce contr\u00f4le est g\u00e9r\u00e9 via des configurations et des bonnes pratiques.<\/p>\n
Mettre en \u0153uvre une redondance limit\u00e9e<\/strong><\/h3>\nIl est important d’avoir au minimum deux administrateurs pour chaque application. Cette redondance rend difficile pour un administrateur d’agir seul contre les meilleurs int\u00e9r\u00eats de l’organisation, car les administrateurs peuvent se surveiller mutuellement pour d\u00e9celer tout signe de violation. <\/p>\n
Cependant, chaque administrateur augmente la surface d’attaque de l’application. Les organisations doivent trouver un \u00e9quilibre entre disposer d\u2019un nombre suffisant d\u2019administrateurs pour g\u00e9rer correctement l\u2019application tout en limitant l\u2019exposition. Un examen automatis\u00e9 du nombre d’administrateurs devrait d\u00e9clencher des alertes lorsque le nombre d’administrateurs est en dehors de la plage pr\u00e9f\u00e9r\u00e9e. <\/p>\n
\u00c9liminer les administrateurs externes<\/strong><\/h3>\nLes administrateurs externes introduisent une nouvelle couche d\u2019incertitude dans la s\u00e9curit\u00e9 SaaS. Parce qu’elle se trouve en dehors de l’organisation, l’\u00e9quipe de s\u00e9curit\u00e9 ne peut pas contr\u00f4ler les politiques de mot de passe ou les outils d’authentification qu’elle utilise. <\/p>\n
Par exemple, si un acteur malveillant tente de se connecter \u00e0 votre application et clique sur Mot de passe oubli\u00e9, il n’existe aucun moyen de savoir s’il peut pirater le compte de messagerie de l’administrateur externe. Ce manque de surveillance des utilisateurs externes pourrait entra\u00eener une violation profonde de votre application SaaS, c’est pourquoi le NIST d\u00e9conseille d’avoir des administrateurs externes. En fonction de l’application, emp\u00eachez les administrateurs externes d’obtenir des privil\u00e8ges d’administrateur ou identifiez les utilisateurs externes dot\u00e9s de droits d’administrateur et supprimez ces privil\u00e8ges. <\/p>\n
Pour les entreprises qui embauchent une soci\u00e9t\u00e9 informatique externe ou qui sous-traitent \u00e0 des MSSP, ces personnes ne doivent pas \u00eatre consid\u00e9r\u00e9es comme externes. Cependant, ils doivent continuer \u00e0 surveiller les autres utilisateurs externes b\u00e9n\u00e9ficiant d\u2019autorisations d\u2019administrateur. <\/p>\n
Exiger l’authentification MFA d’administration<\/strong><\/h3>\nPour se conformer aux normes NIST, tous les comptes d’utilisateurs administrateurs doivent \u00eatre tenus d’acc\u00e9der \u00e0 l’application \u00e0 l’aide d’une authentification multifacteur (MFA), telle qu’un mot de passe \u00e0 usage unique (OTP). MFA exige que les utilisateurs pr\u00e9sentent au moins deux pi\u00e8ces d\u2019identit\u00e9 avant d\u2019authentifier l\u2019utilisateur. Un acteur malveillant devrait compromettre deux syst\u00e8mes d\u2019authentification, augmentant ainsi le niveau de difficult\u00e9 de la compromission et r\u00e9duisant le risque pour le compte. Assurez-vous de d\u00e9finir MFA pour les administrateurs comme requis (nous recommandons \u00e9galement MFA pour tous les utilisateurs, mais c’est un incontournable pour les administrateurs). <\/p>\n
T\u00e9l\u00e9chargez cette liste de contr\u00f4le et d\u00e9couvrez comment aligner votre s\u00e9curit\u00e9 SaaS avec le NIST<\/em><\/strong><\/a><\/p>\nPr\u00e9venir les fuites de donn\u00e9es<\/h2>\n
Les fuites de donn\u00e9es SaaS pr\u00e9sentent des risques importants pour les organisations et leurs utilisateurs, compromettant potentiellement les informations sensibles stock\u00e9es dans les applications bas\u00e9es sur le cloud. Les applications SaaS sont commercialis\u00e9es comme outils de collaboration. Cependant, les configurations qui permettent aux utilisateurs de travailler ensemble peuvent \u00e9galement compromettre les fichiers et les donn\u00e9es. Le NIST, pour sa part, pr\u00e9conise de surveiller les autorisations de chaque ressource. <\/p>\n
Un calendrier visible peut exposer les employ\u00e9s \u00e0 des attaques de phishing d’ing\u00e9nierie sociale, tandis que les r\u00e9f\u00e9rentiels partag\u00e9s peuvent conduire au partage public du code source interne d’une entreprise. Les e-mails, les fichiers et les tableaux contiennent tous des donn\u00e9es sensibles qui ne devraient pas \u00eatre accessibles au public. Bien que les configurations suivantes soient souvent appel\u00e9es diff\u00e9remment dans chaque application, presque toutes les applications qui stockent du contenu auront ce type de contr\u00f4le. <\/p>\n
Arr\u00eater le partage public<\/strong><\/h3>\nLa diff\u00e9rence entre Partager avec tous et Partager avec un utilisateur est profonde. Lorsque les \u00e9l\u00e9ments sont partag\u00e9s avec tous, toute personne disposant d\u2019un lien peut acc\u00e9der aux documents. En revanche, Partager avec un utilisateur ajoute un m\u00e9canisme d’authentification suppl\u00e9mentaire, car l’utilisateur doit se connecter avant d’acc\u00e9der au mat\u00e9riel. <\/p>\n
Pour r\u00e9duire le contenu expos\u00e9, les administrateurs de l’application doivent d\u00e9sactiver le partage sur les URL publiques (\u00ab Toute personne disposant du lien \u00bb). De plus, certaines applications permettent aux utilisateurs de r\u00e9voquer l’acc\u00e8s \u00e0 des URL d\u00e9j\u00e0 cr\u00e9\u00e9es. Lorsqu\u2019elles sont disponibles, les organisations doivent s\u2019assurer d\u2019activer ce param\u00e8tre. <\/p>\n
D\u00e9finir les invitations \u00e0 expirer<\/strong><\/h3>\nDe nombreuses applications permettent aux utilisateurs autoris\u00e9s d’inviter des utilisateurs externes \u00e0 l’application. Cependant, la plupart des applications n’impl\u00e9mentent pas de date d’expiration des invitations. Dans ces circonstances, les invitations envoy\u00e9es des ann\u00e9es auparavant peuvent donner acc\u00e8s \u00e0 un acteur malveillant qui vient de pirater le compte de messagerie d’un utilisateur externe. L’activation d’une date d’expiration automatique sur les invitations \u00e9limine ce type de risque. <\/p>\n
Il convient de noter que dans certaines applications, les modifications de configuration sont r\u00e9troactives, tandis que d’autres ne prendront effet qu’\u00e0 l’avenir. <\/p>\n
Les administrateurs externes introduisent une nouvelle couche d\u2019incertitude dans la s\u00e9curit\u00e9 SaaS. Parce qu’elle se trouve en dehors de l’organisation, l’\u00e9quipe de s\u00e9curit\u00e9 ne peut pas contr\u00f4ler les politiques de mot de passe ou les outils d’authentification qu’elle utilise. <\/p>\n
Par exemple, si un acteur malveillant tente de se connecter \u00e0 votre application et clique sur Mot de passe oubli\u00e9, il n’existe aucun moyen de savoir s’il peut pirater le compte de messagerie de l’administrateur externe. Ce manque de surveillance des utilisateurs externes pourrait entra\u00eener une violation profonde de votre application SaaS, c’est pourquoi le NIST d\u00e9conseille d’avoir des administrateurs externes. En fonction de l’application, emp\u00eachez les administrateurs externes d’obtenir des privil\u00e8ges d’administrateur ou identifiez les utilisateurs externes dot\u00e9s de droits d’administrateur et supprimez ces privil\u00e8ges. <\/p>\n
Pour les entreprises qui embauchent une soci\u00e9t\u00e9 informatique externe ou qui sous-traitent \u00e0 des MSSP, ces personnes ne doivent pas \u00eatre consid\u00e9r\u00e9es comme externes. Cependant, ils doivent continuer \u00e0 surveiller les autres utilisateurs externes b\u00e9n\u00e9ficiant d\u2019autorisations d\u2019administrateur. <\/p>\n
Exiger l’authentification MFA d’administration<\/strong><\/h3>\nPour se conformer aux normes NIST, tous les comptes d’utilisateurs administrateurs doivent \u00eatre tenus d’acc\u00e9der \u00e0 l’application \u00e0 l’aide d’une authentification multifacteur (MFA), telle qu’un mot de passe \u00e0 usage unique (OTP). MFA exige que les utilisateurs pr\u00e9sentent au moins deux pi\u00e8ces d\u2019identit\u00e9 avant d\u2019authentifier l\u2019utilisateur. Un acteur malveillant devrait compromettre deux syst\u00e8mes d\u2019authentification, augmentant ainsi le niveau de difficult\u00e9 de la compromission et r\u00e9duisant le risque pour le compte. Assurez-vous de d\u00e9finir MFA pour les administrateurs comme requis (nous recommandons \u00e9galement MFA pour tous les utilisateurs, mais c’est un incontournable pour les administrateurs). <\/p>\n
T\u00e9l\u00e9chargez cette liste de contr\u00f4le et d\u00e9couvrez comment aligner votre s\u00e9curit\u00e9 SaaS avec le NIST<\/em><\/strong><\/a><\/p>\nPr\u00e9venir les fuites de donn\u00e9es<\/h2>\n
Les fuites de donn\u00e9es SaaS pr\u00e9sentent des risques importants pour les organisations et leurs utilisateurs, compromettant potentiellement les informations sensibles stock\u00e9es dans les applications bas\u00e9es sur le cloud. Les applications SaaS sont commercialis\u00e9es comme outils de collaboration. Cependant, les configurations qui permettent aux utilisateurs de travailler ensemble peuvent \u00e9galement compromettre les fichiers et les donn\u00e9es. Le NIST, pour sa part, pr\u00e9conise de surveiller les autorisations de chaque ressource. <\/p>\n
Un calendrier visible peut exposer les employ\u00e9s \u00e0 des attaques de phishing d’ing\u00e9nierie sociale, tandis que les r\u00e9f\u00e9rentiels partag\u00e9s peuvent conduire au partage public du code source interne d’une entreprise. Les e-mails, les fichiers et les tableaux contiennent tous des donn\u00e9es sensibles qui ne devraient pas \u00eatre accessibles au public. Bien que les configurations suivantes soient souvent appel\u00e9es diff\u00e9remment dans chaque application, presque toutes les applications qui stockent du contenu auront ce type de contr\u00f4le. <\/p>\n
Arr\u00eater le partage public<\/strong><\/h3>\nLa diff\u00e9rence entre Partager avec tous et Partager avec un utilisateur est profonde. Lorsque les \u00e9l\u00e9ments sont partag\u00e9s avec tous, toute personne disposant d\u2019un lien peut acc\u00e9der aux documents. En revanche, Partager avec un utilisateur ajoute un m\u00e9canisme d’authentification suppl\u00e9mentaire, car l’utilisateur doit se connecter avant d’acc\u00e9der au mat\u00e9riel. <\/p>\n
Pour r\u00e9duire le contenu expos\u00e9, les administrateurs de l’application doivent d\u00e9sactiver le partage sur les URL publiques (\u00ab Toute personne disposant du lien \u00bb). De plus, certaines applications permettent aux utilisateurs de r\u00e9voquer l’acc\u00e8s \u00e0 des URL d\u00e9j\u00e0 cr\u00e9\u00e9es. Lorsqu\u2019elles sont disponibles, les organisations doivent s\u2019assurer d\u2019activer ce param\u00e8tre. <\/p>\n
D\u00e9finir les invitations \u00e0 expirer<\/strong><\/h3>\nDe nombreuses applications permettent aux utilisateurs autoris\u00e9s d’inviter des utilisateurs externes \u00e0 l’application. Cependant, la plupart des applications n’impl\u00e9mentent pas de date d’expiration des invitations. Dans ces circonstances, les invitations envoy\u00e9es des ann\u00e9es auparavant peuvent donner acc\u00e8s \u00e0 un acteur malveillant qui vient de pirater le compte de messagerie d’un utilisateur externe. L’activation d’une date d’expiration automatique sur les invitations \u00e9limine ce type de risque. <\/p>\n
Il convient de noter que dans certaines applications, les modifications de configuration sont r\u00e9troactives, tandis que d’autres ne prendront effet qu’\u00e0 l’avenir. <\/p>\n
Pr\u00e9venir les fuites de donn\u00e9es<\/h2>\n
Les fuites de donn\u00e9es SaaS pr\u00e9sentent des risques importants pour les organisations et leurs utilisateurs, compromettant potentiellement les informations sensibles stock\u00e9es dans les applications bas\u00e9es sur le cloud. Les applications SaaS sont commercialis\u00e9es comme outils de collaboration. Cependant, les configurations qui permettent aux utilisateurs de travailler ensemble peuvent \u00e9galement compromettre les fichiers et les donn\u00e9es. Le NIST, pour sa part, pr\u00e9conise de surveiller les autorisations de chaque ressource. <\/p>\n
Un calendrier visible peut exposer les employ\u00e9s \u00e0 des attaques de phishing d’ing\u00e9nierie sociale, tandis que les r\u00e9f\u00e9rentiels partag\u00e9s peuvent conduire au partage public du code source interne d’une entreprise. Les e-mails, les fichiers et les tableaux contiennent tous des donn\u00e9es sensibles qui ne devraient pas \u00eatre accessibles au public. Bien que les configurations suivantes soient souvent appel\u00e9es diff\u00e9remment dans chaque application, presque toutes les applications qui stockent du contenu auront ce type de contr\u00f4le. <\/p>\n
Arr\u00eater le partage public<\/strong><\/h3>\nLa diff\u00e9rence entre Partager avec tous et Partager avec un utilisateur est profonde. Lorsque les \u00e9l\u00e9ments sont partag\u00e9s avec tous, toute personne disposant d\u2019un lien peut acc\u00e9der aux documents. En revanche, Partager avec un utilisateur ajoute un m\u00e9canisme d’authentification suppl\u00e9mentaire, car l’utilisateur doit se connecter avant d’acc\u00e9der au mat\u00e9riel. <\/p>\n
Pour r\u00e9duire le contenu expos\u00e9, les administrateurs de l’application doivent d\u00e9sactiver le partage sur les URL publiques (\u00ab Toute personne disposant du lien \u00bb). De plus, certaines applications permettent aux utilisateurs de r\u00e9voquer l’acc\u00e8s \u00e0 des URL d\u00e9j\u00e0 cr\u00e9\u00e9es. Lorsqu\u2019elles sont disponibles, les organisations doivent s\u2019assurer d\u2019activer ce param\u00e8tre. <\/p>\n
D\u00e9finir les invitations \u00e0 expirer<\/strong><\/h3>\nDe nombreuses applications permettent aux utilisateurs autoris\u00e9s d’inviter des utilisateurs externes \u00e0 l’application. Cependant, la plupart des applications n’impl\u00e9mentent pas de date d’expiration des invitations. Dans ces circonstances, les invitations envoy\u00e9es des ann\u00e9es auparavant peuvent donner acc\u00e8s \u00e0 un acteur malveillant qui vient de pirater le compte de messagerie d’un utilisateur externe. L’activation d’une date d’expiration automatique sur les invitations \u00e9limine ce type de risque. <\/p>\n
Il convient de noter que dans certaines applications, les modifications de configuration sont r\u00e9troactives, tandis que d’autres ne prendront effet qu’\u00e0 l’avenir. <\/p>\n
De nombreuses applications permettent aux utilisateurs autoris\u00e9s d’inviter des utilisateurs externes \u00e0 l’application. Cependant, la plupart des applications n’impl\u00e9mentent pas de date d’expiration des invitations. Dans ces circonstances, les invitations envoy\u00e9es des ann\u00e9es auparavant peuvent donner acc\u00e8s \u00e0 un acteur malveillant qui vient de pirater le compte de messagerie d’un utilisateur externe. L’activation d’une date d’expiration automatique sur les invitations \u00e9limine ce type de risque. <\/p>\n
Il convient de noter que dans certaines applications, les modifications de configuration sont r\u00e9troactives, tandis que d’autres ne prendront effet qu’\u00e0 l’avenir. <\/p>\n
![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Conformite-SaaS-via-le-cadre-de-cybersecurite-du-NIST.jpg\")