Imaginez ceci : un verrouillage \u00e0 l’\u00e9chelle de l’entreprise du CRM de l’entreprise, comme Salesforce, parce que l’administrateur externe de l’organisation tente de d\u00e9sactiver la MFA pour lui-m\u00eame. Ils ne pensent pas \u00e0 consulter l’\u00e9quipe de s\u00e9curit\u00e9 et ne consid\u00e8rent pas les implications de s\u00e9curit\u00e9, seulement la facilit\u00e9 dont ils ont besoin pour que leur \u00e9quipe utilise leur connexion. <\/p>\n
Ce CRM, cependant, d\u00e9finit MFA comme un param\u00e8tre de s\u00e9curit\u00e9 de niveau sup\u00e9rieur ; par exemple, Salesforce a une configuration “Valeur de connexion d’assurance \u00e9lev\u00e9e” et verrouille imm\u00e9diatement tous les utilisateurs par mesure de s\u00e9curit\u00e9. Toute l’organisation est au point mort et est frustr\u00e9e et confuse. <\/p>\n
Profond\u00e9ment pr\u00e9occupant, il ne s’agit pas d’un \u00e9v\u00e9nement ponctuel, les administrateurs des applications SaaS critiques pour l’entreprise sont souvent assis en dehors du service de s\u00e9curit\u00e9 et ont un contr\u00f4le approfondi. Non form\u00e9s et non ax\u00e9s sur les mesures de s\u00e9curit\u00e9, ces administrateurs travaillent sur les KPI de leur service. Par exemple, Hubspot appartient g\u00e9n\u00e9ralement au service marketing, de m\u00eame que Salesforce appartient souvent au service commercial, etc. Les services commerciaux sont propri\u00e9taires de ces applications car c’est ce qui leur permet de faire leur travail efficacement. Cependant, le paradoxe r\u00e9side dans le fait qu’il incombe \u00e0 l’\u00e9quipe de s\u00e9curit\u00e9 de s\u00e9curiser la pile d’applications SaaS de l’organisation et qu’elle ne peut pas ex\u00e9cuter efficacement cette t\u00e2che sans un contr\u00f4le total de l’application SaaS.<\/p>\n
La Rapport d’enqu\u00eate sur la s\u00e9curit\u00e9 SaaS 2022<\/a>, g\u00e9r\u00e9 par CSA et Adaptive Shield, plonge dans la r\u00e9alit\u00e9 de ce paradoxe, en pr\u00e9sentant les donn\u00e9es des RSSI et des professionnels de la s\u00e9curit\u00e9 d’aujourd’hui. Cet article explorera les points de donn\u00e9es importants des r\u00e9pondants et discutera de ce que pourrait \u00eatre la solution pour les \u00e9quipes de s\u00e9curit\u00e9.<\/p>\n D\u00e9couvrez comment vos \u00e9quipes de s\u00e9curit\u00e9 peuvent reprendre le contr\u00f4le de toutes les applications SaaS<\/em><\/a>. <\/em><\/p>\n Dans une organisation typique, un large \u00e9ventail d’applications SaaS sont utilis\u00e9es (voir figure 1), des plates-formes de donn\u00e9es cloud, des applications de partage de fichiers et de collaboration au CRM, \u00e0 la gestion de projet et de travail, \u00e0 l’automatisation du marketing et bien plus encore. Le besoin de chaque application SaaS remplit un certain r\u00f4le de niche requis par l’organisation. Sans l’utilisation de toutes ces applications SaaS, une entreprise pourrait se retrouver en retard ou prendre plus de temps pour atteindre ses KPI. <\/p>\n Lorsqu’on leur a demand\u00e9 la raison principale des incidents de s\u00e9curit\u00e9 li\u00e9s \u00e0 une mauvaise configuration (figure 3), les personnes interrog\u00e9es dans le rapport d’enqu\u00eate ont cit\u00e9 les quatre principales suivantes\u00a0: (1) Trop de services ont acc\u00e8s aux param\u00e8tres de s\u00e9curit\u00e9\u00a0; (2) Manque de visibilit\u00e9 sur les param\u00e8tres de s\u00e9curit\u00e9 lorsqu’ils sont modifi\u00e9s (3) Manque de connaissances en mati\u00e8re de s\u00e9curit\u00e9 SaaS\u00a0; (4) Autorisations d’utilisateur d\u00e9tourn\u00e9es. Toutes ces raisons, qu’elles soient explicites ou implicites, peuvent \u00eatre attribu\u00e9es au paradoxe de la propri\u00e9t\u00e9 de l’application SaaS. <\/p>\n La principale cause d’incidents de s\u00e9curit\u00e9 caus\u00e9s par des erreurs de configuration est que trop de services ont acc\u00e8s aux param\u00e8tres de s\u00e9curit\u00e9. Cela va de pair avec la cause suivante : le manque de visibilit\u00e9 lorsque les modifications de s\u00e9curit\u00e9 sont modifi\u00e9es. Un service commercial peut apporter des modifications \u00e0 un param\u00e8tre d’application pour optimiser sa facilit\u00e9 d’utilisation sans consulter ni notifier le service de s\u00e9curit\u00e9.<\/p>\n De plus, des autorisations d’utilisateurs d\u00e9tourn\u00e9es peuvent facilement provenir d’un propri\u00e9taire de service commercial \u00e0 la barre qui ne pr\u00eate pas une attention particuli\u00e8re \u00e0 la s\u00e9curit\u00e9 de l’application. Souvent, les utilisateurs se voient accorder des autorisations privil\u00e9gi\u00e9es dont ils n’ont m\u00eame pas besoin.<\/p>\n Avec ce mod\u00e8le de responsabilit\u00e9 partag\u00e9e, le seul moyen efficace de combler ce foss\u00e9 de communication consiste \u00e0 utiliser une plate-forme SaaS de gestion de la posture de s\u00e9curit\u00e9 (SSPM). Reconnue comme une solution MUST HAVE pour \u00e9valuer en permanence les risques de s\u00e9curit\u00e9 et g\u00e9rer la posture de s\u00e9curit\u00e9 des applications SaaS dans les “4 technologies incontournables qui ont fait le cycle de Hype Gartner pour la s\u00e9curit\u00e9 du cloud, 2021”, une telle solution peut alerter l’\u00e9quipe de s\u00e9curit\u00e9 sur tout changement de configuration de l’application effectu\u00e9 par le propri\u00e9taire de l’application, et fournissez des instructions claires sur la fa\u00e7on de le corriger via un syst\u00e8me de gestion des tickets ou de la collaboration.<\/p>\n Avec une solution SSPM, d\u00e9tenue et g\u00e9r\u00e9e par l’\u00e9quipe de s\u00e9curit\u00e9 de l’organisation, l’\u00e9quipe de s\u00e9curit\u00e9 peut obtenir une visibilit\u00e9 compl\u00e8te de toutes les applications SaaS de l’entreprise et de leurs param\u00e8tres de s\u00e9curit\u00e9, y compris les r\u00f4les et les autorisations des utilisateurs. O<\/p>\n Les organisations peuvent aller plus loin et faire en sorte que les propri\u00e9taires d’applications rejoignent la plate-forme SSPM afin qu’ils puissent contr\u00f4ler et superviser activement toutes les configurations dans leurs propres applications. En utilisant une capacit\u00e9 d’administration \u00e9tendue (figure 4), l’\u00e9quipe de s\u00e9curit\u00e9 peut accorder aux propri\u00e9taires d’applications l’acc\u00e8s aux applications qu’ils poss\u00e8dent et peut r\u00e9soudre les probl\u00e8mes de s\u00e9curit\u00e9, avec<\/em> leur surveillance et leur direction.<\/p>\n Il n’y a aucun moyen d’\u00e9liminer l’acc\u00e8s des services commerciaux aux param\u00e8tres de s\u00e9curit\u00e9 des applications SaaS, et bien que les utilisateurs de l’ensemble de l’organisation doivent \u00eatre form\u00e9s \u00e0 la s\u00e9curit\u00e9 SaaS de base afin de r\u00e9duire le risque pouvant survenir des services commerciaux, cela ne se produit pas toujours ou c’est juste pas assez. Les organisations doivent mettre en \u0153uvre une solution qui aide \u00e0 \u00e9viter ces situations en permettant la visibilit\u00e9 et le contr\u00f4le pour l’\u00e9quipe de s\u00e9curit\u00e9, en alertant sur les d\u00e9rives de configuration, les journaux d’audit qui fournissent un aper\u00e7u des actions dans les applications SaaS et les administrateurs cibl\u00e9s.<\/p>\nLes applications SaaS entre les mains des d\u00e9partements commerciaux<\/h2>\n
\n\n
\n ![\"Paradoxe](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/1659634535_555_Qui-a-le-controle-le-paradoxe-de-ladministration-des-applications.jpg\" "\\"Paradoxe")
<\/td>\n<\/tr>\n\n Figure 2. D\u00e9partements g\u00e9rant les applications SaaS, rapport d’enqu\u00eate sur la s\u00e9curit\u00e9 SaaS 2022<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n D\u00e9baller le paradoxe de la propri\u00e9t\u00e9 des applications SaaS <\/h4>\n
Comment les \u00e9quipes de s\u00e9curit\u00e9 peuvent reprendre le contr\u00f4le<\/h2>\n