En janvier dernier, une soci\u00e9t\u00e9 SaaS Security Posture Management (SSPM) nomm\u00e9e Wing Security (Wing) a fait des vagues avec le lancement de sa solution gratuite de d\u00e9couverte informatique SaaS-Shadow. Les entreprises bas\u00e9es sur le cloud ont \u00e9t\u00e9 invit\u00e9es \u00e0 mieux comprendre l’utilisation du SaaS par leurs employ\u00e9s gr\u00e2ce \u00e0 un produit en libre-service enti\u00e8rement gratuit qui fonctionne sur un mod\u00e8le “freemium”. Si un utilisateur est impressionn\u00e9 par la solution et souhaite obtenir plus d’informations ou prendre des mesures correctives, il peut acheter la solution d’entreprise.<\/p>\n
“Dans la r\u00e9alit\u00e9 \u00e9conomique d’aujourd’hui, les budgets de s\u00e9curit\u00e9 n’ont pas n\u00e9cessairement \u00e9t\u00e9 r\u00e9duits, mais les acheteurs sont beaucoup plus prudents dans leurs d\u00e9cisions d’achat et \u00e0 juste titre. Nous pensons que vous ne pouvez pas s\u00e9curiser ce que vous ne savez pas, donc savoir devrait \u00eatre un produit de base. Une fois vous comprenez l’ampleur de votre couche d’attaque SaaS, vous pouvez prendre une d\u00e9cision \u00e9clair\u00e9e quant \u00e0 la fa\u00e7on dont vous allez le r\u00e9soudre. La d\u00e9couverte est la premi\u00e8re \u00e9tape naturelle et fondamentale et elle devrait \u00eatre accessible \u00e0 tous. a d\u00e9clar\u00e9 Galit Lubetzky Sharon, cofondatrice et directrice technique de Wing<\/p>\n
La soci\u00e9t\u00e9 a indiqu\u00e9 que dans les premi\u00e8res semaines de lancement, plus de 200 entreprises se sont inscrites \u00e0 leur outil de d\u00e9couverte gratuit en libre-service<\/a>, s’ajoutant \u00e0 la client\u00e8le existante de l’entreprise. Ils ont r\u00e9cemment publi\u00e9 un bref rapport sur les conclusions<\/a> de centaines d’entreprises qui ont d\u00e9voil\u00e9 l’utilisation du SaaS, et les chiffres sont troublants.<\/p>\n Dans 71,4 % des entreprises, les employ\u00e9s utilisent en moyenne 2,4 applications SaaS qui ont \u00e9t\u00e9 viol\u00e9es au cours des trois derniers mois. En moyenne, 58 % des applications SaaS sont utilis\u00e9es par un seul employ\u00e9. Un quart des utilisateurs SaaS des organisations sont externes. Ces chiffres, ainsi que d’autres donn\u00e9es int\u00e9ressantes, se trouvent dans le rapport de l’entreprise, ainsi que des explications sur les raisons pour lesquelles ils pensent que c’est le cas et les risques qui doivent \u00eatre pris en consid\u00e9ration.<\/p>\n L’utilisation du SaaS est souvent d\u00e9centralis\u00e9e et difficile \u00e0 gouverner, et ses avantages peuvent \u00e9galement poser des risques de s\u00e9curit\u00e9 lorsqu’ils ne sont pas gouvern\u00e9s. Alors que les syst\u00e8mes IAM\/IM aident les organisations \u00e0 reprendre le contr\u00f4le d’une partie de l’utilisation SaaS de leurs employ\u00e9s, ce contr\u00f4le est limit\u00e9 aux applications SaaS sanctionn\u00e9es dont l’IT\/Security a connaissance. Le d\u00e9fi est que les applications SaaS sont souvent int\u00e9gr\u00e9es par les employ\u00e9s sans impliquer les \u00e9quipes informatiques ou de s\u00e9curit\u00e9. En d’autres termes, c’est le SaaS Shadow IT. Cela est particuli\u00e8rement vrai pour de nombreuses applications SaaS qui ne n\u00e9cessitent pas de carte de cr\u00e9dit ou proposent une version gratuite.<\/p>\n Le sc\u00e9nario courant est celui d’un salari\u00e9, souvent distant, \u00e0 la recherche d’une solution rapide \u00e0 un probl\u00e8me m\u00e9tier. La solution est souvent une application que l’employ\u00e9 a trouv\u00e9e en ligne, \u00e0 laquelle il a accord\u00e9 des autorisations (il peut s’agir d’autorisations de lecture et d’\u00e9criture, ou m\u00eame d’ex\u00e9cution), puis qu’il a compl\u00e8tement oubli\u00e9e. Cela peut entra\u00eener plusieurs risques de s\u00e9curit\u00e9.<\/p>\n Les exemples incluent les applications \u00e0 risque avec un score de s\u00e9curit\u00e9 faible, indiquant une probabilit\u00e9 plus \u00e9lev\u00e9e que ces applications soient vuln\u00e9rables. Et les applications qui ont r\u00e9cemment \u00e9t\u00e9 compromises mais qui ont des autorisations dans les donn\u00e9es de l’organisation, compromettant imm\u00e9diatement ces donn\u00e9es. Dans sa solution gratuite, Wing associe un score de s\u00e9curit\u00e9 \u00e0 chaque application trouv\u00e9e et alerte les utilisateurs sur les applications \u00e0 risque dans leur pile SaaS. <\/p>\n D’autres exemples de risques inh\u00e9rents aux applications SaaS incluent les applications SaaS tierces, celles qui “se superposent” au SaaS connu et approuv\u00e9. Ou des applications qui ont re\u00e7u des autorisations \u00e9lev\u00e9es qui sont rarement accord\u00e9es\u00a0: selon Wing, 73,3\u00a0% de toutes les autorisations accord\u00e9es aux applications par les utilisateurs n’ont pas \u00e9t\u00e9 utilis\u00e9es pendant plus de 30\u00a0jours. Cela soul\u00e8ve la question suivante\u00a0: pourquoi laisser des portes ouvertes sur les donn\u00e9es de votre organisation alors que vous n’utilisez m\u00eame pas l’application qui les demande\u00a0?<\/p>\n On ne peut pas ignorer le facteur humain. Apr\u00e8s tout, le SaaS est souvent int\u00e9gr\u00e9 directement par l’employ\u00e9 qui l’utilise. Ce sont eux qui accordent les autorisations, pas toujours conscients de la signification de ces autorisations. L\u00e0 aussi la solution gratuite de Wing propose une petite aide : Pour les 100 premi\u00e8res applications trouv\u00e9es, Wing fournit une liste des utilisateurs qui les utilisent. Pour des informations compl\u00e8tes sur qui sont les utilisateurs, les utilisateurs externes et le comportement incoh\u00e9rent des utilisateurs dans les applications, Wing propose son \u00e9dition entreprise. <\/p>\n Les risques associ\u00e9s \u00e0 la s\u00e9curit\u00e9 des donn\u00e9es sont vastes et concernent toute une cat\u00e9gorie de produits, tels que les DLP et les DSPM. Cependant, en ce qui concerne les applications SaaS utilis\u00e9es par les employ\u00e9s, les probl\u00e8mes li\u00e9s aux donn\u00e9es peuvent aller des fichiers sensibles partag\u00e9s sur des applications qui ne sont pas destin\u00e9es au partage de fichiers, des secrets partag\u00e9s sur des canaux publics (Slack est un exemple courant) et m\u00eame la quantit\u00e9 massive de fichiers que les employ\u00e9s partagent en externe puis oublient, laissant cette connexion externe grande ouverte. Maintenir un environnement SaaS propre consiste non seulement \u00e0 maintenir les applications et les utilisateurs, mais \u00e9galement \u00e0 g\u00e9rer les informations qui r\u00e9sident dans et entre ces applications.<\/p>\n En conclusion, la d\u00e9couverte informatique SaaS-Shadow est devenue un domaine de pr\u00e9occupation critique pour les \u00e9quipes informatiques et de s\u00e9curit\u00e9, car l’utilisation des applications SaaS continue de cro\u00eetre rapidement. Bien que les applications SaaS offrent de nombreux avantages aux entreprises, elles pr\u00e9sentent \u00e9galement des risques de s\u00e9curit\u00e9 importants lorsqu’elles ne sont pas g\u00e9r\u00e9es. Ces risques incluent l’utilisation d’applications pirat\u00e9es, l’octroi d’autorisations excessives, les incoh\u00e9rences des utilisateurs et les probl\u00e8mes de s\u00e9curit\u00e9 des donn\u00e9es. <\/p>\n Il est crucial pour les organisations d’avoir une visibilit\u00e9 sur l’utilisation du SaaS par leurs employ\u00e9s afin de prendre des d\u00e9cisions \u00e9clair\u00e9es et de prendre des mesures correctives pour att\u00e9nuer ces risques. En 2023, on s’attend \u00e0 ce que la d\u00e9couverte informatique SaaS-Shadow de base n’ait plus un co\u00fbt, car elle devrait \u00eatre un produit fondamental pour les organisations visant \u00e0 s\u00e9curiser leur environnement SaaS.<\/p>\n <\/p>\nLes risques tangibles de l’utilisation croissante du SaaS <\/strong><\/h2>\n
Les risques li\u00e9s au SaaS peuvent \u00eatre class\u00e9s en trois types diff\u00e9rents\u00a0:<\/strong><\/h2>\n
Applications li\u00e9es<\/strong><\/h4>\n
Li\u00e9s aux utilisateurs<\/strong><\/h4>\n
Li\u00e9es aux donn\u00e9es<\/strong><\/h4>\n
![\"D\u00e9couverte](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/03\/Les-equipes-de-securite-et-informatiques-nont-plus-besoin-de.gif\" "\\"D\u00e9couverte")
<\/div>\n