Une \u00e9tude r\u00e9cente de Wing Security, une soci\u00e9t\u00e9 de s\u00e9curit\u00e9 SaaS qui a analys\u00e9 les donn\u00e9es de plus de 500 entreprises, r\u00e9v\u00e9l\u00e9 des informations inqui\u00e9tantes<\/a>. Selon cette \u00e9tude, 84 % des entreprises avaient des employ\u00e9s utilisant en moyenne 3,5 applications SaaS qui ont \u00e9t\u00e9 viol\u00e9es au cours des 3 mois pr\u00e9c\u00e9dents. Bien que cela soit pr\u00e9occupant, ce n’est pas vraiment une surprise. La croissance exponentielle de l’utilisation du SaaS oblige les \u00e9quipes de s\u00e9curit\u00e9 et informatiques \u00e0 lutter pour savoir quelles applications SaaS sont utilis\u00e9es et comment. Cela ne veut pas dire que le SaaS doit \u00eatre \u00e9vit\u00e9 ou bloqu\u00e9\u00a0; au contraire, les applications SaaS doivent \u00eatre utilis\u00e9es pour assurer la croissance de l’entreprise. Mais leur utilisation doit \u00eatre faite avec un certain niveau de prudence.<\/p>\n Le facteur de risque le plus intuitif pour d\u00e9terminer si une application est risqu\u00e9e est de la rechercher et de voir si elle a \u00e9t\u00e9 pirat\u00e9e. Les applications SaaS sont clairement une cible car nous voyons de plus en plus d’attaques li\u00e9es au SaaS. Une violation est une indication claire de rester \u00e0 l’\u00e9cart, au moins jusqu’\u00e0 ce que le fournisseur SaaS rem\u00e9die compl\u00e8tement et r\u00e9cup\u00e8re (ce qui peut prendre un certain temps\u2026). Mais il existe d’autres crit\u00e8res \u00e0 prendre en compte pour d\u00e9terminer si une application SaaS peut \u00eatre utilis\u00e9e en toute s\u00e9curit\u00e9. En voici deux autres \u00e0 consid\u00e9rer\u00a0:<\/p>\n Bien qu’il soit important de comprendre quelles applications sont potentiellement \u00e0 risque, ce n’est pas une t\u00e2che facile. Et ce n’est pas non plus la premi\u00e8re \u00e9tape. Selon Wing Security, les entreprises qu’ils ont examin\u00e9es avaient toutes un nombre \u00e9lev\u00e9 d’applications SaaS en cours d’utilisation. Ainsi, la premi\u00e8re question fondamentale que les \u00e9quipes de s\u00e9curit\u00e9 devraient se poser est\u00a0:<\/p>\n De toute \u00e9vidence, il est impossible de d\u00e9terminer si le SaaS est utilis\u00e9 en toute s\u00e9curit\u00e9 sans d\u00e9couvrir au pr\u00e9alable combien d’applications SaaS sont utilis\u00e9es et lesquelles. C’est basique, mais pas simple. Le SaaS est utilis\u00e9 par tous les employ\u00e9s, et bien que l’application de l’authentification unique et l’utilisation des syst\u00e8mes IAM soient importantes et utiles, la nature d\u00e9centralis\u00e9e, accessible et souvent en libre-service des applications SaaS signifie que les employ\u00e9s peuvent commencer \u00e0 utiliser presque tous les SaaS dont ils ont besoin en recherchant simplement pour cela en ligne et en le connectant \u00e0 l’espace de travail de leur entreprise, en \u00e9vitant facilement l’IAM. Cela est particuli\u00e8rement vrai lorsque l’on consid\u00e8re les nombreuses applications SaaS qui fournissent un outil gratuit ou une version gratuite de celui-ci.<\/p>\n Cela \u00e0 l’esprit, La d\u00e9couverte d’applications SaaS est \u00e9galement fournie en tant qu’outil libre-service gratuit<\/b><\/a> donc r\u00e9pondre \u00e0 la question mentionn\u00e9e ci-dessus devrait \u00eatre assez facile. Une fois qu’une cartographie claire de l’utilisation du SaaS est en place, l’\u00e9tape suivante consiste \u00e0 d\u00e9terminer les applications SaaS \u00e0 risque. Une fois les applications \u00e0 risque class\u00e9es comme telles, il est important de r\u00e9voquer les jetons qu’elles ont re\u00e7us des utilisateurs qui les ont connect\u00e9es \u00e0 l’organisation. Cela peut \u00eatre un processus long et fastidieux sans un outil appropri\u00e9 en place (Wing propose la suppression d’applications risqu\u00e9es comme une autre capacit\u00e9 dans sa version gratuite, mais avec certaines limitations qui sont lev\u00e9es dans son offre premium). <\/p>\n Pour s’assurer que l’utilisation du SaaS est s\u00fbre, il faut poser et r\u00e9pondre \u00e0 deux autres questions\u00a0:<\/p>\n Il va probablement sans dire que toutes les applications n’introduisent pas de risques en permanence. Il convient \u00e9galement d’ajouter que m\u00eame si une application SaaS est viol\u00e9e, le risque qu’elle peut imposer d\u00e9pend fortement des autorisations qui lui ont \u00e9t\u00e9 accord\u00e9es. Presque toutes les applications SaaS n\u00e9cessitent un certain degr\u00e9 d’autorisation pour acc\u00e9der aux donn\u00e9es de l’entreprise afin de fournir le service pour lequel elles ont \u00e9t\u00e9 con\u00e7ues. Les autorisations vont des autorisations en lecture seule aux autorisations en \u00e9criture qui permettent \u00e0 l’application SaaS d’agir au nom de l’utilisateur, comme l’envoi d’e-mails au nom de l’utilisateur. Une bonne gestion de la posture de s\u00e9curit\u00e9 SaaS signifie surveiller les autorisations accord\u00e9es par les utilisateurs \u00e0 une application et s’assurer qu’elle n’a re\u00e7u que les autorisations n\u00e9cessaires.<\/p>\n En fin de compte, il s’agit de prot\u00e9ger les donn\u00e9es critiques de l’entreprise, qu’il s’agisse d’informations commerciales, de Pii ou de code. Les donn\u00e9es ont de nombreux formats et circulent de diff\u00e9rentes mani\u00e8res. La mani\u00e8re unique dont le SaaS est utilis\u00e9 dans toutes les unit\u00e9s commerciales et les \u00e9quipes et par n’importe qui dans l’organisation pose le risque de partage de donn\u00e9es \u00e0 l’aide d’applications SaaS qui ne sont pas con\u00e7ues pour un partage de donn\u00e9es s\u00e9curis\u00e9. Cela pose \u00e9galement le risque que les donn\u00e9es soient partag\u00e9es entre les applications SaaS. De nos jours, de nombreuses applications SaaS sont connect\u00e9es, et l’onboarding peut donner acc\u00e8s \u00e0 un sous-ensemble de beaucoup d’autres. C’est un maillage g\u00e9ant d’interconnectivit\u00e9 et de partage de donn\u00e9es.<\/p>\n La s\u00e9curit\u00e9 SaaS peut \u00eatre \u00e9crasante. C’est une nouvelle fronti\u00e8re robuste qui \u00e9volue constamment. Il s’agit \u00e9galement d’un risque de plus parmi une longue liste de risques auxquels les \u00e9quipes de s\u00e9curit\u00e9 doivent faire face. La cl\u00e9 pour r\u00e9soudre la s\u00e9curit\u00e9 SaaS est de savoir quelles applications sont utilis\u00e9es. Cette premi\u00e8re \u00e9tape de base met en lumi\u00e8re le d\u00e9fi du shadow IT SaaS et permet aux \u00e9quipes de s\u00e9curit\u00e9 d’\u00e9valuer correctement l’urgence et l’ampleur de leurs risques de s\u00e9curit\u00e9 SaaS. Conna\u00eetre avec certitude la quantit\u00e9 et la nature du SaaS utilis\u00e9 ne devrait pas \u00eatre complexe ou co\u00fbteux. Il existe de nombreux outils qui peuvent r\u00e9soudre ce probl\u00e8me, et vous pouvez essayez Wing. solution gratuite de s\u00e9curit\u00e9<\/b><\/a> pour avoir une id\u00e9e de ce \u00e0 quoi vous \u00eates confront\u00e9. <\/p>\n <\/p>\nD\u00e9terminer quelles applications SaaS sont risqu\u00e9es<\/strong><\/h2>\n
\n
Combien d’applications SaaS les employ\u00e9s utilisent-ils\u00a0?<\/strong><\/h2>\n
1. Quelles autorisations ont \u00e9t\u00e9 accord\u00e9es aux applications SaaS\u00a0?<\/strong><\/h3>\n
\n<\/ol>\n
2. Quelles sont les donn\u00e9es qui circulent dans et entre ces applications\u00a0?<\/strong><\/h3>\n
\n<\/ol>\n
Commencez par les bases – Apprenez \u00e0 conna\u00eetre votre couche SaaS<\/strong><\/h2>\n