SaaS セキュリティアプローチの確立

サービスとしてのソフトウェア(SaaS) アプリケーションは、その簡単なセットアップとコラボレーション機能により、エンドユーザーに多大な価値を提供してきました。しかし、SaaS環境はネットワーク管理者に隠されていることが多いため、社内のデータセンター、サーバー、ワークステーションを保護するために設計されたエンタープライズセキュリティツールでは、SaaSアプリを効果的に保護したり、データ漏洩を防止したりすることはできません。SaaSアプリケーションのセキュリティ確保には、アプリケーションの実行内容と制御方法を理解するために、アプリケーションをさまざまなグループに分類することと、アクセスを制御するための信頼ゾーンを設定することが主に含まれます。SaaS セキュリティ実装の目標は、SaaS アプリケーションが保有するデータをより適切に保護するために、認可、容認、および非認可の SaaS アプリケーションに対して、明確に定義され、実施される一連のアプリケーションおよび使用ポリシーに行き着くことです。

アプリケーションのグループ分けは、組織がどのアプリケーションをどの程度信頼しているかに基づいており、信頼レベルの違いに基づいて各アプリケーションをどのように扱うかを決めています：

• サンクションされた アプリは、ITチームがベンダーのセキュリティ対策に基づいて大多数のアクセスを許可する自信を与えます。SOC 2に準拠している可能性が高く、一般的に暗号化やシングルサインオンを使用しています。
• 公認 アプリは、必ずしも公認アプリほど強く信頼されているわけではありませんが、パートナーやベンダーが使用していたり、組織が公認の代替アプリに移行していたりするため、組織は従業員に使用を許可しています。
• 未承認の アプリは潜在的に危険であり、組織をデータ盗難やマルウェアのリスクにさらすことが知られています。組織は、個人がそれらを使用することを望んでいませんし、信頼もしていません。

SaaSアプリケーションのセキュリティ確保における課題には、IT部門の承認やガバナンスなしにクラウドアプリケーションにサインアップするエンドユーザーへの対応、承認されていないアプリケーションの監視と利用のブロック、クラウド上のデータの可視性の欠如への対応などがあります。

データの暴露や脅威からデータと従業員を保護するために SaaS セキュリティアプローチを 確立する場合、組織は以下を確実に含める必要があります：

• すべてのユーザーとデータを完全に可視化し、詳細な分析を提供することで、いつでも推測の立場から確実な立場へと移行することができます。
• 使用中のアプリケーションを識別 し、ポートや暗号化に関係なくアプリケーションを指定できるポリシーを作成します。
• インラインのデータだけでなく、SaaSアカウント自体の作成から、それがどれだけ前のものであっても、データ露出の遡及分析 。
• 日々の使用状況を詳細に分析することで、データリスクやコンプライアンス関連のポリシー違反を迅速に判断できます。
• きめ細かく、コンテキストを意識したポリシー制御により 、違反が発生するとすぐにユーザーやデータを隔離するだけでなく、組織の強制力を高めることができます。
• 既知のマルウェアをブロックするだけでなく、未知のマルウェアを識別してブロックできる高度な脅威防御 。
• 既知および未知の脅威に関するリアルタイムの脅威インテリジェンスにより 、「野生の」マルウェアの新たな SaaS ベースの挿入ポイントを防止します。
• ユーザー・エクスペリエンスに影響を与えたり、パフォーマンスを低下させたりすることなく、ソリューションや機能をデプロイ します。

これらの基準に従うことで、組織に最も包括的で強固な保護を提供するプラットフォームを選択することができます。SaaS アプリケーション、ひいては組織のデータを保護するには、業界をリードするネットワーク用次世代ファイアウォール、SaaS アプリケーションを保護するクラウドセキュリティサービス、既知および未知の脅威から保護する高度な脅威インテリジェンスを含む、完全なエンドツーエンドプラットフォームが要件となります。

SaaSベンダーの審査については、こちらのブログ記事をご覧ください：SaaSセキュリティチェックリスト

リソース

• ビデオPrismaによるO365とクラウドアプリケーションの保護
• ホワイトペーパークラウドを安全に：クラウド対応モバイルワークフォース