SaaSセキュリティポスチャーマネジメントとは？

この問いに答えるには、基本的なことから始め、「セキュリティ態勢」という言葉が何を意味するのかを理解する必要があります。企業のセキュリティ態勢とは、セキュリティの脅威を予測、管理、軽減するための全体的なサイバーセキュリティ態勢のことです。組織のテクノロジー・スタック全体の総合力を測定する指標として、ネットワーク・セキュリティ、情報セキュリティ、データ・セキュリティ、脆弱性管理、リスク管理を包含し、組織のソフトウェア、ハードウェア、ネットワーク、サービスをセキュリティの脅威、マルウェアの侵入、データの流出から保護します。

企業向けSaaSのセキュリティ体制

認可されたSaaSアプリの強力なセキュリティ態勢は、適切な設定と、機密データを漏えいさせる可能性のある設定ミスからの保護で構成されます。SaaS アプリの爆発的な普及は、生産性とビジネスの俊敏性を劇的に向上させた一方で、データ侵害や情報漏えいの新たな道を開いたため、SaaS Security Posture Management（SSPM）は、すべての組織の SaaS セキュリティ戦略の基本となっています。

何百もの認可されたSaaSアプリにまたがる何千もの設定を安全に構成することは、簡単な作業ではありません。さらに、セキュリティの設定ミスを発見し、それを修正し続けることはさらに困難です。

SaaSセキュリティポスチャ管理（SSPM）とは？

ガートナー社によると、SSPM は「SaaS アプリケーションのセキュリティリスクを継続的に評価し、セキュリティ体制を管理するツール」です。SSPMはその中核として、セキュリティチームに、認可されたアプリがどのように構成されているかを示すビューを提供します。これにより、設定ミスを特定し、最終的に最適な設定を実施することができます。

SaaS アプリのポスチャ評価を実施した後、SSPM は設定ミスを修正するためのガイド付き修復を提供し、セキュリティリスクを制御下に置きます。SSPM がなければ、セキュリティ管理者は、企業やコンプライアンス基準に適合するように各アプリをどのように設定すべきかを理解するだけでなく、各 SaaS アプリケーションの設定を手動で調整するという時間のかかる作業に追われることになります。手間がかかるのは、いくつかのアプリの設定を管理すればいいという問題ではないからです。今日の企業では、認可されたアプリの数は数百に上ります。それぞれのアプリはユニークで、複数の部署にまたがる複数のユーザーが利用するため、適切な設定が難しくなっています。

SSPMとCASBとの関係は？

クラウド・アクセス・セキュリティ・ブローカー（CASB）もSSPMツールも、SaaSアプリケーションのセキュリティ問題に対処するために設計されています。従来、CASBは主にユーザーアクセスとデータセキュリティポリシーに重点を置いていましたが、アプリ自体のセキュリティは軽視されていました。その後、SSPMはSaaSセキュリティにおける「次の大きな出来事」となりました。アプリを保護するだけでなく、リスクの高い機能や設定で見つかった設定ミスを発見して修正することで、アプリとアプリ内のデータに対するリスクを軽減するために、CASBにすぐに吸収されました。今日、完全な機能を備えたCASBは、ビルトインのポスチャー・セキュリティなしでは不完全だと考えられています。

CASBは、クラウドサービスプロバイダーとモバイルユーザーの間に位置するセキュリティポリシーの実施ポイントとして、組織が複数のSaaSアプリケーション、クラウドサービス環境、オンプレミスデータセンター、モバイルワーカーにまたがるデータの所在を特定するのに役立ちます。CASBはまた、組織のセキュリティ、ガバナンス、コンプライアンスポリシーを実施し、許可されたユーザがクラウドアプリケーションにアクセスして利用できるようにすると同時に、組織がネットワーク境界の内外にある複数の場所で機密データを効果的かつ一貫して保護できるようにします。

一方、SSPMはCASBのエンフォースメント機能の補助的な役割を果たします。その主な目的は、SaaSアプリケーションの設定エラーを評価する能力にあります。そうすることで、SSPMは、SaaSアプリが単なるコンプライアンス上の期待を超えたセキュリティ・ポリシーに合致していることを保証します。さらに、SaaS アプリは通常 IT チームが所有するため、ビジネス部門とセキュリティチームの間に断絶が生じることが多く、各チームが構成を管理する方法にギャップが生じると、理想的な構成から「ドリフト」する可能性があります。その結果、セキュリティチームは、アプリがどのように設定されているかを可視化できないことがよくあります。100以上のアプリを評価する必要があるため、アプリの監査は頻繁に行われません。SSPMツールが貴重な存在であることが証明されたのはこの時です。SaaSアプリを自動的かつ継続的に監視し、設定の流出を防ぎ、ユーザーとデータをリスクにさらすセキュリティ衛生上の問題に対処します。

SaaS アプリに依存してビジネスを行うクラウド対応企業では、運用開始前にアプリが適切に設定されていることを確認するために SSPM が必要です。Palo Alto Networksが最先端のSaaSセキュリティ・ポスチャ・マネジメントによってどのようにSSPM領域を破壊しているかについては、こちらを ご覧ください。