SaaS セキュリティ統合:SSPM ツールを選ぶ際のチェックリスト

The Ultimate SaaS Security Posture Management (SSPM) Checklist

2021/10/14 TheHackerNews — クラウド・セキュリティとは、その中に IaaS/PaaS/SaaS を抱く傘である。Gartner は、セキュリティ・リスクを継続的に評価し、SaaS アプリケーションのセキュリティ体制を管理するソリューションとして、SaaS Security Posture Management (SSPM) カテゴリーを設けた。

1,000人以上の従業員が、数十から数百のアプリケーションを利用している企業では、SaaS のセキュリティ設定を詳細レベルで可視化し、修正していく必要性が高まっている。

SaaS セキュリティの最大の問題点は以下の通りだ。

・増え続ける SaaS アプリにおける管理能力の欠如
・購入から展開/運用/保守まで、SaaS ライフサイクルにおけるガバナンスの欠如
・SaaS アプリケーション資産内のすべての設定の可視性の欠如
・進化/加速/複雑化するクラウド・セキュリティにおけるスキル・ギャップ
・数百~数千 (~数万) の設定や権限を把握するための手間や負担が大きいこと

SaaS 資産全体におけるガバナンス機能は、ニュアンスが異なり、かつ複雑である。一般的に、SaaS アプリケーションのネイティブ・セキュリティ・コントロールは堅牢であるが、全体のグローバル設定から個々のユーザーのロールや権限に至るまで、すべての設定が適切に設定されていることを確認するのは、ユーザー組織の責任となる。そこことを理解していない SaaS 管理者による設定の変更や、間違ったレポート共有などにより、企業の機密データは簡単に流出してしまう。したがって、セキュリティ・チームは、すべてのアプリケーション/ユーザー/設定を把握し、それらが業界/企業のポリシーに準拠していることを確認する必要がある。

効果的な SSPM ソリューションは、このような問題を解決し、企業の SaaS セキュリティ体制を完全に可視化し、業界標準や企業ポリシーへの準拠をチェックする。一部の SSPM ソリューションには、それらを修正するための機能も備えている。その結果、複雑化する SaaS 全体の設定ミスを自動的に修正することで、セキュリティ・チームの効率が大幅に向上し、企業データを保護することが可能となる。

ただし、すべての SSPM ソリューションが同じように作られているわけではない。SSPM ソリューションの中心となるのは、モニタリング/アラート/修復である。脆弱性がサイバー攻撃に利用される前に、迅速に対処することを目的としている。Adaptive Shield が開発したようなソリューションは、SaaS 環境への窓口となる。SSPM のオプションを比較する際に、注目すべき主な機能は、以下の通りとなる (完全版ガイドより抜粋)。

可視性と洞察

包括的なセキュリティ・チェックを実行し、すべての統合、および、すべてのリスク領域の視点から SaaS 環境を明確に把握する。

統合の幅

SSPM ソリューションにとって何よりも重要なのは、すべての SaaS アプリケーションとの統合を実現する能力である。それぞれの SaaS には、独自のフレームワークと設定があり、ユーザー企業のシステムへのアクセスが存在する場合には、その点も監視する必要がある。どのようなアプリであっても、たとえばビジネスには無関係なアプリであっても、リスクを引き起こす可能性がある。注意すべき点は、小さなアプリが攻撃のゲートウェイとなることが多いことだ。

・SSPM システムは、最低で 30の統合機能を備え、適応性があり、あらゆるデータ・タイプをチェックし、設定ミスを防ぐことができる。

・SSPM ソリューションは、SaaS IT スタック内に存在する数多くのアプリを、シームレスな方法でサポートし、直ちに運用できるものである必要がある。

包括的で詳細なセキュリティ・チェック

効果的な SSPM における、もう一つの重要な要素は、セキュリティ・チェックの範囲の広さと深さとなる。それぞれのドメインには、セキュリティ・チームが追跡/監視すべき独自の側面が存在する。

・アイデンティティとアクセス管理
・マルウェア対策
・データ漏洩対策
・監査
・外部ユーザーのアクセス制御
・プライバシーコントロール
・コンプライアンス・ポリシー/セキュリティ・フレームワーク/ベンチマーク

このガイドの全文と印刷可能なチェックリストはこちらから。

継続的な監視と修復

継続的な監視と設定ミスの迅速な修正で脅威に対抗

ビジネス環境の問題を修復することは、複雑でデリケートな作業となる。SSPM ソリューションは、それぞれの設定に関する詳細な情報を提供し、モニタリング/アラートを容易に設定する必要がある。それにより、脆弱性がサイバー攻撃に悪用される前に、迅速に解決することが可能となる。Adaptive Shield のような SSPM ベンダーは、これらのツールを提供することで、セキュリティ・チームが効果的にコミュニケーションをとり、脆弱性をシャットダウンし、システムを保護することを可能にする。

・24時間365日の連続監視
・アクティビティモニタ
・アラート
・チケッティング
・リメディエーション
・姿勢の経時変化

システムの機能

余分なノイズを排除し、強力でスムーズな SSPM システムを統合する。SSPMソリューションは導入が容易で、新しい SaaS アプリをセキュリティチームが簡単に追加/監視できるものでなければならない。トップクラスのセキュリティ・ソリューションは、既存のアプリケーションやサイバー・セキュリティ・インフラとの容易な統合を実現し、サイバー脅威に対する包括的な防御を実現していく。

・セルフサービス・ウィザート
・堅牢な API
・誤検知が少ない
・非侵入型
・段階的な利用

最終的な考え方

適切な SSPM ソリューションが次の攻撃を防ぐ

SSPM は歯磨きに似ている。つまり、予防的な保護状態を作るために必要な、基礎的要件とみなすことができる。Adaptive Shield のような SSPM は、すべての SaaS アプリの継続的かつ自動化された監視と、SaaS セキュリティ衛生状態を保証するビルトインのナレッジ・ベースを提供する。

Adaptive Shield を使用することでセキュリティ・チームは、ビデオ会議/カスタマーサポート/人事管理システム/ダッシュボード/ワークスペース/コンテンツ/ファイル共有アプリ/メッセージング/マーケティング・プラットフォームなどの、あらゆる種類の SaaS アプリケーションを統合しながら、SaaS セキュリティのベスト・プラクティスを展開することが可能となる。

Adaptive Shield のフレームワークは使いやすく、直感的に使いこなすことが可能であり、5分で導入できる。企業の SaaS セキュリティを確保する方法について、詳細を参照してほしい。

SaaS Security Posture Management (SSPM) というカテゴリーが登場したようです。Adaptive Shield というベンダーのマーケティング記事のようですが、新たな概念を紹介してもらえるなら大歓迎です。手元のデバイスではなく、直接的には手の届かないクラウドで実行される SaaS ですから、そのセキュリティを統合すると言っても大変なことです。でも、おそらく、この種のソリューションが普及していくことになるのでしょう。要注目です。

%d bloggers like this: