Shadow SaaS چیست؟ دلایل، خطرات و نکات مدیریتی

تیمهای امنیتی با حس آرامش بخشی که از استفاده از کنترلهای امنیتی مانند ارائهدهندگان ورود به سیستم یکپارچه (SSO) برای مدیریت برنامههای اصلی و ابزارهای حیاتی سازمان خود به دست میآید، آشنا هستند. وقتی این برنامهها از طریق اوکتا، آژور AD یا سایر ارائهدهندگان هویت مسیریابی میشوند، محیط SaaS شما میتواند به نظر برسد که به طور مؤثری مدیریت و حسابرسی شده است.

اما در زیر این مسئله یک آسیبپذیری قابل توجه وجود دارد: نقاط کور SSO. در حالی که ممکن است در حال نظارت بر درب اصلی باشید، کارکنان از طریق ورودیهای جانبی و دربهای پشتی (ورود با حسابهای اجتماعی، ثبتنامهای ایمیل شخصی و ایجاد رمزهای عبور مستقیم) به بسیاری از برنامههای غیرقابل ردیابی دسترسی پیدا میکنند.

این پدیده که به عنوان Shadow SaaS شناخته میشود، تنها یک مشکل موجودی نیست. این یک خطر امنیتی پیچیده و زمان واقعی است که شامل افشای کنترلنشده دادهها، مجوزهای بیش از حد اعطا شده توسط کاربر و رفتار غیرقابل پیشبینی کارمندان میباشد. دادههای مهم کاربران در برنامههای نظارتنشده "گرفته" میشوند و این امر امکان اندازهگیری دقیق پروفایل واقعی ریسک یک فرد را غیرممکن میسازد و بدین ترتیب مدیریت مؤثر امنیت را مختل میکند. این مقاله یک راهنمای مرحله به مرحله برای ارزیابی Shadow SaaS در سازمان شما ارائه میدهد و به شما میآموزد که چگونه به سمت یک استراتژی مدیریت ریسک مبتنی بر کاربر حرکت کنید.

Shadow SaaS چیست؟

سایر SaaS به هر نرمافزار یا برنامه ابری اشاره دارد که توسط کارکنان یک سازمان استفاده میشود بدون اینکه اطلاعات دقیقی از آن، تأیید خرید، یا نظارت از سوی بخشهای فناوری اطلاعات و امنیت وجود داشته باشد. این یک تکامل مدرن و همهگیرتر از یک چالش امنیتی قدیمی در چشمانداز دیجیتال است.

Shadow SaaS چگونه با Shadow IT متفاوت است؟

IT سایه اصطلاحی گسترده و تاریخی برای سخت افزار، نرم افزار، یا خدمات تأیید نشده است که درون یک سازمان استفاده میشود. از سوی دیگر، SaaS سایه زیرمجموعه خاص و به سرعت در حال رشدی از این مشکل است که به طور خاص بر روی برنامهها و خدمات ابری بدون مدیریت تمرکز دارد. به عنوان مثال، IT سایه شامل دستگاههای شخصی مانند لپتاپها میشود که برای دسترسی به دادههای شرکتی استفاده میشوند، در حالی که SaaS سایه به برنامههای وبمحور غیرمجاز اشاره دارد که برای کارهایی مانند اشتراکگذاری فایلهای داده شرکتی یا خلاصهسازی مستندات استفاده میشوند.

از آنجا که برنامههای SaaS بهطور معمول مبتنی بر وب هستند، نیازی به نصب ندارند و بهطور فوری قابل دسترسی هستند، پذیرش آنها برای کارمندان بهطور مستقل بسیار آسانتر است. این مانع پایین برای ورود، Shadow SaaS را به یک ریسک دینامیک و چالشبرانگیزتر برای مدیریت نسبت به نرمافزارهای سنتی غیرمجاز در محل تبدیل میکند.

ظهور Shadow SaaS در شرکتهای مدرن

سخت افزار سایه به یک مشکل بزرگ در محیط کار دیجیتال مدرن تبدیل شده است. هزاران ابزار SaaS تخصصی و کاربرپسند در دسترس هستند و با تغییر به مدلهای کار از راه دور و ترکیبی، این ابزارها به کارمندان قدرت میدهند تا برنامههایی را پیدا کرده و اتخاذ کنند که کارشان را سادهتر کرده و کارایی را افزایش دهند. تمایل به افزایش بهرهوری معمولاً یک تسهیلکننده مثبت در کسب و کار است، اما وقتی که به طور قابل ملاحظهای با سیاستهای امنیتی فعلی چالش ایجاد کند، مشکلساز میشود.

آنچه تیمهای امنیتی کم دارند: نقطه کور SSO

عامل اصلی که به Shadow SaaS اجازه میدهد در یک سازمان رشد کند، نقطه کور SSO است. اکثر تیمهای امنیتی حس نادرستی از امنیت دارند زیرا دید آنها محدود به برنامههای متصل به ارائهدهنده هویت رسمی (IdP) آنهاست. تیمها میتوانند دسترسی به ابزارهای مجاز را مشاهده و کنترل کنند، اما این تنها بخشی از تصویر کامل را نشان میدهد.

این عدم شفافیت نقطه کور بزرگی است که کنترل نشده و برای صدها برنامه دیگری که کارمندان از روشهای جایگزین برای ثبتنام استفاده میکنند، وجود دارد. مایکروسافت گزارش داده است که بیش از ۷۵٪ از کارمندانی که از هوش مصنوعی استفاده میکنند، ابزارهای هوش مصنوعی خود را به محل کار میآورند که این رقم در شرکتهای کوچک و متوسط به ۸۰٪ میرسد. هر یک از این ابزارها نمونهای از Shadow SaaS هستند، به ویژه زمانی که کارمندان از 'ورود با گوگل/مایکروسافت' با حسابهای شرکتی یا با ایمیل کاری و رمزهای عبور منحصر به فرد خود ثبتنام میکنند.

این اقدامات بهطور کامل برای ارائهدهنده هویت نامرئی هستند، که به این معنی است که تیمهای امنیتی هیچ اطلاعی ندارند که برنامهای در حال استفاده است، چه دادههایی در حال به اشتراکگذاری هستند یا چه مجوزهایی اعطا شدهاند.

ریسکها و پیامدهای امنیتی برنامههای SaaS بدون مدیریت

Shadow SaaS به طور طبیعی پنهان است و دامنه وسیعی از خطرات را معرفی میکند که میتواند پیامدهای شدید برای سازمانها داشته باشد—از نش Leakage داده و شکستهای انطباق گرفته تا آسیبهای قابل توجه به شهرت.

امنیت داده، ریسکهای تطبیق، و هوش سایه

کارمندان معمولاً هنگام استفاده از برنامههای SaaS تأیید نشده، با اطلاعات حساس یا محرمانه روبرو هستند. نمونههایی شامل بارگذاری فهرست مشتریان در یک ابزار بازاریابی جدید، تجزیه و تحلیل دادههای مالی در یک پلتفرم تحلیلی غیرمجاز، یا وارد کردن اطلاعات اختصاصی شرکت به یک ابزار "Shadow AI" غیرمجاز میباشد. با این حال، از آنجایی که این برنامهها بررسی یا با استانداردهای امنیتی تطبیق داده نشدهاند، هیچ تضمینی درباره نحوه ذخیره، پردازش یا محافظت از دادهها وجود ندارد. این شکاف میتواند منجر به از دست رفتن دادهها شود یا تخلفات قابل توجهی در زمینه انطباق ایجاد کند اگر دادهها به قوانین حفاظت از دادهها مانند GDPR، HIPAA یا CCPA متعلق باشد.

خطر پنهان دسترسی بیش از حد مجاز

ریسکهای مرتبط با Shadow SaaS همچنین شامل مجوزهایی است که به آن اعطا میشود. کارکنان اغلب بدون بررسی، درخواستهای مجوز وسیع و گستردهای را تأیید میکنند، بهویژه اگر بخواهند به زودی از یک برنامه استفاده کنند. این مجوزها میتواند شامل دادن دسترسی به "خواندن تمام ایمیلها،" "مشاهده و مدیریت تمام فایلها در Google Drive،" "دسترسی به فهرست کامل مخاطبین شما" و موارد دیگر باشد.

زمانی که یک کارمند ناخواسته مجوزهای بیش از حدی را به یک برنامه شخص ثالث تأیید نشده اعطا میکند، به طور مؤثری یک نشت داده بالقوه ایجاد میکند که میتواند به نقاط ضعف امنیتی جدی منجر شود. اگر آن فروشنده SaaS هرگز نفوذ کند یا اگر خود برنامه مخرب باشد، مهاجمان میتوانند از آن مجوزهای اضافی برای دسترسی به مقادیر زیادی از اطلاعات حساس و سرقت آنها استفاده کنند.

عواقب شهرت و نگرانیهای سطح هیئت مدیره

نشتهای داده ناشی از برنامههای Shadow SaaS آسیبدیده میتواند تأثیر ویرانکنندهای بر شهرت و درآمد یک شرکت بگذارد. از دست دادن اعتماد مشتریان میتواند دشوار و حتی غیر ممکن باشد. همراه با افزایش حوادث سایبری و نشتهای داده در مقیاس وسیع، هیئتهای مدیره و رهبری اجرایی به طور فزایندهای نگران این نوع ریسکها هستند.

دپارتمانهای فناوری اطلاعات که قادر به نشان دادن نمای کاملاً واضح و کنترل کامل بر روی کل محیط SaaS خود (شامل SaaS سایه) نیستند، تهدیدی جدی برای حاکمیت سازمانی و چارچوبهای مدیریت ریسک محسوب میشوند.

چگونه میتوان SaaS سایه را به طور مؤثر تشخیص داده و مدیریت کرد

مقابله با سایه SaaS به یک رویکرد چندجانبه نیاز دارد. به جای مسدود کردن صرف برنامههای شناخته شده، هدف شما باید کشف، ارزیابی و مدیریت تمام دامنه استفاده از SaaS در سازمان شما باشد.

مرحله ۱: کشف ناشناختهها با حسابرسیهای فنی

اولین قدم به دست آوردن دیدگاهی فراتر از ارائهدهنده SSO سازمان شما به منظور کشف برنامههای نرمافزاری SaaS غیرمجاز است. ارزیابیهای فنی برای شناسایی ترافیک به خدمات ابری ناشناخته و برنامههای غیرمجاز ضروری است. تیمهای IT باید بر تحلیل موارد زیر تمرکز کنند:

• گزارشات DNS و فایروال برای شناسایی ارتباطات مکرر با دامنههای برنامههای ابری ناشناس
• فهرستهای افزونههای مرورگر را بررسی کنید تا ببینید کدام افزونهها توسط کارمندان نصب شدهاند، زیرا بسیاری از آنها دروازههایی به خدمات SaaS هستند.
• دادههای نقطه پایانی از ابزارهای EDR میتوانند فرآیندها و اتصالات شبکهای مرتبط با برنامههای غیرمجاز را آشکار کنند.
• لاگهای ادغام SaaS از پلتفرمهای مورد تایید شما (مانند Google Workspace یا Microsoft 365) تا ببینید کدام اپلیکیشنهای شخص ثالث توسط کاربران مجوز یافتهاند.

مرحله ۲: کارکنان را درگیر کنید تا دلیل را درک کنند

کشف SaaS فنی به شما میگوید که چه چیزی استفاده میشود، اما انگیزههای زیرین را فاش نمیکند. درک "چرا" برای شناسایی نیازهای تجاری یا شکافهای جریان کار که کارمندان را به استفاده از ابزارهای غیررسمی برای عملکردهای مختلف سوق میدهد، بسیار حیاتی است. با استفاده از نظرسنجیهای مورد استفاده یا فهرستهای متمرکز برنامهها، با کارمندان درگیر شوید و بر رویکردی مشارکتی به امنیت تمرکز کنید. این اطلاعات میتواند به شما کمک کند نیازهای ابزارهای جدید بهطور رسمی تأیید شده را شناسایی کرده و فرهنگ امنیتی مشارکتی ایجاد کنید که در آن کارمندان به جای دشمنان، به عنوان شرکا در نظر گرفته شوند.

مرحله ۳: انتقال از موجودی به اولویتبندی ریسکهای هوشمند

مدیریت Shadow SaaS تنها به کشف محدود نمیشود—با احتمالاً صدها اپلیکیشن Shadow SaaS در حال استفاده، تلاش برای رسیدگی به هر یک از آنها ناکارآمد است. هدفتان باید اولویتبندی ریسک به طور هوشمند باشد، با شروع از استفاده از نمرات امنیتی فروشندگان برای دریافت یک امتیاز سریع و عینی از وضعیت امنیتی یک اپلیکیشن کشف شده.

همچنین در نظر بگیرید که استفاده از برنامههای کشفشده را به کارمندان فردی مرتبط کرده و این را با نقاط داده دیگر تجمیع کنید تا یک امتیاز خطر کاربر یکپارچه ایجاد کنید و نمای کاملی از آسیبپذیریهای احتمالی ارائه دهید. به عنوان مثال، کاربری که یک ابزار مدیریت پروژه غیرمجاز و با ریسک پایین را متصل کرده است، اولویت بسیار کمتری نسبت به کاربری دارد که به چندین برنامه پرخطر بدون مجوز دسترسی دارد، سابقهای از رعایت نکردن اصول استفاده از رمز عبور دارد و به تازگی در یک شبیهسازی فیشینگ شکست خورده است. این رویکرد کاربرمحور به شما اجازه میدهد تا منابع محدود خود را بر روی کاربران و برنامههایی که بیشترین تهدید را دارند، متمرکز کنید.

مرحله ۴: پیادهسازی یک استراتژی پاسخ دقیق

حالا که ریسکها را اولویتبندی کردهاید، میتوانید از یک ذهنیت ساده "همه چیز را مسدود کنید" به یک واکنش مبتنی بر ریسک و دقیقتر بروید. پیادهسازی این رویکرد فقط به معنای انکار دسترسی نیست؛ بلکه درباره امکانپذیر کردن امنیت کسب و کار است. یک استراتژی پاسخ قوی باید شامل موارد زیر باشد:

• بررسی و تحریم: یک فرایند تسریع یافته برای بررسی و تحریم رسمی برنامههای کم ریسک و با ارزش بالا که کارکنان در حال حاضر از آنها استفاده میکنند، راهاندازی کنید.
• گزینههای جایگزین ارائه دهید: برای برنامههای با ریسک بالا یا تکراری، یک گزینه تأیید شده و امن ارائه دهید و بهطور فعال آن را ترویج کنید تا نیاز تجاری یکسانی را برآورده کند و بدین ترتیب مسئله کاربر را حل کرده و ریسک را کاهش دهد.
• اعمال کنترلهای دقیق: برای برنامههای با ریسک متوسط که از نظر کسب و کار حیاتی هستند، اقدامات امنیتی دقیق را از طریق سیاستهای دسترسی یا ابزارهای کارگزار امنیت دسترسی به ابر (CASB) پیادهسازی کنید تا فعالیتهای با ریسک بالا را محدود یا دسترسی به دادههای حساس را کاهش دهید و در نتیجه وضعیت کلی امنیت را بهبود ببخشید.
• مسدود کردن و آموزش: مسدود کردن کلی را فقط برای برنامههای با ریسک بسیار بالا reserv کنید. زمانی که مسدودیتی اجرا میشود، از آن به عنوان فرصتی برای آموزش کاربر درباره اینکه چرا این ابزار ناامن تلقی شده است استفاده کنید و او را به یک جایگزین امن راهنمایی کنید، و شیوههای امن را تقویت کنید.

فراتر از نقطه کوری: رویکردی جدید به امنیت SaaS

اتکا تنها به نظارت SSO یک نقطه کوری خطرناک ایجاد میکند و سازمانها را در معرض خطرات فراگیر Shadow SaaS قرار میدهد. خطر واقعی معمولاً نه تنها در وجود این برنامههای تأیید نشده، بلکه در مجوزهای بیش از حد و دسترسی به دادههای بررسی نشدهای است که با آنها همراه است. مسیر آینده نیاز به یک رویکرد استراتژیک و کاربرمحور دارد که فراتر از یک فهرست ساده به یک چرخه مداوم کشف، ارزیابی ریسک و پاسخ دقیق حرکت کند. امنیت واقعی SaaS از درک این نکته میآید که نه تنها چه برنامههایی استفاده میشود، بلکه چه کسانی از آنها استفاده میکنند و چگونه.

این جایی است که یک راه حل اختصاصی به شدت اهمیت پیدا میکند. UpGuard به سازمانها کمک میکند که این استراتژی پیشگیرانه را به مرحله اجرا درآورند و با ارائه یک پلتفرم یکپارچه به چالشهای Shadow SaaS رسیدگی کنند. امکانات کلیدی شامل:

• مدیریت سطح حمله جامع: شناسایی و نظارت بر تمامی داراییهای دیجیتال سازمان شما، از جمله پلتفرمهای SaaS ناشناخته یا غیرمجاز، برای حذف نقطه کوری SSO.
• کشف مداوم و هشداردهی: هنگامی که برنامههای جدید یا غیرمجاز در محیط شما شناسایی میشوند، هشدارهای به موقع دریافت کنید و شکافهای امنیتی ناشی از Shadow SaaS را کاهش دهید.
• هوش ریسک محور بر اساس کاربران: بهدست آوردن دید عمیق درباره ریسکهای مجوز و رفتارهای کاربران مرتبط با پذیرش SaaS، که امکان مدیریت وضعیت امنیتی بیشتر پیشگیرانه و آگاهانه را فراهم میآورد.

این رویکرد به تیمهای امنیتی این امکان را میدهد که تهدیدات را بهتر درک کرده و کاهش دهند و از یک محیط SaaS امن و بهخوبی مدیریتشده پشتیبانی نمایند.