온프레미스, IaaS, SaaS 애플리케이션 전반의 공동 책임 모델(출처: AppOmni)

The shared responsibility model across on-premise, IaaS and SaaS applications (Source: AppOmni)

일반적으로 SaaS 제공업체는 고객에게 다음과 같은 책임을 부여합니다:

• 규정 준수 및 데이터 거버넌스: 데이터 전송 및 레시던시 요건 충족을 포함하여 해당 규정 준수, 개인정보 보호 및 규제 프레임워크 제어를 구현합니다.
• 신원 및 액세스 관리: 최소 권한 원칙을 적용하여 사용자 액세스가 과도하게 프로비저닝되지 않도록 하거나 더 이상 조직에서 일하지 않는 사용자를 삭제합니다.
• 애플리케이션 제어: 어떤 시스템, 역할 및 사용자 수준 설정이 보안과 관련이 있는지 이해합니다. SaaS 애플리케이션당 수백 가지의 제어 기능이 있어 복잡성이 가중됩니다.

In general, SaaS providers place the following responsibilities on customers:

• Compliance and Data Governance: Implement applicable compliance, privacy and regulatory framework controls, including meeting requirements on data transfers and residency.
• Identity and Access Management: Enforcing the principle of least privilege, ensuring user access isn’t over-provisioned or deleting users that no longer work for the organization.
• Application Controls: Understanding which system, roles and user-level settings security are relevant. There are hundreds of these controls per SaaS application, adding to the complexity

기존 보안 통제 재평가 및 재정의

Reassessing and Redefining Your Existing Security Controls

SaaS 플랫폼의 복잡한 특성으로 인해 다음과 같은 새로운 보안 위험이 발생합니다:

• 공개적으로 노출된 SaaS 데이터
• 과도한 액세스 권한을 가진 외부 사용자
• 플랫폼에 연결된 타사 앱
• 제한적이거나 제한이 없는 데이터
• 과도하게 프로비저닝된 관리자 사용자/역할
• 실패한 보안 구성 모범 사례.

The complex nature of SaaS platforms introduces new security risks, which include:

• Publicly exposed SaaS data
• External users with over-privileged access
• Third-party apps connected to the platform
• Data with limited or no restrictions
• Over-provisioned administrator users/roles
• Failed security configuration best practices.

보안 통제를 재평가할 때는 다음과 같은 주요 사항을 고려해봐야 합니다:

• 보안 및 규정 준수 정책이 있으며, 이를 SaaS 애플리케이션에 적용했습니까?
• SaaS 애플리케이션의 민감한 데이터 개체에 누가 엑세스 권한이 있고 누가 엑세스 해야 하나요?
• 민감한 데이터 세트는 무엇이고, 노출 위험엔 어떤 것이 있습니까?
• 각 애플리케이션에서 사용자와 민감한 데이터 간의 정상적인 트랜잭션 패턴은 어떤 모습이며, 언제 기업 보안이 편차를 인지해야 하나요?

While re-evaluating security controls, consider these key areas within your responsibility:

• Do you have security and compliance policies, and have you applied them to your SaaS applications?
• Who has access and who should have access to the sensitive data objects in a SaaS application?
• What data sets are considered sensitive, and what is the exposure risk?
• What do normal transaction patterns look like in each application between the user and your sensitive data, and when should enterprise security be aware of deviations? 

우리 조직의 SaaS 보안 전략 성숙도 수준은?

How Mature is Your SaaS Security Strategy?

방대한 위협에도 불구하고 현재 많은 조직이 SaaS 애플리케이션 보안에 단편적인 접근 방식을 사용하고 있습니다. 비즈니스를 차별화하려면 임시 대응 전략에서 벗어나 업무 수행에 필수적인  SaaS 애플리케이션의 중앙 집중식 일관된 보안 관리를 통해 보안 태세를 개선할 수 있는 솔루션을 도입해야 합니다.

Despite the massive threat, many organizations currently use a fragmented approach to SaaS application security. To set your business apart, you should move away from an ad-hoc reactive strategy and embrace solutions to improve your security posture with centralized and consistent security management of mission-critical SaaS applications.

이러한 솔루션은 다음과 같은 문제를 해결해야 합니다:

• 데이터 손실 또는 도난: SaaS 환경에는 고객 및 직원 정보와 같은 민감한 데이터가 많이 포함되어 있습니다. 이러한 데이터가 손실되거나 도난당하면 조직에 큰 영향을 미칠 수 있습니다.
• 무단 액세스: SaaS 환경은 많은 직원, 계약자, 파트너 및 고객이 액세스하는 경우가 많습니다. 권한이 없는 사용자가 환경에 액세스하면 심각한 피해를 입히거나 중요한 데이터를 훔칠 수 있습니다.
• 멀웨어 및 랜섬웨어: 침해된 SaaS 환경은 멀웨어 공격을 확산시켜 조직의 IT 인프라를 손상시키는 공격 벡터로 작용할 수 있습니다. 랜섬웨어 공격은 기업 데이터와 시스템을 암호화하고 이를 해독하기 위해 몸값 지불을 요구합니다.
• 권한 상승: 권한 상승은 공격자가 원래 권한보다 더 높은 수준의 권한에 액세스할 수 있도록 하는 공격 유형입니다. 이를 통해 민감한 데이터에 액세스하거나 피해를 줄 수 있는 환경으로 변경할 수 있습니다.
• 내부자 위협: 내부자 위협은 환경에 합법적으로 액세스할 수 있는 직원이나 계약업체가 제기하는 위협입니다. 이러한 위협은 우발적이거나 악의적일 수 있으며 많은 피해를 초래할 수 있습니다.

These solutions should address:

• Data Loss or Theft: SaaS environments contain a lot of sensitive data, such as customer and employee information. If this data is lost or stolen, it could significantly impact the organization.
• Unauthorized Access: SaaS environments are often accessed by many employees, contractors, partners and customers. If unauthorized users gain access to the environment, they could cause significant damage or steal sensitive data.
• Malware and Ransomware: Breached SaaS environments can pose as an attack vector to spread malware attacks causing damage to the organization’s IT infrastructure. Ransomware attacks encrypt corporate data and systems and demand a ransom payment to decrypt them.
• Privilege Escalation: Privilege escalation is a type of attack that allows an attacker to gain access to higher levels of privilege than they should have. This can give them access to sensitive data or allow them to make changes to the environment that could cause damage.
• Insider Threats: Insider threats are threats posed by employees or contractors who have legitimate access to the environment. These threats can be accidental or malicious and can cause a lot of damage

위협이 줄어들기를 기다리지 마세요

Don’t Wait to Mitigate Risk

조직은 전체 클라우드 보안 전략의 일부로 SaaS 보안에 대한 포괄적인 접근 방식을 채택하여 SaaS앱 및 SaaS 연결로 인해 발생하는 알려진 위험과 알려지지 않은 위험을 확인해야 합니다. 조직이 이러한 위험을 완화하기 위해 할 수 있는 일에는 대규모 SaaS 자산에 대한 가시성 확보, 데이터 노출 및 중대한 구성 오류 방지, 지속적인 위협 및 사용자 활동 모니터링 구현, 정기적인 최종 사용자 권한 액세스 및 권한 감사 수행 (타사 공급업체 및 애플리케이션 포함), 강력한 IAM 및 암호 관리 정책 시행 등 여러 가지가 있습니다. 또한 조직은 보안 위험에 대해 직원을 교육하고 전사적 인식을 높일 수 있습니다. 마지막으로, 데이터 유출 복구 계획, 랜섬웨어 대응, 내부자 위협 대응 등 사고 대응 계획을 마련해 사고 발생 시 모든 사람이 해야 할 일이 대응 할 수 있도록 합니다.

Organizations must adopt a comprehensive approach to SaaS Security as part of their overall cloud security strategy, accounting for known and unknown risks brought on by SaaS apps and SaaS-to-SaaS connections. There are several things that organizations can do to mitigate these risks, such as bringing visibility over the SaaS estate at scale, preventing data exposure and critical misconfigurations, implementing continuous threat and user activity monitoring, conducting regular end-user privilege access and permissions audits (including for third-party vendors and applications) and enforcing strong IAM and password management policies. In addition, organizations can also educate employees about security risks and create enterprise-wide awareness. Finally, having plans in place for responding to incidents, including plans for data breach recovery, dealing with ransomware and responding to insider threats, gives everyone a job to do if and when an incident occurs.

https://securityintelligence.com/posts/is-your-critical-saas-data-secure/?c=Cloud%20Security