Na samym początku warto wyjaśnić, czym w ogóle jest oprogramowanie jako usługa (SaaS, z ang. Software as a Service). Jest to model dostarczania oprogramowania, w którym aplikacje są hostowane przez dostawcę usług i udostępniane użytkownikom przez Internet. SaaS eliminuje potrzebę instalowania i utrzymywania oprogramowania na lokalnych urządzeniach użytkowników, oferując zamiast tego dostęp do aplikacji za pośrednictwem przeglądarki internetowej, najczęściej w popularnym ostatnimi czasy systemie abonamentowym.
Czym jest Shadow SaaS?
Firmy przyjmują coraz bardziej elastyczne podejście do zarządzania zasobami IT, co prowadzi do wzrostu liczby używanych aplikacji SaaS. Pracownicy zaś chętniej używają narzędzi i usług chmurowych, aby ułatwić i przyspieszyć pracę. Nierzadko jednak wykorzystywane oprogramowanie nie jest w żaden sposób weryfikowane pod kątem bezpieczeństwa i zgodności z wewnętrznymi politykami prywatności firmy, co rodzi szereg zagrożeń, mogących doprowadzić do wycieku i utraty danych. Niebezpieczeństwo potęguje fakt, że pracownicy firm często bez głębszego zastanowienia korzystają z chmurowych rozwiązań zewnętrznych dostawców również bez żadnej konsultacji z odpowiadającymi za cyberbezpieczeństwo działami IT. Do określenia tego typu działań powstała nazwa Shadow SaaS.
Shadow SaaS jest częścią zjawiska określanego jako Shadow IT i oznacza korzystanie w organizacji z aplikacji SaaS bez autoryzacji działu IT.
Shadow SaaS w cybersecurity – czyli najciemniej pod latarnią
Zapewne nie jest niczym zaskakującym, że firmy i organizacje stosują wygodne w swojej formie i obsłudze rozwiązania w postaci oprogramowania jako usługi. Jednak dużo bardziej zaskakujące i niepokojące są wyniki niedawno przeprowadzonej ankiety Next DLP, która wykazała, że niemal 75% badanych specjalistów ds. cyberbezpieczeństwa w swoich firmach korzystało z nieautoryzowanych narzędzi SaaS, mimo świadomości ryzyka utraty danych. Co więcej, jedna dziesiąta respondentów powyższej ankiety zgłosiła, że w ich firmie doszło do naruszenia lub utraty danych w konsekwencji użycia takich aplikacji. Tak wysoki odsetek naruszeń daje obraz, jak powszechny stał się problem wygody przedkładanej nad bezpieczeństwo i to w miejscach mających za wspomniane bezpieczeństwo odpowiadać.
Skąd bierze się Shadow SaaS w firmach?
Shadow SaaS pojawia się najczęściej wtedy, gdy pracownik potrzebuje narzędzia, którego nie ma w firmowym środowisku, lub jego uzyskanie wymaga przejścia czasochłonnej procedury. Łatwy dostęp do aplikacji chmurowych i bezpłatnych wersji usług sprawia, że użytkownik może samodzielnie wybrać rozwiązanie dopasowane do swoich potrzeb.
Do powstawania Shadow SaaS przyczyniają się przede wszystkim:
- brak odpowiednich narzędzi w firmie,
- potrzeba szybkiego wykonania zadania,
- rozbudowane procedury akceptacji nowych aplikacji,
- praca zdalna i hybrydowa,
- korzystanie z prywatnych kont do celów służbowych,
- szybki rozwój narzędzi AI.
Shadow SaaS nie zawsze wynika z celowego obchodzenia zasad bezpieczeństwa. Często jest efektem próby zwiększenia produktywności. Problem pojawia się wtedy, gdy organizacja nie wie o używanej aplikacji i nie może ocenić sposobu, w jaki przetwarza ona firmowe dane.
Przykłady Shadow SaaS – jakie aplikacje mogą być wykorzystywane bez zgody IT?
Shadow SaaS może obejmować różne usługi chmurowe wykorzystywane przez pracowników bez akceptacji organizacji. Mogą to być między innymi:
- aplikacje do przechowywania i udostępniania plików,
- narzędzia do zarządzania projektami i zadaniami,
- komunikatory i platformy do współpracy,
- aplikacje do edycji dokumentów, grafik i prezentacji,
- narzędzia marketingowe i sprzedażowe,
- usługi do konwersji lub analizy plików,
- chatboty i inne narzędzia generatywnej AI.
Przykładem Shadow SaaS może być przesłanie firmowego dokumentu do zewnętrznego narzędzia w celu jego edycji lub analizy bez sprawdzenia, jak aplikacja przetwarza przekazane informacje. Znaczenie ma więc nie tylko rodzaj usługi, ale również sposób jej wykorzystania, zakres uprawnień i rodzaj przetwarzanych danych.
Jak wykryć Shadow SaaS w organizacji?
Wykrywanie Shadow SaaS wymaga analizy różnych źródeł, ponieważ nieautoryzowane aplikacje nie zawsze są instalowane na firmowych urządzeniach. Pracownik może korzystać z nich przez przeglądarkę, prywatne konto lub połączyć je z firmowym kontem za pomocą SSO lub OAuth.
Pomocna jest analiza ruchu sieciowego, odwiedzanych usług oraz aktywności urządzeń końcowych. Warto również sprawdzać logi systemów tożsamości i aplikacje połączone z firmowymi kontami. Szczególnie istotne są tutaj integracje wykorzystujące SSO i OAuth, które mogą wskazać zewnętrzne narzędzia mające dostęp do firmowych zasobów.
Wykryte usługi należy następnie porównać z rejestrem zatwierdzonych aplikacji SaaS. Pozwala to zidentyfikować narzędzia używane w organizacji bez wcześniejszej akceptacji.
Po wykryciu nieznanej aplikacji warto ustalić:
- kto z niej korzysta,
- do jakich zasobów ma dostęp,
- jakie dane są w niej przetwarzane,
- z jakimi innymi usługami jest zintegrowana,
- czy konto jest firmowe, czy prywatne,
- czy aplikacja powinna zostać dopuszczona do użytku.
Dopiero takie informacje pozwalają właściwie ocenić charakter wykrytej usługi. Wykrywanie Shadow SaaS powinno więc obejmować nie tylko identyfikację aplikacji, ale również ustalenie jej kontekstu i zakresu wykorzystania.
Zagrożenia związane z Shadow SaaS
W przypadku chęci stosowania rozwiązań programowych opartych o zewnętrzne chmury warto mieć świadomość towarzyszącym temu zagrożeniom, a są to między innymi:
- wycieki danych: nieautoryzowane aplikacje SaaS mogą nie spełniać tych samych standardów bezpieczeństwa, co lokalne rozwiązania programowe;
- naruszenia zgodności: shadow SaaS może prowadzić do naruszenia przepisów branżowych i wymogów prawnych;
- zwiększona powierzchnia ataku: używanie aplikacji SaaS z wątpliwej jakości zabezpieczeniami może tworzyć dodatkowe punkty dostępu dla cyberprzestępców;
- brak widoczności i kontroli: działy IT mogą mieć trudności w skutecznym zarządzaniu i zabezpieczaniu swojego środowiska cyfrowego;
Jak zmniejszyć ryzyko związane z wykorzystaniem oprogramowania SaaS?
Firmy powinny opracować i egzekwować skuteczne oraz regularnie aktualizowane polityki bezpieczeństwa danych, aby przeciwdziałać korzystaniu z niezweryfikowanych narzędzi SaaS oraz zwiększać świadomość kadry na temat ich niekontrolowanego wykorzystania. W ramach tych działań nie powinno zabraknąć:
- wdrożonych systemów do identyfikacji Shadow IT;
- usprawnionych procesów zatwierdzania nowych aplikacji;
- oferowania bezpiecznych alternatyw dla popularnych, lecz ryzykownych narzędzi;
- opracowania jasnych wytycznych i szkoleń dotyczących korzystania z GenAI w miejscu pracy;
Warto również mieć stałą kontrolę nad odwiedzanymi stronami i instalowanym oprogramowaniem przez pracowników, ponieważ w wielu przypadkach może to uchronić przed poważnymi naruszeniami procedur bezpieczeństwa informacji. Kontrole nad ruchem sieciowym najlepiej realizować za pomocą rozwiązań typu UTM, a nad wszystkim co się dzieje na poziomie jednostek (komputerów, urządzeń mobilnych) w tym m.in. instalowanym oprogramowaniem oraz podłączanymi nośnikami danych – system klasy EDR.
Źródła:
https://www.acronis.com/en-eu/search/?query=SaaS
https://www.barracuda.com/support/glossary/saas
