49% das empresas subestimam os riscos do SaaS

Pode ser uma surpresa saber que 34% dos profissionais de segurança não sabem quantos aplicativos SaaS são implantados em suas organizações. E não é de se admirar — o recente AppOmni 2024 State of SaaS Security Report revela que apenas 15% das organizações centralizam a segurança SaaS em suas equipes de segurança cibernética. Essas estatísticas não apenas destacam um ponto cego crítico de segurança, mas também apontam para o fato de que a cultura organizacional é frequentemente esquecida como um fator determinante por trás desses riscos. À medida que os ambientes SaaS se tornam mais descentralizados, a falta de clareza em torno de funções e responsabilidades está deixando as empresas expostas.

A maioria das equipes de segurança se concentra somente em questões técnicas, muitas vezes ignorando como a cultura da empresa — suas práticas cotidianas, atitudes e processos de aplicação de políticas padrão — molda a postura de segurança da organização. Excesso de confiança, responsabilidades pouco claras e falta de monitoramento contínuo podem levar a violações de segurança de SaaS. Vamos examinar por que construir uma cultura que valorize a responsabilidade compartilhada e a segurança proativa é crucial.

O papel da cultura na segurança SaaS

A aquisição descentralizada de aplicativos SaaS mudou completamente o jogo para muitas organizações. As unidades de negócios agora são livres para escolher e adotar as ferramentas de que precisam para permanecer ágeis e impulsionar as metas de negócios, mas

com essa liberdade surge um enorme desafio: manter as práticas de segurança consistentes e eficazes em todos os níveis.

Os riscos da autonomia sem supervisão

As unidades de negócios geralmente são focadas em velocidade e inovação, o que significa que a segurança geralmente fica em segundo plano. Por outro lado, as equipes de segurança são deixadas tentando acompanhar um vasto e sempre mutável cenário de aplicativos SaaS que elas não tiveram voz na escolha. A desconexão resultante pode criar uma cultura em que a segurança não é priorizada ou, pior, é vista como um obstáculo que retarda as iniciativas e operações comerciais.

O que geralmente se segue é um ambiente onde as vulnerabilidades podem prosperar. A autonomia aumenta a produtividade, mas sem supervisão de segurança coordenada, ela também traz riscos sérios. Implementar novas ferramentas rapidamente sem revisões completas pode enfraquecer os controles de segurança e permitir que ameaças potenciais passem despercebidas.

As consequências no mundo real

A pesquisa da AppOmni com 644 tomadores de decisão e gerentes de segurança em todo o mundo indica que 31% dizem que suas organizações sofreram uma violação de dados — um aumento de cinco pontos em relação ao ano anterior. Esse aumento nas violações pode muito bem estar vinculado à cultura de segurança de SaaS. A violação da Snowflake de 2023 , por exemplo, foi causada por clientes que não implementaram autenticação segura de dois fatores para proteger seus ambientes de produção. A violação massiva da cadeia de suprimentos na Sisense , uma provedora de plataforma de inteligência empresarial (BI) e análise de dados, aponta para os perigos de não proteger adequadamente os ecossistemas de SaaS acessados ​​por terceiros.

Em ambos os casos, devido à adoção descentralizada, houve uma falta de visibilidade e controle sobre integrações de terceiros que levaram a grandes exposições de dados. Esses incidentes reforçam a necessidade de uma cultura de segurança em primeiro lugar que se estenda por toda a organização — não apenas dentro da TI.

Criar uma cultura consciente de segurança não é apenas sobre estabelecer políticas; é sobre mudar mentalidades. As unidades de negócios precisam entender a importância da segurança e envolver as equipes de segurança desde o início ao escolher novas ferramentas. Ao mesmo tempo, as equipes de segurança devem trabalhar proativamente com as unidades de negócios e oferecer orientação que apoie a inovação em vez de atrapalhá-la. Preencher essa lacuna entre autonomia e segurança é essencial para construir um ambiente seguro e produtivo.

Excesso de confiança e desalinhamento na segurança de SaaS

Muitas organizações acham que estão seguras, mas violações de problemas evitáveis, como configurações incorretas, continuam acontecendo. E o excesso de confiança é uma questão cultural que pode causar sérios problemas.

Percepção versus realidade

Embora as empresas frequentemente classifiquem sua maturidade de segurança cibernética SaaS como alta, a realidade é frequentemente diferente. Geralmente há uma desconexão entre o que é assumido como seguro e o que realmente é seguro, normalmente porque a complexidade e os riscos dos ambientes SaaS são subestimados.

As plataformas SaaS são altamente personalizáveis ​​e integram-se a muitas ferramentas, mas, sem um gerenciamento cuidadoso, podem introduzir vulnerabilidades significativas. O relatório AppOmni mostra que quase metade dos entrevistados da pesquisa dizem ter menos de 10 aplicativos conectados à plataforma Microsoft 365, mas dados agregados indicam que há mais de mil conexões SaaS-para-SaaS com o Microsoft 365.

O Problema dos Silos Organizacionais

O excesso de confiança na segurança do SaaS geralmente decorre da falta de compreensão total do modelo de responsabilidade compartilhada. Muitos acreditam que medidas básicas de segurança — como autenticação multifator — são suficientes para manter seus ambientes SaaS seguros. Mas sem monitoramento contínuo, vulnerabilidades e outros problemas de segurança do SaaS podem ficar ocultos até que seja tarde demais.

Silos organizacionais aumentam esse problema. Diferentes departamentos podem ter níveis variados de conscientização de segurança, levando a lacunas de supervisão. Embora a TI normalmente entenda a necessidade de monitoramento contínuo, as unidades de negócios podem não ver os riscos do uso descontrolado de SaaS e, portanto, ter uma lacuna muito maior entre seu nível de segurança percebido e real.

As empresas devem mudar sua cultura em direção a uma melhor colaboração e responsabilidades de segurança compartilhadas para corrigir esses problemas. É hora de ir além da falsa sensação de segurança que vem com a implementação de controles de segurança comuns e adotar uma abordagem mais abrangente que inclua monitoramento contínuo, reavaliação regular e um compromisso com a segurança em todos os níveis da organização.

Responsabilidade compartilhada e a importância do monitoramento contínuo

O modelo de responsabilidade compartilhada é uma parte essencial da segurança na nuvem, definindo pelo que os provedores de SaaS e seus clientes são responsáveis. Mas ele é frequentemente mal compreendido. A segurança do SaaS não depende apenas do provedor — é um esforço de equipe que exige o envolvimento ativo tanto do provedor de SaaS quanto do cliente. Infelizmente, essa responsabilidade compartilhada pode fracassar quando há uma desconexão cultural, o que deixa a porta aberta para violações.

O papel crítico do SSPM

O monitoramento contínuo é essencial para a responsabilidade compartilhada. Os ambientes SaaS estão sempre mudando, com atualizações, novos usuários e integrações introduzindo novos riscos. Sem monitoramento contínuo, esses problemas podem passar despercebidos até que sejam explorados para instigar uma violação de dados.

Para gerenciar esses riscos de forma eficaz, é crucial implementar uma solução SaaS Security Posture Management (SSPM) que ofereça recursos abrangentes. Uma solução SSPM robusta deve incluir configuração e gerenciamento de desvio para manter linhas de base de políticas, funcionalidade de exposição de acesso a dados para sinalizar configurações incorretas comuns e detecção de ameaças que se integre com ferramentas SIEM e SOC.

Uma solução SSPM completa deve fornecer visibilidade em conexões SaaS-para-SaaS e oferecer avaliações de conformidade sob demanda. Esses recursos fornecem a supervisão em tempo real necessária para detectar e corrigir problemas antes que eles aumentem, garantindo que seu ambiente SaaS permaneça seguro.

O custo de ignorar o monitoramento contínuo

Embora o monitoramento contínuo seja um componente crítico de um programa de segurança SaaS robusto, muitas organizações não percebem o quão crucial o monitoramento contínuo é até que uma violação já tenha ocorrido e o dano esteja feito. A limpeza após uma violação é custosa — não apenas financeiramente, mas também em termos de impacto na reputação. Ignorar o monitoramento contínuo prejudica todo o ponto do modelo de responsabilidade compartilhada porque deixa lacunas de segurança que poderiam ter sido facilmente gerenciadas com as devidas precauções. Para evitar isso, as organizações devem tornar as soluções SSPM um componente fundamental de sua estratégia geral de segurança. Dessa forma, a empresa e seus provedores de SaaS fazem cada um sua parte para manter tudo seguro.

Relatório de Segurança SaaS

À medida que mais organizações aderem ao movimento SaaS, uma forte cultura de segurança é crucial. Mergulhe mais fundo nos insights do Relatório de Segurança do Estado de SaaS de 2024 e descubra como construir um ambiente SaaS mais seguro.
Obtenha agora

Como você pode construir uma cultura de segurança SaaS forte?#

Como a cultura organizacional desempenha um papel tão importante na proteção contra violações de SaaS, abordar a segurança do SaaS começa com a construção de uma sólida cultura de segurança em sua organização.

Para começar a construir uma cultura de segurança com reconhecimento de SaaS, certifique-se de:

• Melhore a comunicação: garanta uma linha de comunicação aberta entre as unidades de negócios e as equipes de segurança. Todos, incluindo executivos de alto escalão, devem entender por que a segurança é importante e seu papel na proteção de ativos e recursos. Os líderes de segurança podem ajudar entendendo as metas de negócios, oferecendo barreiras de proteção em vez de bloqueios e falando a linguagem da colaboração.
• Forneça treinamento contínuo de conscientização cibernética: atualize regularmente seus funcionários sobre as últimas ameaças de segurança e melhores práticas . Os funcionários precisam saber os riscos que vêm com o uso de aplicativos SaaS e por que é importante seguir os protocolos de segurança. Ao mesmo tempo, certifique-se de mostrar aos funcionários como as melhores práticas de segurança podem realmente aumentar sua produtividade.
• Implementar políticas claras: Defina políticas de segurança claras que definam as responsabilidades das unidades de negócios e das equipes de segurança. Faça com que essas políticas sejam fáceis de encontrar e mantenha-as atualizadas regularmente.
• Promova uma mentalidade proativa: incentive sua equipe a ser proativa em relação à segurança, relatando quaisquer vulnerabilidades potenciais, envolvendo-se em iniciativas de segurança e mantendo-se atualizada sobre as práticas de segurança da empresa.
• Aproveite as soluções SSPM: invista em ferramentas SSPM que fornecem monitoramento contínuo e recursos de detecção de ameaças. Essas ferramentas ajudam você a identificar e corrigir problemas de segurança antes que eles se tornem problemas maiores.

Ao tomar essas medidas, as organizações podem construir uma cultura que não apenas impulsiona seus negócios, mas também prioriza a segurança e reduz a probabilidade de violações relacionadas a SaaS.

Construindo uma cultura de segurança SaaS preparada para o futuro#

À medida que a adoção de SaaS cresce, manter a segurança forte se torna ainda mais desafiador. Olhando para 2025 e além, está claro que a tecnologia sozinha não será suficiente. As organizações devem se concentrar em criar uma cultura de segurança entrelaçada em cada parte de suas operações.

Gastos inteligentes para maior segurança#

Tudo começa com gastos inteligentes. As equipes já estão cientes da necessidade de focar na eficiência de custos em seus programas de segurança. Na verdade, 29% esperam que o ROI em investimentos em segurança cibernética medido pela redução de risco seja um ponto de discussão importante no próximo ano. Para permanecer à frente, as empresas devem proteger seus ativos mais críticos, usar ferramentas avançadas para monitorar acesso e configurações e aplicar os princípios Zero Trust em seus aplicativos.

A segurança é sobre pessoas, não apenas sobre tecnologia#

Em última análise, a segurança não é apenas sobre ferramentas e tecnologia. É também sobre pessoas. Construir uma cultura onde cada funcionário entenda a importância da segurança é crucial. A educação contínua sobre as melhores práticas de segurança cibernética ajudará os funcionários a aderir às políticas e evitar violações de dados. À medida que as organizações se preparam para o futuro, alinhar sua cultura com práticas de segurança inteligentes será fundamental para reduzir riscos e permanecer seguro.

Baixe o relatório completo para saber mais sobre como proteger seu ambiente SaaS para o futuro

Fonte: thehackernews.com