De Rapport SaaS-beveiligingsonderzoek 2022, onderzoekt in samenwerking met CSA de staat van SaaS-beveiliging zoals gezien in de ogen van CISO’s en beveiligingsprofessionals in de hedendaagse ondernemingen. Het rapport verzamelt anonieme reacties van 340 CSA-leden om niet alleen de groeiende risico’s in SaaS-beveiliging te onderzoeken, maar ook hoe verschillende organisaties momenteel werken om zichzelf te beveiligen.
demografie
De meerderheid (71%) van de respondenten bevond zich in Amerika, nog eens 17% uit Azië en 13% uit EMEA. Van deze deelnemers heeft 49% invloed op het besluitvormingsproces, terwijl 39% het proces zelf leidt. Het onderzoek onderzocht organisaties uit verschillende sectoren, zoals telecommunicatie (25%), financiën (22%) en overheid (9%).
Hoewel er veel afhaalrestaurants uit de enquête zijn, is dit onze top zeven.
1: Verkeerde SaaS-configuraties leiden tot beveiligingsincidenten
Sinds 2019 zijn verkeerde SaaS-configuraties een toppunt van zorg geworden voor organisaties, waarbij ten minste 43% van de organisaties meldt dat ze te maken hebben gehad met een of meer beveiligingsincidenten die zijn veroorzaakt door een verkeerde SaaS-configuratie. Aangezien veel andere organisaties echter aangeven niet te weten of ze een beveiligingsincident hebben meegemaakt, kan het aantal verkeerd geconfigureerde SaaS-incidenten zo hoog als 63%. Deze cijfers zijn opvallend in vergelijking met de 17% beveiligingsincidenten die worden veroorzaakt door een verkeerde IaaS-configuratie.
 |
| Figuur 1. Bedrijven hebben te maken gehad met een beveiligingsincident als gevolg van een verkeerde SaaS-configuratie |
Leer hoe u verkeerde configuraties in uw SaaS-stack kunt voorkomen
2: Gebrek aan zichtbaarheid en te veel afdelingen met toegang gerapporteerd als belangrijkste oorzaak voor SaaS-misconfiguraties
Dus wat is precies de oorzaak van deze SaaS-misconfiguraties? Hoewel er verschillende factoren zijn waarmee rekening moet worden gehouden, beperken de respondenten het tot de twee belangrijkste oorzaken: te veel afdelingen met toegang tot SaaS-beveiligingsinstellingen (35%) en een gebrek aan inzicht in de wijzigingen in de SaaS-beveiligingsinstellingen (34 %). Dit zijn twee gerelateerde problemen, die geen van beide verrassend zijn, aangezien gebrek aan zichtbaarheid een topprioriteit was bij het adopteren van SaaS-applicaties, en dat organisaties gemiddeld meerdere afdelingen hebben met toegang tot beveiligingsinstellingen. Een van de belangrijkste redenen voor het gebrek aan zichtbaarheid is het feit dat te veel afdelingen toegang hebben tot beveiligingsinstellingen, en veel van deze afdelingen hebben niet de juiste training en focus op beveiliging.
 |
| Afbeelding 2. De belangrijkste oorzaken van verkeerde SaaS-configuraties |
3: Investeringen in bedrijfskritische SaaS-applicaties overtreffen SaaS-beveiligingstools en -personeel
Het is bekend dat bedrijven steeds meer apps gebruiken. Alleen al het afgelopen jaar zegt 81% van de respondenten dat ze meer hebben geïnvesteerd in bedrijfskritieke SaaS-applicaties. Aan de andere kant zijn de investeringen in beveiligingstools (73%) en personeel (55%) voor SaaS-beveiliging lager. Deze dissonantie betekent een toenemende last voor de bestaande beveiligingsteams om SaaS-beveiliging te bewaken.
 |
| Afbeelding 3. Investering van bedrijven in SaaS-apps, beveiligingstools en personeel |
4: Handmatige detectie en herstel van SaaS-misconfiguraties houdt organisaties bloot
46% van de organisaties die hun SaaS-beveiliging handmatig controleren, voert controles slechts één keer per maand of minder uit, terwijl 5% helemaal geen controles uitvoert. Nadat een verkeerde configuratie is ontdekt, duurt het extra tijd voor beveiligingsteams om deze op te lossen. Ongeveer 1 op de 4 organisaties doet er een week of langer over om een verkeerde configuratie op te lossen bij handmatig herstel. Deze lange timing maakt organisaties kwetsbaar.
 |
| Afbeelding 4. Hoe vaak bedrijven hun SaaS-misconfiguraties handmatig moeten controleren |
 |
| Afbeelding 5. Hoe lang duurt het voordat bedrijven SaaS-foutieve configuratie handmatig herstellen |
5: Het gebruik van een SSPM verkort de tijdlijn om SaaS-misconfiguraties te detecteren en te verhelpen
De keerzijde van de medaille voor het vinden van #4 is dat de organisaties die een SSPM hebben geïmplementeerd, hun SaaS-misconfiguraties sneller en nauwkeuriger kunnen detecteren en herstellen. De meerderheid van deze organisaties (78%) gebruikt een SSPM om hun SaaS-beveiligingsconfiguraties één keer per week of vaker te controleren. Als het gaat om het oplossen van de verkeerde configuratie, is 81% van de organisaties die een SSPM gebruiken in staat om het binnen een dag tot een week op te lossen.
 |
| Afbeelding 6. Frequentie van SaaS-beveiligingsconfiguratiecontroles |
 |
| Afbeelding 7. Tijdsduur om verkeerde SaaS-configuraties te herstellen |
Klik hier om een demo van 15 minuten in te plannen over hoe Adaptive Shield SSPM u kan helpen
6: toegang tot apps van derden is een grote zorg
Apps van derden, ook wel no-code of low-code platforms genoemd, kunnen de productiviteit verhogen, hybride werk mogelijk maken en zijn over het algemeen essentieel bij het bouwen en schalen van de werkprocessen van een bedrijf. Veel gebruikers verbinden echter snel apps van derden zonder te overwegen welke toestemming deze apps vragen. Eenmaal geaccepteerd, kunnen de machtigingen en daaropvolgende toegang die aan deze apps van derden worden verleend, onschadelijk of net zo kwaadaardig zijn als een uitvoerbaar bestand. Zonder inzicht in de SaaS-naar-SaaS-toeleveringsketen, maken werknemers verbinding met de bedrijfskritieke apps van hun organisatie en zijn beveiligingsteams blind voor veel potentiële bedreigingen. Terwijl organisaties SaaS-applicaties blijven gebruiken, is een van hun grootste zorgen het gebrek aan zichtbaarheid, met name dat van applicatietoegang van derden tot de kern SaaS-stack (56%).
 |
| Afbeelding 8. De grootste zorg van bedrijven bij het adopteren van SaaS-apps |
Vooruit plannen en SSPM implementeren
Ondanks dat de categorie twee jaar geleden op de markt is gebracht, is ze snel aan het rijpen. Bij de beoordeling van vier cloudbeveiligingsoplossingen krijgt SSPM een gemiddelde beoordeling van ‘enigszins vertrouwd’. Bovendien geeft 62% van de respondenten aan dat ze al een SSPM gebruiken of van plan zijn er in de komende 24 maanden een te implementeren.
 |
| Figuur 9. Bedrijven die momenteel SSPM gebruiken of van plan zijn te gaan gebruiken |
Conclusie
Het 2022 SaaS Security Survey Report biedt inzicht in hoe organisaties hun SaaS-applicaties gebruiken en beschermen. Het lijdt geen twijfel dat naarmate bedrijven meer bedrijfskritieke SaaS-apps blijven gebruiken, er meer risico is. Om deze uitdaging het hoofd te bieden, moeten bedrijven beginnen zichzelf te beveiligen door middel van twee best practices:
- De eerste is om beveiligingsteams in staat te stellen volledig inzicht te krijgen in alle SaaS-app-beveiligingsinstellingen, inclusief app-toegang van derden en gebruikersmachtigingen, waardoor afdelingen hun toegang kunnen behouden zonder het risico te lopen ongepaste wijzigingen aan te brengen die de organisatie kwetsbaar maken.
- Ten tweede moeten bedrijven gebruik maken van geautomatiseerde tools, zoals SSPM’s, om onoplettende SaaS-beveiligingsconfiguraties continu te monitoren en snel te verhelpen. Met deze geautomatiseerde tools kunnen beveiligingsteams problemen in bijna realtime herkennen en oplossen, waardoor de totale tijd dat de organisatie kwetsbaar is, wordt verkort of wordt voorkomen dat het probleem zich samen voordoet.
Beide wijzigingen bieden ondersteuning aan hun beveiligingsteam zonder dat afdelingen hun werk kunnen voortzetten.
