8 ข้อปฏิบัติเพื่อเสริมสร้างความมั่นคงปลอดภัยในการใช้ SaaS

ปัจจุบันในแต่ละองค์กรอาจมีการใช้บริการ SaaS มากจนแอดมินขององค์กรอาจตามไม่ทัน แต่ถึงกระนั้นก็ไม่สามารถปล่อยผ่านเรื่องความมั่นคงปลอดภัยไปได้ ซึ่งในบทความนี้เราจะขอหยิบยก 8 แนวทางปฏิบัติขั้นพื้นฐานที่ท่านอาจนำไปปรับใช้ในองค์กรได้กับการใช้ SaaS ขององค์กร ดังนี้

1.) ค้นหาและจัดคลังแอปพลิเคชัน

ก่อนที่จะป้องกันการใช้งาน หน้าที่สำคัญก็คือการทราบให้ได้ว่าองค์กรมีการใช้งาน SaaS ใด เพื่อประเมินถึงผลกระทบหรือสถานการณ์ภาพรวม โดยอาจต้องใช้ทั้งเครื่องมือค้นหาอัตโนมัติหรือการเสาะหาข้อมูลด้วยตนเอง ทั้งที่รู้อยู่แต่เดิมในรายการ ประกอบกับการศึกษาพฤติกรรมของแอปพลิเคชัน ข้อมูลเพื่อการตรวจสอบ หรือรายการลำดับความสำคัญในแผนผลกระทบต่อธุรกิจ

2.) สร้าง Single Sign-on(SSO)

ปัญหาหนึ่งของการมี SaaS หลายตัว ก็คือการบริการจัดการตัวตน ซึ่งหากปราศจาก SSO ผู้ใช้งานคงต้องมีจำนวน Credential ตามแต่ละ SaaS เมื่อมีจำนวนมาก ปัญหาที่มักพบเสมอก็คือความรับผิดชอบที่น้อยลงต่อรหัสผ่าน เช่น ใช้รหัสร่วมระหว่างบริการ หรือตั้งรหัสให้ง่ายพอจำได้ โดยผู้ให้บริการ SaaS ส่วนใหญ่มักรองรับการเชื่อมต่อกับผู้ให้บริการตัวตน (IdP) เช่น AD หรือ Entra ID และอื่นๆ ทำให้ผู้ใช้ลดจำนวนการจัดการตัวตนนี้ออกไป

3.) เปิดใช้งาน MFA

Multifactor Authentication หรือ MFA เป็นการเสริมคุณภาพการป้องกันผู้ใช้งานโดยอาจเป็นกลไกเพิ่มในการป้องกันจาก IdP หรือเพิ่มโดยตรงกับ SaaS บางบริการที่ยังไม่รองรับ SSO ผ่าน SAML หรือ OIDC

4.) ศึกษาข้อมูลให้ถี่ถ้วน

แอดมินควรศึกษาบริการอย่างถี่ถ้วนว่าบริการ SaaS ที่เกี่ยวข้องมีฟีเจอร์ด้านความมั่นคงปลอดภัยหรือความเป็นส่วนตัว และโมเดลความรับผิดชอบอย่างไรบ้าง ที่สำคัญควรทราบถึงวัตถุประสงค์ขององค์กรด้วยว่าเหตุใดต้องใช้ SaaS นั้นๆและใช้อย่างไร

5.) เข้ารหัสข้อมูลเสมอ

SaaS มักคุยถึงการเข้ารหัสข้อมูลขณะเดินทางผ่านอินเทอร์เน็ตอยู่แล้วเช่น TLS แต่ถ้าจะให้ดีคือต้องเข้ารหัสข้อมูลระหว่างจัดเก็บได้ด้วย ในบางครั้งอาจเป็นเรื่องพื้นฐาน(default) หรือเป็นทางเลือกที่ผู้ใช้ต้องเปิดเอง แต่ถ้าไม่มีก็ควรแจ้งข้อเสนอแนะแก่ผู้ให้บริการกลับไปว่าเป็นสิ่งที่ควรมี

6.) พิจารณาโซลูชัน CASB

Cloud Access Security Broker (CASB) เป็นเครื่องมือที่ช่วยเพิ่มความสามารถด้านความมั่นคงปลอดภัยมากกว่าที่ SaaS อาจมีให้ เช่น การให้ข้อมูลการใช้งานได้ละเอียดกว่า แต่ก็ต้องพึงระวังเกี่ยวกับโมเดลการ deploy ใช้ CASB ด้วยเช่น โหมดแบบ Proxy หรือ API ซึ่งอย่างหลังยังต้องอาศัยการเปิดให้จากผู้ให้บริการ SaaS ทำให้ CASB รายนั้นอาจมีข้อจำกัดในการรองรับ SaaS ในท้องตลาดได้ไม่ทั้งหมด

7.) พิจารณาโซลูชัน SSPM

ไอเดียของ SaaS Security Posture Management (SSPM) คือการที่ผลิตภัณฑ์ได้เปลี่ยนความคาดหวังในด้านความมั่นคงปลอภัยทางเทคนิคให้เป็นเครื่องมือที่สามารถเปิดใช้ได้ง่ายรองรับกับ SaaS ต่างๆ ที่ผู้ใช้สามารถเรียกดูได้ว่าท่านยังขาดการเปิดใช้อะไรบ้าง

8.) ติดตามและตระหนักรู้ถึงสถานการณ์การใช้งาน SaaS อย่างต่อเนื่อง

ผู้ดูแลควรคอยมอนิเตอร์ดูพฤติกรรมการใช้งานของ SaaS ที่ผ่านเข้าออกอย่างสม่ำเสมอ โดยอาจวิเคราะห์ได้จาก Log ของผู้ให้บริการ หรือ CASB ที่ใช้งานอยู่ก็ได้ ว่ามีการใช้งาน SaaS อย่างไร

ที่มา : https://www.techtarget.com/searchsecurity/tip/6-SaaS-security-best-practices-to-protect-applications