云安全联盟（CSA）发布的《2022年软件即服务（SaaS）安全调查报告》，调查了当今企业首席信息安全官（CISO）和安全专业人员眼中的SaaS安全态势。不仅可以帮助大家了解SaaS安全中日益增长的风险，还可以了解不同的组织是如何努力确保自身安全的。

受访者大多来自美洲（71%），另有17%来自亚洲，13% 来自欧洲、中东和非洲。在这些参与者中，49%影响决策过程，而39%自己运行决策过程。该报告调查了来自不同行业的组织，包括电信（25%）、金融（22%）和政府（9%）等。

7点关键发现

这项调查有很多收获，以下确定了最重要的7点发现：

1. SaaS错误配置导致安全事件

自2019年以来，SaaS错误配置已经成为组织的头等大事，至少有43%的组织报告称，他们已经处理过由SaaS错误配置引发的一起或多起安全事件。然而，鉴于许多其他组织表示他们并不知道自己是否经历过安全事件，因此，与SaaS配置错误相关的事件数量可能高达63%。与基础设施即服务（IaaS）错误配置导致的17%的安全事件相比，这些数字着实令人震惊。

2. 缺乏可见性和授权过多访问被报告为SaaS错误配置的主要原因

虽然导致SaaS错误配置的因素有很多，但调查受访者将其缩小为两个主要原因——授权太多部门访问SaaS安全设置（35%），以及缺乏对SaaS安全设置变化的可见性（34 %）。这是两个相关的问题，缺乏可见性的主要原因之一就是太多的部门可以访问安全设置，而这些部门中的许多都没有接受过适当的培训，也并未专注于安全性。

3. 对业务关键型SaaS应用程序的投资超过了SaaS安全工具和人员投资

众所周知，企业正在加速采用更多的应用程序——仅在过去一年，就有81%的受访者表示他们增加了对业务关键型SaaS应用程序的投资。然而，另一方面，为确保SaaS安全性而对安全工具（73%）和人员（55%）的投资却相对较低。这种不协调意味着现有安全团队监控SaaS安全性的负担正日益增加。

4. 手动检测和修复SaaS错误配置加剧组织暴露程度

调查显示，46%的受访组织采用手动方式监控其SaaS安全性，且每月只进行一次或更少的检测，而5%的组织根本不进行任何检测。在发现错误配置后，安全团队还需要额外的时间来解决它。大约四分之一的组织需要一周或更长时间才能手动修复错误的配置。这个漫长的时间差加剧了组织面临的暴露风险。

5. 使用SSPM可以缩短检测和修复SaaS错误配置的时间

好消息是，已经实施SaaS安全配置管理（SSPM）的组织可以更快、更准确地检测和修复他们的SaaS错误配置。这些组织中的大多数（78%）使用SSPM每周或更多次地检查其SaaS安全配置。而在解决错误配置方面，81%使用SSPM的组织能够在一天到一周内解决它。

6. 第三方应用程序访问是最受关注的问题

第三方应用程序，也称为无代码（no-code）或低代码（low-code）平台，可以提高生产力并实现混合工作。它们对于构建和扩展公司的工作流程至关重要。然而，现实表明许多用户会在不考虑这些应用程序请求什么权限的情况下快速连接第三方应用程序。如此一来，授予这些第三方应用程序的权限和后续访问可能是无害的，也可能与可执行文件一样恶意。

如果缺乏对SaaS到SaaS（SaaS-to-SaaS）供应链的可见性，员工可能正将其连接到组织的关键业务应用程序，而安全团队却无法察觉许多潜在的威胁。随着组织加速采用SaaS应用程序，他们最关心的问题之一就是缺乏可见性，尤其是第三方应用程序访问核心SaaS堆栈的可见性（56%）。

7. 提前规划和实施SSPM

虽然SaaS安全配置管理（SSPM）类别在两年前才被引入市场，但它正在迅速发展成熟。在评估四种云安全解决方案时，SSPM的平均评级为“有些熟悉”。此外，62%的受访者表示他们已经在使用SSPM或计划在未来24个月内实施。

结语

《2022年SaaS安全调查报告》提供了有关组织如何使用和保护其SaaS应用程序的见解。毫无疑问，随着公司继续采用更多的业务关键型SaaS应用程序，风险也会日益加剧。面对这一挑战，企业组织应该开始通过下述两个最佳实践来保护自己：

确保安全团队能够全面了解所有的SaaS应用程序安全设置，包括第三方应用程序访问权限和用户权限，这反过来又允许各部门保持其访问权限，不要冒险进行不当更改而使组织面临易受攻击的风险。

企业组织应该利用自动化工具（例如SSPM）来持续监控和快速修复SaaS安全错误配置。 这些自动化工具允许安全团队近乎实时地识别和修复问题，从而减少组织易受攻击的总体时间或防止问题一起发生。

实施这两项最佳实践可以为您的安全团队提供支持，同时确保部门无缝、高效地实现协作。

本文翻译自：https://threatpost.com/saas-security-key-findings/179717/如若转载，请注明原文地址