امروز بسیاری از فرایندهای سازمانی روی نرم‌افزارهای SaaS انجام می‌شوند؛ از مدیریت پروژه و ارتباط با مشتری تا اشتراک فایل، منابع انسانی و ابزارهای همکاری تیمی. اما با افزایش تعداد این سرویس‌ها، یک سؤال مهم برای تیم IT و امنیت مطرح می‌شود: آیا سازمان واقعاً می‌داند چه سرویس‌هایی استفاده می‌شوند، چه داده‌ای در آن‌ها قرار دارد و چه کسانی یا چه برنامه‌هایی به این داده‌ها دسترسی دارند؟
امنیت نرم‌افزارهای SaaS فقط به امنیت زیرساخت ارائه‌دهنده محدود نمی‌شود. سازمان همچنان درباره هویت کاربران، مجوزها، داده‌های واردشده به سرویس، اتصال برنامه‌های شخص ثالث و نحوه استفاده از سرویس تصمیم می‌گیرد. به همین دلیل، امنیت SaaS باید به‌عنوان یک فرایند مستمر برای شناسایی، ارزیابی، کنترل و پایش در نظر گرفته شود؛ رویکردی که با توصیه‌های NIST درباره کنترل دسترسی در محیط‌های SaaS نیز هم‌راستاست.
امنیت SaaS چیست و چه مسئولیتی بر عهده سازمان قرار دارد؟
در مدل SaaS، بخش مهمی از زیرساخت، نرم‌افزار و عملیات سرویس توسط ارائه‌دهنده مدیریت می‌شود. اما این موضوع به معنی انتقال تمام مسئولیت‌های امنیتی به سرویس‌دهنده نیست. سازمان همچنان باید مشخص کند چه کاربرانی به سرویس دسترسی دارند، هر کاربر چه سطحی از مجوز را دریافت می‌کند، چه داده‌ای در سرویس قرار می‌گیرد و چه برنامه‌هایی می‌توانند به آن داده دسترسی داشته باشند.
برای مثال، ممکن است یک سرویس از کنترل‌های امنیتی مناسب برخوردار باشد، اما یک حساب کاربری سرقت‌شده، یک لینک عمومی برای فایل محرمانه یا یک برنامه OAuth با مجوزهای بیش از نیاز، مسیر دیگری برای دسترسی به داده‌های سازمان ایجاد کند. بنابراین مسئولیت امنیت SaaS را می‌توان در پنج حوزه دید:
هویت و دسترسی، حفاظت از داده، کنترل سرویس‌ها، مدیریت اتصال‌های شخص ثالث و پایش فعالیت‌ها.
مهم‌ترین خطرات امنیتی نرم‌افزارهای SaaS
استفاده از سرویس‌های تأییدنشده یا Shadow SaaS
کارکنان ممکن است برای انجام سریع‌تر کارها، بدون هماهنگی با IT از سرویس‌هایی برای انتقال فایل، مدیریت پروژه، ذخیره اطلاعات یا پردازش داده استفاده کنند. مشکل اصلی فقط خود سرویس نیست؛ مسئله این است که سازمان ممکن است از وجود آن، نوع داده ذخیره‌شده و سطح دسترسی کاربران اطلاع نداشته باشد. این وضعیت بخشی از پدیده Shadow IT است و می‌تواند دید تیم امنیت را نسبت به سطح واقعی حمله کاهش دهد.
به همین دلیل، اولین گام در امنیت اپلیکیشن‌های ابری، ایجاد دید نسبت به سرویس‌های واقعاً مورد استفاده در سازمان است. راهکارهای Cloud Discovery نیز دقیقاً با هدف شناسایی سرویس‌های ابری مورد استفاده و Shadow IT به کار می‌روند.
تصاحب حساب‌های کاربری
در SaaS، حساب کاربر می‌تواند مستقیماً به داده‌ها و قابلیت‌های سازمانی متصل باشد. بنابراین تصاحب یک حساب ممکن است مهاجم را به فایل‌ها، اطلاعات مشتریان، پروژه‌ها یا سایر منابع برساند. MFA و SSO می‌توانند بخشی از این ریسک را کاهش دهند، اما کنترل دسترسی نباید به احراز هویت محدود شود. حساب‌های بلااستفاده، مجوزهای اضافی، Sessionهای فعال و دسترسی‌های باقی‌مانده نیز باید مدیریت شوند.
اشتراک‌گذاری ناامن اطلاعات
قابلیت اشتراک‌گذاری سریع، یکی از مزیت‌های SaaS است؛ اما همین قابلیت می‌تواند مسیر خروج داده را نیز ایجاد کند. اشتراک‌گذاری عمومی فایل، دادن دسترسی به دامنه‌های خارجی یا انتقال اطلاعات سازمانی به حساب شخصی نمونه‌هایی از این وضعیت هستند. بنابراین حفاظت از داده‌ها در SaaS نیازمند سیاست مشخصی برای اینکه چه داده‌ای، با چه کسی و تحت چه شرایطی قابل اشتراک‌گذاری است.
اتصال برنامه‌ها و افزونه‌های شخص ثالث
برنامه‌های شخص ثالث که از طریق API یا OAuth به سرویس SaaS متصل می‌شوند، بخش مهم دیگری از سطح حمله هستند. در اینجا فقط اعتبار توسعه‌دهنده برنامه مهم نیست. باید مشخص شود برنامه چه مجوزهایی درخواست کرده، به چه داده‌هایی دسترسی دارد، چه کاربرانی آن را تأیید کرده‌اند و آیا این دسترسی هنوز ضروری است. مستندات Microsoft نیز بر مشاهده مجوزها، کاربران تأییدکننده و رفتار برنامه‌های OAuth تأکید می‌کند.
چگونه امنیت نرم‌افزارهای SaaS را تأمین کنیم؟
یک مدل عملی برای مدیریت امنیت SaaS را می‌توان در چرخه زیر خلاصه کرد:
شناسایی → ارزیابی → کنترل → پایش → واکنش
۱. شناسایی و ثبت تمام سرویس‌های SaaS سازمان
ابتدا باید مشخص شود سازمان واقعاً از چه سرویس‌هایی استفاده می‌کند؛ نه فقط سرویس‌هایی که در فهرست رسمی IT قرار دارند. برای هر سرویس بهتر است حداقل این موارد ثبت شود:
- واحد یا تیم استفاده‌کننده
- مالک سرویس
- نوع داده ذخیره‌شده
- کاربران دارای دسترسی
- وضعیت تأیید امنیتی
- اتصال‌های API و OAuth
این فهرست باید دوره‌ای به‌روزرسانی شود تا سرویس‌های جدید و Shadow SaaS نیز وارد فرایند ارزیابی شوند.
۲. ارزیابی امنیت سرویس‌دهنده پیش از خرید
پیش از خرید SaaS، امکانات و قیمت تنها معیار تصمیم‌گیری نباشند. تیم امنیت باید درباره MFA، SSO، کنترل دسترسی، Audit Log، حفاظت از داده، مدیریت رخداد و نحوه حذف یا بازگرداندن داده پس از پایان قرارداد سؤال کند. استانداردها و گواهی‌های امنیتی ارائه‌دهنده می‌توانند بخشی از ارزیابی باشند، اما بهتر است در کنار قابلیت‌های واقعی سرویس و الزامات سازمان بررسی شوند.
۳. مدیریت چرخه دسترسی کاربران
دسترسی کاربر باید از زمان ورود به سازمان تا تغییر سمت و خروج او مدیریت شود. اصل حداقل دسترسی یعنی کاربر فقط مجوزهایی را دریافت کند که برای انجام وظیفه خود نیاز دارد. اما در SaaS، این کنترل باید در طول زمان نیز بازبینی شود؛ زیرا نقش افراد تغییر می‌کند و دسترسی‌های قدیمی ممکن است بدون استفاده باقی بمانند.
۴. محدودکردن اشتراک‌گذاری داده‌های سازمانی
ابتدا داده‌های حساس را مشخص کنید و سپس قواعد اشتراک‌گذاری متناسب با حساسیت آن‌ها تعریف کنید.
برای مثال، سازمان می‌تواند اشتراک‌گذاری عمومی، دسترسی کاربران خارجی یا دانلود برخی داده‌های حساس را تحت کنترل بیشتری قرار دهد. هدف، حذف قابلیت اشتراک‌گذاری نیست؛ بلکه کاهش اشتراک‌گذاری‌های بدون ضرورت تجاری است.
۵. بررسی افزونه‌ها، APIها و اتصال‌های OAuth
فهرست برنامه‌های متصل به سرویس‌های SaaS باید به‌صورت دوره‌ای بررسی شود. برای هر برنامه این سؤال‌ها را مطرح کنید:
- چه کسی اتصال را ایجاد کرده است؟
- چه مجوزهایی دریافت کرده است؟
- به چه داده‌هایی دسترسی دارد؟
- آخرین بار چه زمانی استفاده شده است؟
- آیا هنوز به آن نیاز داریم؟
برنامه‌های بدون استفاده، بیش‌ازحد مجاز یا دارای رفتار غیرعادی باید برای بررسی بیشتر در اولویت قرار گیرند. راهکارهای App Governance نیز دقیقاً بر مشاهده مجوزها، میزان استفاده، برنامه‌های بیش‌ازحد مجاز و برنامه‌های بدون استفاده تمرکز دارند.
۶. ثبت و پایش فعالیت‌های مشکوک
Audit Log فقط برای بررسی حادثه پس از وقوع آن نیست. رویدادهایی مانند ورود غیرعادی، تغییر سطح دسترسی، دانلود گسترده فایل‌ها، اشتراک‌گذاری عمومی یا ایجاد اتصال جدید می‌توانند برای شناسایی رفتار مشکوک مورد استفاده قرار گیرند. در سازمان‌هایی که تعداد سرویس‌های SaaS زیاد است، تجمیع این رویدادها و تعریف قواعد مشخص برای هشدار می‌تواند دید تیم امنیت را بهبود دهد.
چگونه دسترسی کارکنان سابق به سرویس‌های SaaS را قطع کنیم؟
Offboarding نباید با غیرفعال‌کردن حساب کاربری سازمانی تمام شود. هنگام خروج کارمند باید حساب‌های SaaS، Sessionهای فعال، API Tokenها و اتصال‌های OAuth او نیز بررسی شوند. همچنین باید مالکیت فایل‌ها، پروژه‌ها و منابع کاری مورد نیاز پیش از حذف حساب به فرد یا حساب سازمانی مناسب منتقل شود. یک نکته مهم این است که تغییر یا حذف رمز عبور همیشه به معنی پایان تمام دسترسی‌ها نیست؛ بنابراین در زمان خروج کاربر، Sessionها و Tokenهای فعال نیز باید بررسی و در صورت نیاز لغو شوند.
هنگام وقوع حادثه امنیتی در یک سرویس SaaS چه اقداماتی انجام دهیم؟
در صورت مشاهده نشانه‌های نفوذ، سرقت حساب یا نشت داده، واکنش باید سریع اما کنترل‌شده باشد:
- حساب یا دسترسی مشکوک را مهار کنید.
- Sessionها و Tokenهای مشکوک را لغو کنید.
- لاگ‌های ورود و فعالیت را حفظ کنید.
- برنامه‌ها و اتصال‌های OAuth را بررسی کنید.
- مشخص کنید چه داده‌هایی در معرض دسترسی قرار گرفته‌اند.
- در صورت نیاز، حادثه را به سرویس‌دهنده گزارش کنید.
- پس از مهار حادثه، علت اصلی و کنترل ناکارآمد را بررسی کنید.
در این مرحله، فقط تغییر رمز عبور کافی نیست. اگر مهاجم از یک Token یا اتصال برنامه‌ای سوءاستفاده کرده باشد، باید همان مسیر دسترسی نیز شناسایی و مسدود شود.
چک‌لیست ارزیابی امنیت نرم‌افزارهای SaaS
برای یک ارزیابی سریع، تیم IT یا امنیت می‌تواند هر سرویس SaaS را در پنج حوزه بررسی کند:
هویت و دسترسی
- آیا MFA و SSO فعال یا قابل استفاده است؟
- آیا دسترسی‌ها بر اساس نقش تعریف شده‌اند؟
- آیا دسترسی کارکنان سابق به‌موقع حذف می‌شود؟
داده
- آیا نوع و حساسیت داده‌های ذخیره‌شده مشخص است؟
- آیا اشتراک‌گذاری خارجی و عمومی کنترل می‌شود؟
- آیا فرایند مشخصی برای حذف یا بازگرداندن داده وجود دارد؟
برنامه‌ها و اتصال‌ها
- آیا OAuth Appها و APIها شناسایی شده‌اند؟
- آیا مجوزهای بیش‌ازحد یا اتصال‌های بلااستفاده بررسی می‌شوند؟
- آیا ایجاد اتصال جدید تحت کنترل است؟
پایش
- آیا Audit Log در دسترس است؟
- آیا ورودها و فعالیت‌های غیرعادی قابل شناسایی هستند؟
- آیا تغییر مجوزها و دانلودهای غیرعادی پایش می‌شوند؟
واکنش به حادثه
- آیا مالک سرویس و مسئول پاسخ‌گویی مشخص است؟
- آیا امکان لغو Session و Token وجود دارد؟
- آیا فرایند مشخصی برای گزارش و بررسی حادثه وجود دارد؟
این چک‌لیست کمک می‌کند ارزیابی SaaS از یک بررسی کلی به یک فرایند قابل‌اندازه‌گیری و قابل تکرار تبدیل شود.
جمع‌بندی؛ امنیت SaaS یک فرایند مستمر است
امنیت نرم‌افزارهای SaaS با انتخاب یک سرویس‌دهنده معتبر پایان نمی‌یابد. سازمان باید به‌صورت مستمر بداند چه سرویس‌هایی استفاده می‌شوند، چه داده‌ای در آن‌ها قرار دارد، چه کسانی به داده دسترسی دارند و چه برنامه‌هایی به آن متصل هستند.
برای رسیدن به این وضعیت، سازمان به یک فرایند منظم نیاز دارد: شناسایی سرویس‌ها، ارزیابی ریسک، کنترل هویت و داده، بررسی اتصال‌های شخص ثالث، پایش فعالیت‌ها و آمادگی برای واکنش به حادثه.
هدف امنیت SaaS نیز جلوگیری از استفاده از سرویس‌های ابری نیست؛ هدف، ایجاد دید و کنترل کافی برای استفاده امن از آن‌ها است.
