Купили SaaS. А где заканчивается ответственность сервиса и начинается ваша?

🌐 CRM, корпоративная почта, ЭДО, таск-трекеры – облачные сервисы упрощают работу бизнеса. Провайдер обслуживает инфраструктуру и обновляет платформу. Кажется, с безопасностью тоже всё под контролем.

‼️ Но есть нюанс: провайдер не отвечает за всё. Провайдер защищает инфраструктуру и платформу – в пределах своей зоны ответственности.

🔒 За что отвечает компания?

➖ Учётные записи и права доступа;
➖ Многофакторная аутентификация;
➖ Настройки сервисов и интеграций;
➖ Контроль действий сотрудников;
➖ Резервное копирование и восстановление данных.

Это модель разделения ответственности. Например, Microsoft отдельно указывает, что при использовании SaaS клиент продолжает отвечать за свои данные, учётные записи и управление доступом.

🌧 Облачные решения также остаются целью атак - по данным исследования Thales к наиболее уязвимым объектам бизнеса относятся:

➖ Облачные хранилища (35%);
➖ SaaS-приложения (34%);
➖ Облачная инфраструктура управления (32%).

Даже защищённый сервис не спасёт от последствий избыточных прав, забытых учётных записей или небезопасных интеграций.

✅ Проверьте безопасность своих SaaS-сервисов по чек-листу:
✅ Все используемые сервисы учтены;
✅ За каждый сервис назначен ответственный;
✅ Включена MFA;
✅ Права доступа регулярно пересматриваются;
✅ OAuth-приложения и интеграции проверяются;
✅ Доступы уволенных сотрудников отзываются;
✅ Для критичных данных предусмотрено резервное копирование;
✅ Есть план действий на случай инцидента.

⚠️ Главное: передавая инфраструктуру провайдеру, компания не передаёт ему всю ответственность за информационную безопасность.

Облако – не значит, что о безопасности можно забыть. Не уверены, всё ли под контролем? Напишите нам – поможем разобраться в рисках, проверить настройки безопасности и закрыть выявленные уязвимости.

Telegram | MAX