[前回] ゼロトラストのディープダイブ(6)-SSE(Security Service Edge)
はじめに
前回まで、クラウド・セキュリティの四つの技術
- SASE(Secure Access Service Edge)
- SSE(Security Service Edge)
- SSPM(SaaS Security Posture Management)
- CNAPP(Cloud Native Application Protection Platforms)
の中から、SASEとSSEを勉強しました。
今回は、SSPM(SaaSセキュリティ状態管理)を勉強します。
SaaSセキュリティの背景
- テレワーク導入が進み、SaaSアプリケーションの利用が増えた
- SaaS(Software as a Service: サース)とは
- インターネット経由のソフトウェア提供形態で、必要な機能を必要な分だけサービスとして利用できる
- SaaSの例
- Web会議システム
- チャットツール
- オンラインストレージ
- SaaS(Software as a Service: サース)とは
- SaaSで機密データを扱うには、高度なセキュリティが求められる
- SaaSアプリケーションから情報流出などインシデント発生
- インシデントの原因は二つ
- サービス提供者: SaaSアプリケーションの脆弱性
- サービス利用者: アクセス権限の設定不備による情報漏洩
クラウドセキュリティの責任共有モデル
- セキュリティ設定の適切な実施/監視は、サービス利用者の責任
- 全体のグローバル設定
- 個々のユーザーロールと権限設定
- SaaS管理者による設定ミスや誤ったレポート共有などが情報漏洩の元
- セキュリティ担当者は、アプリケーション/ユーザー/設定を把握し
- 業界/企業のポリシーに準拠しているか確認する必要あり
現状、SaaSセキュリティ対策の問題点
- 大量のセキュリティ設定/アクセス権限の把握に、手間や負担が大きい
- SaaSアプリケーション設定が可視化されず、把握が難しい
- 進化が速く複雑化するクラウド・セキュリティに対するスキル不足
- SaaSアプリケーションにおける管理能力とガバナンスの欠如
SSPM(SaaSセキュリティ状態管理)とは
- 定義
- クラウドの設定不備を監視しセキュリティ状態を管理するソリューション
- SaaSアプリケーションのセキュリティリスクを継続的に評価
- 目的
- 脆弱性がサイバー攻撃に利用される前に、設定不備に気付き迅速に対処
- 設定ミスを監査し、コンプライアンスに準拠しているか継続的にチェック
- 機能要点
- モニタリング
- アラート
- 修復
SSPMに求められる機能
- SaaSセキュリティ設定を詳細レベルで可視化
- セキュリティ・チェックによりリスク領域を減らす観点から、SaaS環境の設定状況を把握
- 設定に関する詳細情報を提供し、モニタリング/アラートを実施可能にする
- ネイティブSaaSセキュリティ設定に関するレポート機能
- セキュリティ設定の継続的な監視と修復
- 設定不備とリスクを継続的に監視
- リスク軽減策の提案と設定ミスの修復
- SaaSアプリケーションとの統合
- SSPMとSaaSアプリケーションの統合により、あらゆるタイプの設定ミスをチェック/対応可能
- 簡単に導入でき、新しいSaaSアプリケーションを監視対象に追加可能
- セキュリティ・チェックの網羅性
- セキュリティ・チェックの範囲と深さにおける網羅性
- ドメイン全般に対し、セキュリティリスクを追跡/監視
- アイデンティティ許可の管理
- 内部ユーザーのアイデンティティとアクセス管理
- 外部ユーザーのアクセス制御
- プライバシー保護と制御
- コンプライアンス・ポリシーの策定
- セキュリティ・フレームワークの導入
- ベンチマークによるセキュリティ診断
SSPMが企業にもたらすメリット
- クラウド・セキュリティ障害の元となる構成ミスを継続的にスキャン/排除し、リスク低減
- 担当者の目視では発見が困難な設定ミスを、機械的に検知可能なソリューションを提供
- ※ CASB(クラウド・アクセス・セキュリティ・ブローカ)では対応しきれない
- CASBも、SaaSレイヤーで機密データへのアクセスを保護するが
- 高度な攻撃や複雑な構成ミスには対応できない
- SaaSセキュリティ体制を可視化し、業界標準や企業ポリシーへの準拠をチェック
- 一部SSPMソリューションは、複雑化するSaaS設定ミスを自動修正する機能を提供
- セキュリティ対策効率が大幅に向上し、機密データの保護が可能に
おわりに
SSPM(SaaSセキュリティ状態管理)の理論について勉強しました。
次回は、クラウド・セキュリティの四つの技術で、残りの
CNAPP(Cloud Native Application Protection Platforms)
を勉強します。お楽しみに。