Shadow SaaS là gì? Nguyên nhân, Rủi ro và Mẹo Quản lý

Các đội ngũ an ninh quen thuộc với cảm giác an toàn dễ chịu từ việc sử dụng các kiểm soát bảo mật như nhà cung cấp Đăng nhập một lần (SSO) để quản lý các ứng dụng chính và công cụ quan trọng của tổ chức họ. Khi các ứng dụng này được định tuyến qua Okta, Azure AD hoặc các nhà cung cấp danh tính khác, môi trường SaaS của bạn có thể cảm thấy được quản lý và báo cáo rõ ràng.

Nhưng ẩn sâu bên dưới là một lỗ hổng đáng kể: điểm mù SSO. Trong khi bạn có thể đang giám sát cửa chính, nhân viên truy cập nhiều ứng dụng không được theo dõi thông qua các lối vào bên và cửa sau (đăng nhập xã hội, đăng ký email cá nhân và tạo mật khẩu trực tiếp).

Hiện tượng này, được gọi là Shadow SaaS, không chỉ đơn thuần là một vấn đề về tồn kho. Nó là một rủi ro an ninh phức tạp theo thời gian thực liên quan đến việc phơi bày dữ liệu không kiểm soát, quyền hạn quá mức do người dùng cấp và hành vi không thể đoán trước của nhân viên. Dữ liệu quan trọng của người dùng bị 'bẫy' trong các ứng dụng không được giám sát, khiến cho việc đo lường chính xác hồ sơ rủi ro thực sự của từng cá nhân trở nên không thể, do đó cản trở việc quản lý an ninh hiệu quả. Bài báo này phác thảo một cuốn sổ tay từng bước để đánh giá Shadow SaaS tại tổ chức của bạn và hướng dẫn bạn cách tiến tới một chiến lược quản lý rủi ro tập trung vào người dùng.

Shadow SaaS là gì?

Shadow SaaS đề cập đến bất kỳ phần mềm hoặc ứng dụng dựa trên đám mây nào được nhân viên trong một tổ chức sử dụng mà không có sự biết đến rõ ràng, sự chấp thuận về việc mua sắm, hoặc sự giám sát của các phòng ban CNTT và an ninh. Đây là sự tiến hóa hiện đại và phổ biến hơn của một thách thức bảo mật lâu dài trong cảnh quan kỹ thuật số.

Shadow SaaS khác với Shadow IT như thế nào?

Shadow IT là một thuật ngữ lịch sử rộng hơn để chỉ phần cứng, phần mềm hoặc dịch vụ không được phê duyệt được sử dụng trong một tổ chức. Shadow SaaS, mặt khác, là một phân nhánh cụ thể và đang phát triển nhanh chóng của vấn đề này, tập trung hoàn toàn vào các ứng dụng và dịch vụ đám mây không được quản lý. Ví dụ, Shadow IT bao gồm các thiết bị cá nhân, như laptop, được sử dụng để truy cập dữ liệu công ty, trong khi Shadow SaaS mô tả các ứng dụng web không được phép sử dụng cho các nhiệm vụ như chia sẻ tệp dữ liệu công ty hoặc tóm tắt tài liệu.

Vì các ứng dụng SaaS thường dựa trên web, không yêu cầu cài đặt và có thể truy cập ngay lập tức, nên chúng dễ dàng hơn cho nhân viên tự áp dụng độc lập. Rào cản thấp này làm cho Shadow SaaS trở thành một rủi ro linh hoạt và thách thức hơn để quản lý so với phần mềm tại chỗ không được phê duyệt truyền thống.

Sự gia tăng của Shadow SaaS trong các doanh nghiệp hiện đại

Shadow SaaS đang trở thành một vấn đề lớn trong môi trường làm việc số hiện đại. Có hàng nghìn công cụ SaaS chuyên biệt, thân thiện với người dùng có sẵn, và cùng với sự thay đổi sang mô hình làm việc từ xa và kết hợp, những công cụ này trao quyền cho nhân viên tìm kiếm và áp dụng các ứng dụng giúp tối ưu công việc và nâng cao hiệu suất. Nhu cầu về năng suất thường là một yếu tố tích cực cho doanh nghiệp, nhưng nó trở nên vấn đề khi đặt ra thách thức đáng kể đối với các chính sách bảo mật hiện tại.

Những gì các đội ngũ an ninh đang thiếu: Điểm mù SSO

Yếu tố chính cho phép Shadow SaaS phát triển trong một tổ chức là điểm mù SSO. Hầu hết các đội ngũ bảo mật có cảm giác an toàn sai lệch vì khả năng nhìn thấy của họ bị giới hạn trong các ứng dụng được kết nối với nhà cung cấp danh tính chính thức (IdP) của họ. Các đội có thể thấy và kiểm soát quyền truy cập vào các công cụ được phê duyệt, nhưng điều này chỉ đại diện cho một phần rất nhỏ của toàn bộ bức tranh.

Sự thiếu minh bạch này là một điểm mù khổng lồ, không được theo dõi cho hàng trăm ứng dụng khác mà nhân viên đăng ký bằng các phương pháp khác nhau. Microsoft báo cáo rằng hơn 75% nhân viên sử dụng trí tuệ nhân tạo mang theo các công cụ AI riêng của họ đến nơi làm việc, với con số này tăng lên 80% tại các công ty nhỏ và vừa. Mỗi công cụ đó là một ví dụ điển hình cho Shadow SaaS, đặc biệt khi nhân viên sử dụng 'Đăng nhập bằng Google/Microsoft' với tài khoản công ty hoặc đăng ký bằng email công việc và mật khẩu duy nhất của họ.

Các hành động này hoàn toàn không hiển thị với IdP, điều này có nghĩa là các đội ngũ an ninh không có ý tưởng gì về việc ứng dụng đang được sử dụng, dữ liệu nào đang được chia sẻ, hoặc quyền truy cập nào đã được cấp.

Rủi ro và những hậu quả an ninh của các ứng dụng SaaS không được quản lý

Shadow SaaS ẩn mình theo bản chất và giới thiệu một loạt các rủi ro có thể gây ra hậu quả nghiêm trọng cho các tổ chức - từ rò rỉ dữ liệu và thất bại trong việc tuân thủ đến thiệt hại danh tiếng đáng kể.

Bảo mật dữ liệu, rủi ro tuân thủ và AI bóng

Nhân viên thường xử lý thông tin nhạy cảm hoặc bí mật khi họ sử dụng các ứng dụng SaaS không được kiểm duyệt. Ví dụ bao gồm việc tải lên danh sách khách hàng vào một công cụ tiếp thị mới, phân tích dữ liệu tài chính trong một nền tảng phân tích không được phê duyệt, hoặc đưa thông tin độc quyền của công ty vào một công cụ 'AI Bóng Đen' không được chấp thuận. Tuy nhiên, do các ứng dụng này chưa được xem xét hoặc kiểm tra theo các tiêu chuẩn bảo mật, nên không có đảm bảo nào về cách thức họ lưu trữ, xử lý hoặc bảo vệ dữ liệu. Lỗ hổng này có thể dẫn đến mất dữ liệu hoặc gây ra vi phạm tuân thủ nghiêm trọng nếu dữ liệu đó thuộc về các quy định bảo vệ dữ liệu như GDPR, HIPAA hoặc CCPA.

Mối nguy hiểm ẩn chứa của quyền truy cập quá ưu đãi

Những rủi ro liên quan đến Shadow SaaS cũng bao gồm các quyền hạn mà nó được cấp. Nhân viên thường phê duyệt các yêu cầu quyền hạn rộng rãi mà không xem xét kỹ lưỡng, đặc biệt nếu họ muốn sử dụng một ứng dụng càng sớm càng tốt. Những quyền hạn này có thể bao gồm việc cấp quyền "đọc tất cả email", "xem và quản lý tất cả các tệp trên Google Drive", "truy cập toàn bộ danh bạ của bạn", và nhiều hơn nữa.

Khi một nhân viên vô tình cấp quyền quá mức cho một ứng dụng bên thứ ba chưa được kiểm tra, họ thực sự tạo ra một kẽ hở tiềm ẩn về dữ liệu có thể dẫn đến các lỗ hổng bảo mật nghiêm trọng. Nếu nhà cung cấp SaaS đó bị xâm phạm hoặc nếu chính ứng dụng đó là độc hại, các kẻ tấn công có thể lợi dụng quyền truy cập quá mức đó để tiếp cận và đánh cắp một lượng lớn thông tin nhạy cảm.

Hậu quả về danh tiếng và những mối quan tâm ở cấp hội đồng quản trị

Các vi phạm dữ liệu do các ứng dụng Shadow SaaS bị xâm phạm có thể gây ảnh hưởng nghiêm trọng đến uy tín và lợi nhuận của một công ty. Việc mất niềm tin từ khách hàng có thể rất khó khăn, nếu không muốn nói là không thể, để khôi phục. Kết hợp với bức tranh ngày càng phức tạp của các sự cố an ninh mạng và các vụ rò rỉ dữ liệu quy mô lớn, các hội đồng quản trị và ban lãnh đạo ngày càng lo ngại về những loại rủi ro này.

Các phòng IT không thể chứng minh được sự nhìn thấy và kiểm soát toàn bộ môi trường SaaS của họ (bao gồm cả Shadow SaaS) sẽ gây ra mối đe dọa đáng kể cho quản trị tổ chức và các khuôn khổ quản lý rủi ro.

Cách để phát hiện và quản lý Shadow SaaS một cách hiệu quả

Giải quyết Shadow SaaS đòi hỏi một cách tiếp cận đa dạng. Thay vì chỉ chặn các ứng dụng đã biết, mục tiêu của bạn nên là phát hiện, đánh giá và quản lý toàn bộ phạm vi sử dụng SaaS trong tổ chức của bạn.

Bước 1: Khám phá những điều chưa biết thông qua kiểm tra kỹ thuật

Bước đầu tiên là có được tầm nhìn vượt ra ngoài nhà cung cấp SSO của tổ chức bạn để phát hiện các ứng dụng SaaS không được phép. Các cuộc kiểm toán kỹ thuật là rất quan trọng để xác định lưu lượng truy cập đến các dịch vụ đám mây không xác định và các ứng dụng không được phê duyệt. Các đội ngũ CNTT nên tập trung vào việc phân tích:

Nhật ký DNS và tường lửa để xác định các kết nối thường xuyên đến các miền ứng dụng đám mây không được nhận diện.
Danh sách tiện ích mở rộng của trình duyệt để xem các plugin mà nhân viên đã cài đặt, vì nhiều cái trong số đó là cổng kết nối đến các dịch vụ SaaS.
Dữ liệu điểm cuối từ các công cụ EDR có thể tiết lộ các quy trình và kết nối mạng liên quan đến các ứng dụng không được phê duyệt.
Nhật ký tích hợp SaaS từ các nền tảng được chấp thuận của bạn (như Google Workspace hoặc Microsoft 365) để xem những ứng dụng bên thứ ba mà người dùng đã cho phép.

Bước 2: Kết nối với nhân viên để hiểu lý do "tại sao"

Khám phá phần mềm dưới dạng dịch vụ (SaaS) kỹ thuật cho bạn biết cái gì đang được sử dụng, nhưng nó không tiết lộ động lực cơ bản. Hiểu được "tại sao" là vô cùng quan trọng để xác định các nhu cầu kinh doanh hoặc khoảng trống trong quy trình làm việc đang khiến nhân viên phải sử dụng các công cụ không được phê duyệt cho các chức năng khác nhau. Hãy tương tác với nhân viên thông qua các khảo sát tình huống sử dụng hoặc danh mục ứng dụng tập trung, với sự tập trung vào một cách tiếp cận hợp tác với an ninh. Thông tin này có thể giúp bạn xác định nhu cầu cho các công cụ được phê duyệt mới một cách chính thức và nuôi dưỡng một văn hóa an ninh hợp tác, nơi nhân viên trở thành đối tác thay vì kẻ thù.

Bước 3: Di chuyển từ tồn kho sang việc ưu tiên rủi ro thông minh

Quản lý Shadow SaaS không chỉ dừng lại ở việc phát hiện—với hàng trăm ứng dụng Shadow SaaS có thể đang được sử dụng, cố gắng xử lý từng ứng dụng một là không hiệu quả. Mục tiêu là ưu tiên rủi ro một cách thông minh, bắt đầu bằng cách sử dụng xếp hạng an ninh nhà cung cấp để có được một điểm số nhanh chóng, khách quan về tư thế an ninh của một ứng dụng đã được phát hiện.

Cũng hãy xem xét việc kết nối việc sử dụng ứng dụng đã phát hiện với từng nhân viên và tổng hợp điều này với các điểm dữ liệu khác để tạo ra một điểm số rủi ro người dùng thống nhất, cung cấp cái nhìn tổng thể về các lỗ hổng tiềm ẩn. Chẳng hạn, một người dùng đã kết nối với một công cụ quản lý dự án không chính thức và có mức độ rủi ro thấp là ưu tiên thấp hơn nhiều so với một người dùng có quyền truy cập không được phép vào nhiều ứng dụng có mức độ rủi ro cao, có lịch sử quản lý mật khẩu kém và gần đây đã không vượt qua một bài kiểm tra mô phỏng phishing. Cách tiếp cận tập trung vào người dùng này cho phép bạn tập trung nguồn lực hạn chế của mình vào những người dùng và ứng dụng đang gây ra mối đe dọa đáng kể nhất.

Bước 4: Thực hiện một chiến lược phản hồi tinh tế

Bây giờ khi bạn đã ưu tiên các rủi ro, bạn có thể vượt ra ngoài một tư duy đơn giản là “chặn tất cả” để có một phản ứng tinh vi hơn dựa trên rủi ro. Việc thực hiện cách tiếp cận này không chỉ đơn thuần là từ chối truy cập; mà còn là để tạo điều kiện cho sự an toàn của doanh nghiệp. Một chiến lược phản ứng vững chắc nên bao gồm những điều sau:

Thẩm định và xử phạt: Thiết lập quy trình nhanh chóng để thẩm định và chính thức xử phạt các ứng dụng có giá trị cao và rủi ro thấp mà nhân viên đang sử dụng.
Cung cấp các lựa chọn thay thế: Đối với các ứng dụng có rủi ro cao hoặc ứng dụng dư thừa, hãy cung cấp và tích cực quảng bá một lựa chọn đã được cấp phép, an toàn, đáp ứng nhu cầu kinh doanh tương tự, từ đó giải quyết vấn đề của người dùng và giảm thiểu rủi ro.
Áp dụng kiểm soát chi tiết: Đối với các ứng dụng có rủi ro vừa phải nhưng quan trọng cho doanh nghiệp, hãy thực hiện các biện pháp bảo mật chi tiết thông qua các chính sách truy cập hoặc các công cụ môi giới bảo mật truy cập đám mây (CASB) để hạn chế các hoạt động rủi ro cao hoặc giới hạn quyền truy cập vào dữ liệu nhạy cảm, từ đó nâng cao tư thế bảo mật tổng thể.
Chặn và giáo dục: Chỉ sử dụng việc chặn hoàn toàn cho những ứng dụng có rủi ro cao nhất. Khi một lệnh chặn được thực hiện, hãy coi đó là một cơ hội để giáo dục người dùng về lý do tại sao công cụ đó được cho là không an toàn và hướng dẫn họ đến một lựa chọn an toàn, củng cố các thực hành an toàn.

Vượt qua điểm mù: Một cách tiếp cận mới cho an ninh SaaS

Chỉ dựa vào việc giám sát SSO tạo ra một điểm mù nguy hiểm, khiến các tổ chức dễ bị tổn thương trước những rủi ro phổ biến của Shadow SaaS. Mối nguy thực sự không chỉ nằm ở sự tồn tại của những ứng dụng không được phê duyệt này, mà còn ở các quyền truy cập quá mức và dữ liệu chưa được xác minh đi kèm với chúng. Con đường phía trước đòi hỏi một phương pháp chiến lược, tập trung vào người dùng, mà vượt ra ngoài việc chỉ đơn giản làm danh sách để đến với một chu trình liên tục của việc khám phá, đánh giá rủi ro và phản ứng tinh tế. Bảo mật SaaS thực sự đến từ việc hiểu không chỉ những ứng dụng nào đang được sử dụng, mà còn là ai đang sử dụng chúng và cách thức sử dụng.

Đây là nơi mà một giải pháp tận tâm trở nên quan trọng. UpGuard giúp các tổ chức triển khai chiến lược chủ động này vào thực tế bằng cách cung cấp một nền tảng thống nhất để giải quyết các thách thức của Shadow SaaS. Các khả năng chính bao gồm:

Quản lý bề mặt tấn công toàn diện: Xác định và theo dõi tất cả tài sản số của tổ chức bạn, bao gồm các nền tảng SaaS chưa được biết đến hoặc không được phê duyệt, để loại bỏ điểm mù SSO.
Khám phá liên tục và cảnh báo: Nhận thông báo kịp thời khi phát hiện ứng dụng mới hoặc không được phép trong môi trường của bạn, giảm thiểu các lỗ hổng bảo mật do Shadow SaaS tạo ra.
Thông tin rủi ro theo hướng người dùng: Nắm bắt sâu sắc những rủi ro về quyền hạn và hành vi của người dùng liên quan đến việc áp dụng SaaS, giúp quản lý tư thế bảo mật proact hơn và thông tin hơn.

Cách tiếp cận này giúp các nhóm an ninh hiểu rõ hơn và giảm thiểu các mối đe dọa, hỗ trợ một môi trường SaaS an toàn và được quản lý tốt hơn.