如果企業(yè)正在使用一個或多個SaaS平臺，那么實行SaaS安全態(tài)勢管理將是該企業(yè)整體安全計劃中的關鍵組成部分。SaaS代表“軟件即服務”，意味著業(yè)務系統(tǒng)沒有安裝在本地，需要通過互聯(lián)網(wǎng)來訪問，如何確保系統(tǒng)和數(shù)據(jù)就是安全的？企業(yè)不能僅僅依靠服務提供商為自己做好安全防護工作。

SaaS安全態(tài)勢管理是指持續(xù)評估和管理組織駐留在SaaS平臺中的業(yè)務和數(shù)據(jù)安全風險。包括漏洞掃描、滲透測試及幫助了解數(shù)據(jù)潛在風險等方面。它可以幫助企業(yè)制定合適的安全措施以保護數(shù)據(jù)。鑒于如今的安全威脅不斷變幻，企業(yè)對相關SaaS應用實施態(tài)勢管理策略至關重要，可以讓安全團隊根據(jù)需要進行安全策略的動態(tài)調(diào)整。如果企業(yè)在研究構建SaaS安全態(tài)勢管理，需要特別關注以下六個方面的挑戰(zhàn)。

挑戰(zhàn)一：安全策略的有效執(zhí)行

SaaS服務提供商通常會為客戶制定一些安全策略。比如說，一些提供商可能要求實行多因子身份驗證。另一些提供商可能寬松一點，允許用戶使用自己的安全策略，只要不與提供商的安全策略相沖突。SaaS安全態(tài)勢管理需要清晰了解這些策略是否都被有效執(zhí)行。

挑戰(zhàn)二：有效的配置管理

SaaS平臺的最大問題之一是它們在不斷變化。通過新的版本更新，提供商不斷添加新功能，并改變其系統(tǒng)的運作方式。如果企業(yè)不密切關注這些更改，可能面臨多個漏洞。比如說，如果添加了一項讓用戶可以上傳文件然后再下載的新功能，可能會導致惡意攻擊。企業(yè)需要落實適當?shù)呐渲霉芾恚员愀橲aaS平臺及服務器上出現(xiàn)的所有更改。

挑戰(zhàn)三：安全態(tài)勢評估

即使制定了安全策略，也并不意味著企業(yè)就會自動受到保護、遠離威脅。由于各種新型網(wǎng)絡攻擊不斷出現(xiàn)，實現(xiàn)全部防御的難度很大。還有許多內(nèi)部威脅和錯誤也可能導致數(shù)據(jù)泄露。要確定企業(yè)SaaS業(yè)務的脆弱性，就必須對SaaS平臺及用于存儲的服務器運行定期安全評估。這將幫助企業(yè)找出安全態(tài)勢中的可能弱點，并及時加以修復。

挑戰(zhàn)四：安全監(jiān)控與響應

為了及時發(fā)現(xiàn)SaaS業(yè)務威脅，還需要落實一套適當?shù)陌踩O(jiān)控基礎架構，能夠在第一時間檢測出潛在威脅。它需要能夠監(jiān)控SaaS平臺，同時又密切關注用于相應存儲的服務器。這將幫助企業(yè)確定是否存在威脅，并快速做出響應。

這么做將有助于防止攻擊蔓延，并將影響降至最低，因為它們會盡快被發(fā)現(xiàn)。落實適當?shù)陌踩O(jiān)控甚至可以幫助服務提供商升級系統(tǒng)，以便企業(yè)得到更好的保護。

挑戰(zhàn)五：及時更新安全策略

因為有很多新型攻擊難以通過現(xiàn)有的策略進行防御。這就需要及時更新安全策略，并確保即使出現(xiàn)了新威脅，安全策略仍能發(fā)揮功效。比如說，雙因子身份驗證過去被認為是在線安全方面的一個有效方法，但現(xiàn)在因新攻擊和新平臺的興起而變得更復雜了。因此，企業(yè)的安全策略應體現(xiàn)這一點，添加雙因子身份驗證這個標準。

如果企業(yè)不時常更新安全策略，將無力防御未來出現(xiàn)的新威脅。此外，由于控制機制過時或缺少控制機制，也可能給黑客留下漏洞。要防止出現(xiàn)這種情況，最佳方法就是在實施安全策略之前深入審核。

挑戰(zhàn)六：對新威脅保持警惕

保護企業(yè)免受在線威脅的最佳方法是，對新威脅保持警惕。這意味著企業(yè)要有一個團隊來持續(xù)監(jiān)控新的攻擊和漏洞。此外，還需要確保安全監(jiān)控基礎架構是最新的，以便它能在第一時間檢測出任何新威脅。這將幫助企業(yè)確定SaaS平臺上是否存在新威脅、它們存儲在哪些服務器上以及可能帶來哪些類型的影響。

參考鏈接：https://hackernoon.com/6-keys-to-saas-security-posture-management