Two Steps Forward for SaaS Adoption, One Step Back for SaaS Security

Anna Sarnek, qui dirige les alliances stratégiques chez Valence Security, soutient que l'adoption du SaaS a devancé sa sécurisation parce que les achats se sont décentralisés vers les unités d'affaires, alors que les outils de sécurité sont restés concentrés sur les fournisseurs d'identité, les CASB et les contrôles de postes, incapables de voir les intégrations application à application. Elle détaille des scénarios d'échec concrets : jetons OAuth et intégrations laissés actifs après le retrait d'un outil, comptes locaux créés par « connexion avec Google » que le fournisseur d'identité ne voit jamais et ne peut donc jamais désactiver, une seule intégration tierce à accès étendu à tout le tenant devenant une brèche complète (illustré par les incidents GitHub, Heroku, Travis CI et Drizzly), des fichiers partagés vers des comptes Gmail personnels par commodité, et des lacunes dans l'application du MFA sur les outils SaaS non gérés. Ses six recommandations portent sur l'audit régulier et le retrait des intégrations et comptes inutilisés, la centralisation de l'identité, l'usage d'étiquettes de données pour prioriser les audits, l'activation des contrôles de sécurité natifs plutôt que de présumer que les réglages par défaut sont sûrs, et l'étude des attaques émergentes entre SaaS et infonuagique. Une période de questions précise ce que la plateforme de Valence Security automatise par rapport aux outils CSPM et CASB.