2023年には、現代のSaaS（Software as a Service：サービスとしてのソフトウェア）環境の相互接続性により組織に大きな影響を及ぼし、サードパーティ連携に関連するデータ侵害の件数が急増しました。
組織は、脆弱性とデータ侵害を軽減するために、強固なID セキュリティ、構成管理、連携の監査を含む包括的なSaaSセキュリティ戦略を採用する必要があります。
AIの統合とSaaSアプリケーションの導入が進んだことにより、重要な業務データとアプリケーションを保護するうえで、堅牢なサードパーティリスク管理の実践が不可欠になっています。
2023年は、組織が直面するデータ侵害の件数が再び記録を更新して終わりました。昨年、重大なインシデントに見舞われた組織の41%がは、サードパーティが原因であると述べています。米国では、1,000以上の事業体が影響を受けましたが、これはわずか87の組織への攻撃が成功したことによるものであり、今日サードパーティがもたらすサイバーリスクの大きさを浮き彫りにしています。
ほとんどの組織はサードパーティがもたらすリスクを十分に認識していますが、サードパーティリスク管理は、これらのサードパーティが組織とどのように接続されているか、つまりサイバーサプライチェーンがどのような構造になっているかという追加的な文脈を考慮せず、サイバーセキュリティの態勢やサイバーハイジーンの評価に重点を置いています。
現代の分散型インフラストラクチャは、サービスとしてのソフトウェア（SaaS）の利用に大きく依存しており、監視されていない企業データやプロセスへのアクセスの機会を無限に生み出しています。クラウド環境を悪用するために、攻撃者は設定の不備、人的ミス、ソーシャルエンジニアリング、認証情報の窃取、その他の攻撃手法を利用し、重要な業務データやアプリケーションを侵害しています。
SaaSアプリケーションは、各事業部門が独自の生産性ツールを採用するにつれてITの調達を分散化させ、IT・セキュリティチーム外にアプリケーション管理者が急増する事態を招いています。これらのSaaSアプリケーションには独自のセキュリティ機能が備わっており、個別に設定しなければならないため、人為的ミスが起こりやすく、設定の誤りにつながり、組織にとって大きな脆弱性を生み出しています。
機密データのワークフローに関与し、重要な業務アプリケーションと統合されるアプリケーションが増えるにつれて、データ侵害が発生する可能性が高まります。
AIによって加速する自動化の中での保護
サードパーティによる侵害の増加に加えて、2023年には人工知能（AI）がイノベーションの注目の的となりました。数十年にわたるAIおよび機械学習のイノベーションは、生産性向上のためのプロセスの自動化を中心としてきましたが、この技術はソフトウェアや技術におけるサードパーティ連携に依存しています。
2024年の今年も、現代の労働力へのAI導入がもたらす恩恵に引き続き注目が集まるでしょう。この恩恵は、すでに悪用されているサードパーティの脆弱性を加速させ、増大させることになります。
組織にとって最も重要なのは、AIの恩恵をさらに組織に取り入れる前に、サードパーティリスクを封じ込めるための強固なSaaSセキュリティの確立に注力することです。
推奨事項1：資産を把握する
SaaSアプリケーションの導入は急速に拡大しており、過去2年間で41%増加しています。これにより、最高情報責任者およびセキュリティ責任者にとって最大の脆弱性に関する懸念事項となっています。Okta、Okta、Circle CI、Salesforce、Google Workspaceなどのアプリケーションにおける侵害や設定の誤りは、中核業務からセキュリティ用SaaSアプリケーションに至るまで、組織が直面する課題を示しています。
例えば、Okta への攻撃は同社の顧客基盤の100%に影響を及ぼし、SaaSを基盤とするサードパーティ侵害では、たった一つの侵害が数千の組織に波及効果をもたらしうることを示しています。
クラウドネイティブな資産を管理するために開発された多要素認証などのソリューションは、完全に導入されていると組織が想定することが非常に多くあります。しかし、どの組織にも、SaaSアカウントの少なくとも1%が多要素認証で保護されていないという状況があり、現実的なリスクを生んでいます。
これは小さなリスクに思えるかもしれませんが、Drizly に対する認証情報スタッフィング攻撃は、認証が脆弱なアカウントが一つあるだけで大規模な侵害につながりうることを浮き彫りにしました。さらに、SaaSアプリケーションは企業データを保存・共有するプラットフォームへと進化しており、人為的ミスによるデータ露出の影響を受けやすくなっています。
SaaSの調達が分散していることから、組織がセキュリティを適切に管理するためには、SaaS資産が何であるか、誰が管理しているか、そして何の情報が保存されているかを十分に把握する必要性が、今まで以上に高まっています。
推奨事項2：構成を管理し監視する
SaaSアプリケーションには、多数の構成オプションが備わっていることがよくあります。多くのセキュリティ設定は、初期状態では有効になっていませんため、適切なセキュリティ設定の責任はアプリケーション管理者に委ねられています。アプリケーション管理者がIT事業部門の外部に所属していることから、多くの管理者は、脆弱なアクセスセキュリティを通じて、知らないうちにデータ露出のリスクを生み出しています。
SaaSアプリケーションの調達が分散型であるため、ITおよびセキュリティ組織は、組織内で生じる構成上のリスクを捕捉するために、新しいアプリケーションの導入を事前に把握できないことがよくあります。
組織にとって、SaaSアプリケーションの完全な在庫を持ち、セキュリティ構成を定期的に監視することが不可欠です。これにより、セキュリティポリシーが適切に適用されていることを確認するとともに、時間の経過とともにアプリケーションのセキュリティを低下させる可能性のある構成変更を抑制することができます。
推奨事項3：連携を棚卸し、監査する
SaaSアプリケーションの利点の一つは、プラグアンドプレイや、ローコードまたはノーコードでの連携です。摩擦のないサービス相互運用性を生み出すのと同じ要素が、脆弱性への新たな露出も生み出しているのです。
SaaS製品の重要な利点は、連携を通じて他のアプリケーションとプラグアンドプレイで接続し、データアクセスとアプリケーション機能を統合・簡素化できることです。しかし、相互運用性を生み出すこの同じ機能は、重要な業務データや顧客データを格納するアプリケーションへの侵入口を複雑に絡み合った状態で増やすことで、脆弱性を生み出しています。
平均して、SaaSプラットフォームには数百の連携が用意されており、複数のプラットフォーム間で認可された接続を生み出しています。一般的な組織では、50%を超える非アクティブな連携を抱えています。これらの連携は、攻撃者が重要なSaaSアプリケーションに密かにアクセスするための認可された経路を生み出し、より広範な侵害につながる可能性があります。さらに、組織は平均21件の連携を組織全体へのアクセス権付きで保有しており、システム全体にわたる侵害への世界的な経路を生み出しています。
組織内の非アクティブな連携の多くは、古いベンダーの残存物や、もはや使用されていない概念実証に由来しており、影のリスクを生み出しています。このようなリスクを最小限に抑えるため、組織は、アプリケーション間でサードパーティ連携がどこに作成されているか、および連携が持つアクセスレベルを積極的に監視しなければなりません。また、SaaSアプリケーションの定期的な監査では、認証情報の窃取リスクを時間の経過とともに最小限に抑えるために、シークレットと認証トークンのローテーションを徹底すべきです。
SaaS資産、その構成および連携を積極的に把握・管理・監査することで、組織はサードパーティリスクに対する防御を強化し、現代のデジタルエコシステムにおける重要なデータを保護することができます。
