Best Practice für die SaaS-Absicherung Sicherheitslücken der SaaS-Systeme erkennen

Wer sich für einen Software-as-a-Service-Anbieter (SaaS) entscheiden sollte, muss bedenken, dass er ein gewisses Maß an Kontrolle seiner Sicherheit aufgibt. Daher ist eine sorgfältige Überprüfung der SaaS-Sicherheit für eine Anbieterbewertung von entscheidender Bedeutung.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

Cohesity GmbH

Eine zunehmende Zahl von Unternehmen entdecken Software-as-a-Service (SaaS) als eine praktische Möglichkeit für den Zugriff auf wichtige Geschäftsanwendungen. Aufgrund der zahlreichen Vorteile ist diese Strategie aus ökonomischer Sicht durchaus sinnvoll: Kosteneinsparungen, erhöhte Agilität und einfachere Skalierbarkeit, um nur ein paar schlagende Argumente zu nennen.

Allerdings birgt jedes Cloud-basierte Serviceangebot eine Reihe von Sicherheitsrisiken. Die Frage lautet also: Wie kann ein SaaS-Kunde sicher sein, ob die Vorkehrungen für IT-Security der SaaS-Anbieter den eigenen Standards entsprechen? Nicht wenigen Nutzern scheint es bewusst zu sein, dass SaaS-Anbieter für viele der Malware- und Hacking-Angriffe genau so anfällig sind wie jedes andere Unternehmen. In de rfolge können sich diese Bedrohungen auch auf die SaaS-Kunden auswirken.

„SaaS Risk Report“ von Varonis

Schatten-Admins und Geister-Nutzer bedrohen Datensicherheit

Maßnahmen zur Datensicherung

Nur mal vorab: Es existiert natürlich keine verbindliche Security-Checkliste für SaaS-User, die für alle gleichermaßen gültig sind, da sich Unternehmen, Geschäftsprozesse, Arbeitsweisen und Anforderungen unterscheiden. Dennoch gibt es Ansätze, an denen sich der User orientieren kann, um SaaS-Produkte abzusichern. Wer also den SaaS-Anbieterbewertungsprozess auf nachfolgende Bereiche konzentriert, wird dieses Risiko deutlich minimieren.

SaaS und interne IT-Security-Kontrollen abstimmen

Die Sicherheitsteams der SaaS-Kunden sollten sich auf die Schnittstelle zwischen der Sicherheitsumgebung ihres Unternehmens und der des SaaS-Anbieters fokussieren. Dabei ist es angezeigt, dass genau in Erfahrung gebracht werden muss, wie die Sicherheitsfunktionen des Anbieters mit den jeweiligen Unternehmensrichtlinien zur IT-Security übereinstimmen. Jede Lücke sollte möglichst frühzeitig im Prozess geschlossen werden. Hierzu sind drei wesentliche Schlüsselbereiche zu beachten: die Identitäts- und Zugriffsverwaltung (IAM), Verschlüsselung und Schlüsselverwaltung sowie Sicherheitsüberwachung.

Zu den Problemen der Identitäts- und Zugriffsverwaltung (IAM) könnte das Problem oder die Unmöglichkeit gehören, eine vorhandene IAM-Plattform des Unternehmens in das Angebot des SaaS-Anbieters zu integrieren. Dazu sind unter anderem widersprüchliche Authentifizierungsrichtlinien, die aus Sicht der Benutzerfreundlichkeit zu Verwirrung und technischen Problemen führen können, zu zählen als auch eine fehlende Unterstützung des SaaS-Anbieters für Single Sign-On (SSO).

Im Hinblick auf das Thema Verschlüsselung können Probleme entstehen, wenn der SaaS-Anbieter auf folgende Punkte beharrt: Kontrolle über die Verschlüsselung der Daten sowie Gewährung der Zugriffe auf die Informationen des Kunden, um sie dann außerhalb des Sicherheitsbereichs des Unternehmens zu speichern.

Was die Sicherheitsüberwachung angeht, empfiehlt es sich, dass Unternehmen Zugriffe auf Sicherheitsereignisprotokolldaten aus der SaaS-Umgebung erhalten. Wichtig ist dabei, dass die Protokolle nicht manipuliert werden. Daher sollte der SaaS-User über eine angemessene digitale Verbindung mit dem SaaS-Anbieter verfügen, um Protokolldaten in Echtzeit in die IT-Security-Abteilung einspeisen zu können. Dies fördert eine ganzheitliche Perspektive und ermöglicht es dem Kunden, seine lokalen Sicherheitsfunktionen auch in die Cloud auszudehnen.

Das unbekannte Risiko

Datenverlust in SaaS-Anwendungen

SaaS-Patching-Richtlinien überprüfen

Sicherheits-Patchings erfolgen nicht selten mit einer gewissen zeitlichen Verzögerung. SaaS-User sollten daher die vertraglichen SaaS-Patching-Richtlinien genau überprüfen.

Eigentumsrechte, Speicherort und Verlust der Daten klären

Damit keine personenbezogenen Daten weitergegeben werden, müssen SaaS-Kunden die Datenschutzrichtlinien bzw. Servicebedingungen der SaaS-Anbieter genau prüfen. Des Weiteren sollten Kunden es als einen Weckruf verstehen, wenn der Zusatz fehlt, dass Geschäftsdaten oder pseudonymisierte aggregierte Daten über die SaaS-Nutzung für Marktforschung oder ähnliche Zwecke „nicht anderweitig genutzt“ werden. Ein weiterer Grund zur Besorgnis wäre, wenn die Datenschutzrichtlinie keine Erklärung zur Einhaltung bestimmter Vorschriften wie die der Datenschutz-Grundverordnung (DSGVO) enthält.

Im Prinzip geht es doch darum, zu verstehen, welche Art von Daten durch das SaaS-Angebot gespeichert oder transportiert werden, wer Zugriff auf die Daten hat, wem die Daten gehören, wie die Daten geschützt werden und wer im Falle einer Sicherheitsverletzung haftet. Das ist absolut nicht selbstverständlich. Manche Unternehmen wissen nicht einmal, welche sensiblen Daten (versehentlich) in SaaS-Lösungen gespeichert werden oder wer darauf Zugriff hat. Ferner ist es nicht selten den Unternehmen bekannt, dass bei einer Einrichtung der SaaS-Lösung eine sogenannte „Standard-Click-Through-Vereinbarung“ abgeschlossen wurde und dieser Anbieter oft Eigentumsrechte an den Daten erhält.

Aus Datenschutzsicht ist manchen Unternehmen oftmals auch nicht klar, dass ein SaaS-Vertrag zwar Bestimmungen zur Notfallwiederherstellung enthalten kann, diese Regeln jedoch einen Datenverlust oder auch Korruption nicht zwingend abdecken.

IT-Security in den SaaS-Beschaffungsprozess einbeziehen

Zur Vermeidung von Fehlern und Missverständnissen sollte ein Mitarbeiter der IT-Security-Abteilung während des Beschaffungsprozesses immer mit dem jeweiligen Einkaufsteam kooperieren.

Unterdienste der SaaS-Anbieter prüfen

Bei der Auswertung der SaaS-Sicherheitsberichte ist es entscheidend zu überprüfen, ob der Berichtsumfang auch alle Standorte und Unterdienste umfasst und damit Teil des SaaS-Vertrags ist.

Kostenlose SaaS-Testversionen gründlich testen

Die IT- und Security-Abteilungen sollten während einer kostenlosen SaaS-Testversion die Möglichkeit nutzen, um zu bewerten, ob die wichtigsten Sicherheitsprozesse in die Lösung des SaaS-Anbieters zu integrieren sind. Dies wird dazu beitragen, den erforderlichen Aufwand und die Kostenprognosen zu bestimmen, um nach der Implementierung der Lösung einen angemessenen IT-Security-Status zu gewährleisten

(ID:47768018)