Bagaimana SSPM Menyederhanakan Audit Postur Keamanan SaaS SOC2 Anda

  • Whatsapp
SaaS Security
Bagaimana SSPM Menyederhanakan Audit Postur Keamanan SaaS SOC Anda

News.nextcloud.asia –

Keamanan SaaS

Seorang akuntan dan pakar keamanan masuk ke bar… SOC2 bukanlah lelucon.

Baik Anda perusahaan publik atau swasta, Anda mungkin mempertimbangkan untuk menjalani audit Kontrol Organisasi Layanan (SOC). Untuk perusahaan publik, laporan ini diwajibkan oleh Securities and Exchange Commission (SEC) dan dilaksanakan oleh Akuntan Publik Bersertifikat (CPA). Namun, pelanggan sering meminta laporan SOC2 sebagai bagian dari proses uji tuntas vendor mereka.

Dari tiga jenis laporan SOC, SOC2 adalah standar untuk berhasil melewati persyaratan peraturan dan menandakan keamanan dan ketahanan yang tinggi dalam organisasi — dan didasarkan pada persyaratan pengesahan American Institute of Certified Public Accountants (AICPA). Tujuan laporan ini adalah untuk mengevaluasi sistem informasi organisasi yang relevan dengan keamanan, ketersediaan, integritas pemrosesan, kerahasiaan, dan privasi — selama periode waktu tertentu (kira-kira enam hingga dua belas bulan).

Sebagai bagian dari audit SOC2, perlu dilakukan pemeriksaan keamanan di seluruh tumpukan SaaS perusahaan yang akan mencari pengaturan yang salah konfigurasi seperti deteksi dan pemantauan untuk memastikan efektivitas kontrol keamanan informasi yang berkelanjutan dan mencegah akses yang tidak sah/tidak tepat ke aset fisik dan digital dan lokasi.

Jika Anda memulai atau dalam perjalanan audit SOC2, maka solusi SSPM (SaaS Security Posture Management) dapat merampingkan proses dan mempersingkat waktu yang diperlukan untuk lulus audit SOC2 dengan sukses, sepenuhnya mencakup postur Keamanan SaaS Anda.

Pelajari cara merampingkan kepatuhan SOC2 organisasi Anda

Apa Kriteria Layanan Kepercayaan AICPA (TSC)?

Saat auditor eksternal terlibat dalam audit SOC 2, mereka perlu membandingkan apa yang Anda lakukan dengan daftar panjang persyaratan yang ditetapkan dari AICPA TSC. “Kontrol Umum” terbagi menjadi lima kelompok:

  • Keamanan – Termasuk sub kontrol dari Akses Logis dan Fisik (CC6)
  • Ketersediaan – Termasuk sub kontrol dari Sistem Operasi (CC7)
  • Integritas pemrosesan: Termasuk sub kontrol dari Sistem Operasi (CC7)
  • Kerahasiaan: Termasuk sub kontrol dari Akses Logis dan Fisik (CC6)
  • Pribadi – Termasuk sub kontrol dari Kegiatan Pemantauan (CC4)

Di dalam setiap kendali umum terdapat satu set sub kendali yang mengubah standar menyeluruh menjadi tugas yang dapat ditindaklanjuti.

Melewati audit SOC 2 membutuhkan banyak waktu, tenaga, dan dokumentasi. Selama audit SOC2, Anda tidak hanya perlu menunjukkan bahwa kontrol Anda berfungsi selama periode audit, tetapi Anda juga perlu menunjukkan bahwa Anda memiliki kemampuan untuk terus memantau keamanan Anda.

Melewati seluruh kerangka kerja TSC terlalu panjang untuk sebuah posting blog. Namun, melihat sekilas ke beberapa kontrol Logical and Physical Access (CC6) dan System Operations (CC7) memberi Anda gambaran tentang seperti apa tampilan beberapa kontrol dan bagaimana Anda dapat menggunakan SSPM untuk memudahkan audit SOC2.

Dapatkan demo 15 menit tentang bagaimana SSPM dapat membantu audit SOC 2 TSC Anda

Kontrol Akses Logis dan Fisik

Bagian ini menetapkan jenis kontrol yang diperlukan untuk mencegah akses yang tidak sah atau tidak tepat ke aset dan lokasi fisik dan digital. Mengelola izin akses pengguna, otentikasi, dan otorisasi di seluruh kawasan SaaS menimbulkan banyak tantangan. Faktanya, saat Anda ingin mengamankan aplikasi cloud Anda, sifat pengguna yang terdistribusi dan mengelola berbagai kebijakan akses menjadi semakin menantang.

Di bawah kendali CC6.1, entitas perlu:

  • Mengidentifikasi, mengklasifikasikan, dan mengelola aset informasi
  • Batasi & kelola akses pengguna
  • Pertimbangkan segmentasi jaringan
  • Daftarkan, otorisasi, dan dokumentasikan infrastruktur baru
  • Tambahan keamanan dengan mengenkripsi data-at-rest
  • Lindungi kunci enkripsi

Contoh

Departemen yang menggunakan aplikasi SaaS sering kali adalah departemen yang membeli dan mengimplementasikannya. Pemasaran mungkin menerapkan solusi SaaS untuk memantau prospek sementara penjualan mengimplementasikan CRM. Sementara itu, setiap aplikasi memiliki kemampuan dan konfigurasi aksesnya sendiri. Namun, pemilik SaaS ini mungkin tidak terlatih dalam keamanan atau dapat terus memantau pengaturan keamanan aplikasi sehingga tim keamanan kehilangan visibilitas. Pada saat yang sama, tim keamanan mungkin tidak mengetahui cara kerja bagian dalam SaaS seperti pemiliknya sehingga mereka mungkin tidak memahami kasus yang lebih kompleks yang dapat menyebabkan pelanggaran keamanan.

Solusi SSPM, memetakan semua izin pengguna, enkripsi, sertifikat, dan semua konfigurasi keamanan yang tersedia untuk setiap aplikasi SaaS. Selain visibilitas, solusi SSPM membantu memperbaiki kesalahan konfigurasi di area ini, dengan mempertimbangkan fitur dan kegunaan unik setiap aplikasi SaaS.

Dalam pengendalian CC.6.2, entitas perlu:

  • Buat kredensial akses aset berdasarkan otorisasi dari pemilik aset sistem atau kustodian resmi
  • Tetapkan proses untuk menghapus akses kredensial saat pengguna tidak lagi membutuhkan akses
  • Tinjau akses secara berkala untuk individu yang tidak perlu dan tidak pantas dengan kredensial

Contoh

Pergeseran izin terjadi ketika pengguna memiliki izin tertentu sebagai bagian dari keanggotaan grup, tetapi kemudian diberi izin khusus yang lebih istimewa daripada yang dimiliki grup. Seiring waktu banyak pengguna mendapatkan izin tambahan. Ini melemahkan gagasan penyediaan menggunakan grup.

Masalah deprovisioning klasik, solusi SSPM dapat menemukan pengguna yang tidak aktif dan membantu organisasi dengan cepat memulihkan, atau paling tidak, memperingatkan tim keamanan tentang masalah tersebut.

Di bawah kendali CC.6.3, entitas perlu:

  • Menetapkan proses untuk membuat, memodifikasi, atau menghapus akses ke informasi dan aset yang dilindungi
  • Gunakan kontrol akses berbasis peran (RBAC)
  • Tinjau peran akses dan aturan akses secara berkala

Contoh

Anda mungkin mengelola 50.000 pengguna di lima aplikasi SaaS, yang berarti tim keamanan perlu mengelola total 250.000 identitas. Sementara itu, setiap SaaS memiliki cara yang berbeda untuk mendefinisikan identitas, melihatnya, dan mengamankan identitas. Menambah risiko, aplikasi SaaS tidak selalu terintegrasi satu sama lain yang berarti pengguna dapat menemukan diri mereka sendiri dengan hak istimewa yang berbeda di sistem yang berbeda. Ini kemudian mengarah ke hak istimewa yang tidak perlu yang dapat menimbulkan risiko keamanan potensial.

Solusi SSPM memungkinkan visibilitas ke hak pengguna dan izin sensitif di semua aplikasi SaaS yang terhubung, menyoroti penyimpangan dari grup dan profil izin.

Operasi Sistem

Bagian ini berfokus pada deteksi dan pemantauan untuk memastikan efektivitas kontrol keamanan informasi yang berkelanjutan di seluruh sistem dan jaringan, termasuk aplikasi SaaS. Keragaman aplikasi SaaS dan potensi kesalahan konfigurasi membuat pemenuhan persyaratan ini menjadi tantangan.

Dalam kontrol CC7.1, entitas perlu:

  • Tentukan standar konfigurasi
  • Memantau infrastruktur dan perangkat lunak untuk ketidakpatuhan terhadap standar
  • Tetapkan mekanisme deteksi perubahan untuk memperingatkan personel terhadap modifikasi yang tidak sah untuk sistem kritis, konfigurasi, atau file konten
  • Menetapkan prosedur untuk mendeteksi pengenalan komponen yang diketahui atau tidak diketahui
  • Lakukan pemindaian kerentanan berkala untuk mendeteksi potensi kerentanan atau kesalahan konfigurasi

Tidak realistis untuk mengharapkan dari tim keamanan untuk mendefinisikan “standar konfigurasi” yang sesuai dengan SOC2 tanpa membandingkan dengan basis pengetahuan bawaan dari semua kesalahan konfigurasi SaaS yang relevan dan untuk terus mematuhi SOC2 tanpa menggunakan solusi SSPM.

Dapatkan demo 15 menit untuk melihat bagaimana solusi SSPM mengotomatiskan postur keamanan SaaS Anda untuk SOC2 dan standar lainnya.

.

Pos terkait

Tinggalkan Balasan

Alamat email Anda tidak akan dipublikasikan.