如何將 SaaS 管理納入身分安全計畫

速度與安全之間的取捨是每個組織無止境的掙扎。如何給予員工提升工作速度與協作程度的最新工具，賦予員工能力，同時保護好業務資產呢？如何驅動創新同時避免風險增加？

以上正是 SaaS 管理的核心問題，也是每一間企業隨著公司邁向雲端優先的環境而正在努力解決的問題。這是因為組織紛紛瞭解到，SaaS 使用的大規模成長也引起了網路攻擊激增。過去一年以來，網路釣魚活動增加了驚人的 42%，明確顯示出網路罪犯正在肆意利用 SaaS 應用程式中發現的弱點，企圖找到大意員工的步驟疏忽發動攻擊。

事實上，失竊或洩露的認證已經成為資料外洩最常見而且造成損失也最大的肇因，現在平均而言，外洩會造成超過 470 萬美元的公司損失。這也是 SaaS 管理為何變得如此重要的原因，因為 SaaS 管理是組織掌握完整可見性，深入瞭解組織內所有身分的關鍵。納入 SaaS 管理是確保網路安全計畫發揮全面防護效力的唯一之道，因為看不見的資產無法保護。

成熟度模型登場

公司如何開始勘查 SaaS 環境、評估風險、找出前進之道？以下是我們認為相當典型的模型，能說明 SaaS 管理成熟度在四大關鍵面向的各個階段：可見性、使用方式資料、安全、最佳化。

每一個類別向上移動時，都有從人工及偶發程序轉為自動化與連續程序的明顯進步。例如，第 3 階為打算開始 SaaS 管理的公司提供了基準，第 1 階則是一個完全成熟的計畫理想狀態的範例。

即使是尚未具備身分安全解決方案的組織，SaaS 管理也能提供優異的起點，因為一切始於發現。透過概述整體 SaaS 足跡、識別應用程式負責人、協調支出等方式，企業就能邁向全面的應用程式可見性，而這也正是身分安全的基礎。

獲得可見性之後，下一步通常是評估 SaaS 的使用方式資料。這一步包含瞭解各個應用程式的功能，再找出各程式在組織內的使用者身分、使用程度與頻率、使用者的存取方式。如此一來，IT 團隊就能善用這些資訊，強化安全 (識別出具有風險的應用程式或是過度佈建的使用者) 並且解決支出上的問題 (排除未使用的授權、閒置中的使用者，或是不必要的應用程式)。

接著更加深入：確認哪一些應用程式已經接受過安全審查、這些應用程式擁有什麼權限、哪些程式還沒有強制單一登入 (SSO) 驗證方式，以及驗證或規章遵循上可能構成何種威脅。進行上述層級的分析後，可處理營運不中斷規劃 (BCP) 中的落差與不確定因素，賦予企業強化安全的真正能力。

做這一切就是要設立最佳化目標，不論是確保更多應用程式採用 SSO、提升應用程式使用率、減少影子 IT、實現高風險應用程式的 100% 安全核准，還是增加相關人員在 SaaS 預算中的參與。最終目標當然是推動可自動化保障安全與法規遵循的身分計畫，同時隨著 SaaS 的需求演變給予使用者最大的彈性。

快速開始 SaaS 管理

SaaS 管理最好的一點是採行方便。對於已經具備身分安全計畫的組織來說，就剩下部署而已。幸好，現在有強固的工具，能與任何系統流暢整合。IT 團隊將會發現，將 SaaS 管理模組新增至現有的技術堆疊不僅速度很快，還能提供立即回報。

類似的是，對於推動初步身分計畫的公司 (或是位於身分旅程早期階段的公司) 來說，先處理 SaaS 管理也很有道理，此舉有利日後掌握完整狀況。旨在掌握 SaaS 環境的最高可見性這項工作一旦開始，就能接著在管理企業身分與改善管控存取權限上，找出更有策略的整體方法。

掌握可見性之後，組織將立即見到實質益處，安全狀況及營收雙雙獲益。想像一下，一間企業沒有多餘軟體，每個應用程式都完全可見，使用率徹底最佳化，即使是風險、外洩或有害組合的潛在惡化，都會觸發自動化警示。

這種想像並不屬於未來公司，而是全球智慧企業目前正在利用的優勢，就是現在。這種現實不僅能實現，可以永續進行，而且近在咫尺。

敬請鎖定本系列最後一篇文章：「SaaS 管理如何帶動員工效率。」