2022-11-03-云安全联盟-面向云客户的SaaS治理最佳实践_68页_1mb

《面向云客户的SaaS治理最佳实践》文档总结

背景与重要性

SaaS市场规模快速增长，已成为企业服务主流应用。企业需将安全治理范围扩展至应用层。文档由CSA SaaS工作组制定，提供SaaS全生命周期（评估、采用、使用、终止）的风险管理指南，旨在帮助企业有效管理SaaS安全风险。

核心内容概述

• SaaS治理范围：覆盖SaaS全生命周期，包括评估需求、供应商尽职调查、配置管理、访问控制、加密、审计日志等44个控制点。
• 安全框架方法：基于NIST CSF框架，通过流程安全、平台安全、应用安全三个维度构建集成安全体系。
• 生命周期管理：详细阐述评估阶段的风险评估方法、采用阶段的配置管理要求、使用阶段的身份管理控制、终止阶段的数据销毁流程。

关键技术控制领域

1. 访问控制

   • 最小权限原则实施：
   • 职责分离：
   • 多因素认证和会话控制
   • 基于API的访问控制配置

2. 加密与密钥管理

   • 客户自管理密钥与供应商管理密钥对比：
   • 静态数据加密要求：
   • 传输层安全(TLS)协议配置标准

3. 风险评估与监控

   • 使用CASB实现可见性和控制：
   • DLP解决方案应用：
   • 持续监控配置漂移和异常访问事件

验证建议

• 持续改进建议：
  • 实施自动化审计日志监控系统：
  • 建立云服务级别协议(SLA)合规追踪机制：
  • 定期开展SaaS供应商安全评分评估：

结论要点

• 云服务共享责任模型在SaaS环境中界定更加明确：
• 数据风险控制是SaaS治理的关键核心：
• 云安全能力需随着SaaS技术发展不断演进创新