【云安全联盟】年度SaaS安全调查报告（2024）_30页_4mb

年度SaaS安全调查报告总结

核心内容

本报告由云安全联盟（Cloud Security Alliance, CSA）发布，旨在分析当前SaaS安全领域的现状、挑战和趋势。报告基于对1130名来自不同行业和地区的IT与安全专家的调查，揭示了企业在SaaS安全方面的关键发现和未来趋势。

主要观点与关键信息

1. SaaS安全事件呈上升趋势

• 数据：55% 的组织在过去两年中经历了至少一次SaaS安全事件，12% 表示不确定。
• 类型：最常见的SaaS安全事件包括数据外泄（58%）、恶意应用（47%）、数据泄露（41%）和SaaS勒索软件（40%）。
• 趋势：传统本地部署的攻击类型如勒索软件、恶意软件和数据泄露，也正成为SaaS环境中的主要威胁。

2. 当前的SaaS安全策略和方法存在不足

• 覆盖不足：超过半数（58%）的组织认为其SaaS安全解决方案仅覆盖了应用程序的一半或更少。
• 局限性：人工审计和CASB（云访问安全代理）在应对SaaS安全事件时显得不足，无法全面覆盖安全需求。
• 解决方案：SSPM（SaaS安全态势管理）的采用率从2022年的17% 激增至2023年的44%，显示企业对更全面安全解决方案的需求正在上升。

3. SaaS应用程序的利益相关者范围分散

• 角色转变：CISO和安全管理者正从控制者转变为协调者，强调跨部门协作的重要性。
• 参与角色：包括安全负责人、云安全架构师、安全运营者、信息技术、业务应用程序所有者、首席信息官、GRC团队等。
• 挑战：随着利益相关者增多，确定最终责任人变得更加困难，需要加强协作与沟通。

4. 组织如何确定SaaS安全策略和流程的优先级

• 关注领域：SaaS安全已扩展到多个方面，包括错误配置管理、第三方应用程序访问、设备到SaaS的风险管理、身份和访问治理、威胁检测与响应（ITDR）等。
• 策略重点：企业正在制定更全面的策略和流程，以应对这些安全挑战。

5. SaaS和SaaS安全投资显著增长

• 投资增加：66% 的组织增加了对业务关键型SaaS应用程序的投资，71% 的组织增加了对SaaS安全工具的投资。
• SSPM增长：SSPM解决方案的采用率显著上升，表明企业对更全面的SaaS安全解决方案的需求增加。
• 投资价值：SSPM等工具能帮助企业减轻SaaS威胁、增强安全状况、节约时间和成本，并提升对新环境的适应能力。

调查方法与范围

• 调查时间：2023年3月，以在线方式开展。
• 调查对象：来自不同规模和地区的1130名IT和安全专业人员。
• 行业分布：
  • 技术：17%
  • 金融服务：11%
  • 政府：6%
  • 专业服务（法律、咨询等）：6%
  • 媒体：6%
  • 医疗保健、教育、保险、电子商务和零售等：各占5%。
• 角色分布：
  • 信息技术：18%
  • 网络安全：12%
  • 云安全架构师：9%
  • SaaS安全：8%
  • 其他角色：包括首席信息安全官副手、信息系统安全、SecOps、取证专家、供应商风险、渗透测试、漏洞管理等。

关键发现总结

• SaaS安全事件：持续上升，需加强防护。
• 安全策略与方法：当前方法覆盖不足，需更全面的解决方案。
• 利益相关者：范围广泛，需跨部门协作。
• 投资趋势：企业加大在SaaS安全工具和人员上的投入。
• SSPM使用：显著增加，其优势包括提升控制能力、增强安全性、节约时间与成本。

结论

本报告强调了SaaS安全在企业数字化转型中的重要性，并指出当前企业对更全面的解决方案（如SSPM）的需求正在显著增长。随着安全事件的增加和现有工具的局限性，企业必须重新评估其安全策略，加强跨部门协作，并投资于更先进的SaaS安全工具，以确保其数字资产和业务连续性。