Les solutions SaaS (Software as a Service) offrent une flexibilité sans précédent aux entreprises. Accessibles via le cloud à tout moment et en tout lieu, elles permettent de minimiser les dépenses matérielles et d'adapter les ressources aux besoins. Elles s'intègrent facilement dans un flux de travail unique. Malgré l'adoption croissante des logiciels cloud, les problèmes de sécurité liés aux solutions SaaS persistent. Une étude menée en 2021 a révélé que 98 % des entreprises interrogées avaient subi au moins un incident de sécurité au cours des 18 mois précédents.
Alors, est-ce que toutes ces affirmations concernant la sécurité des produits SaaS ne sont que du marketing ? La réalité est plus nuancée. Cet article vous permettra de mieux comprendre la nature des risques liés à la sécurité des produits SaaS et comment les prévenir.
Les principaux défis de sécurité des solutions SaaS dans le cloud
Les environnements SaaS actuels comprennent en moyenne 42 applications tierces. Si le fait de centraliser la plupart des données et des processus hors site offre une grande liberté aux entreprises, la gestion d'un si grand nombre d'applications représente un véritable défi. C'est là que résident deux préoccupations majeures en matière de sécurité des données SaaS : le manque de visibilité et l'insuffisance de la gestion des accès.
Le manque de visibilité
D'après une enquête , six chefs d'entreprise sur dix considèrent le manque de visibilité sur leurs environnements SaaS comme l'un de leurs principaux défis en matière de cybersécurité. Et ce n'est pas seulement dû au nombre d'applications à surveiller. Chaque application possède ses propres caractéristiques de sécurité, paramètres d'accès et politiques de confidentialité, qui évoluent constamment au gré des mises à jour des fournisseurs. Sans oublier la diversité des appareils accessibles depuis chaque application SaaS. Résultat : les équipes de sécurité ont une connaissance limitée des risques réels qui pèsent sur les données de l'entreprise.
Gestion des accès insuffisante
Face à la prolifération des applications tierces dans leurs environnements cloud, seules 12 % des entreprises disposant de 50 à 99 applications dans leur pile SaaS effectuent des vérifications hebdomadaires de configuration. Si l'on ajoute à cela la forte dépendance aux fournisseurs d'applications SaaS en matière de sécurité, on comprend mieux pourquoi une gestion des accès inadéquate est considérée comme une autre menace majeure pour la sécurité par la majorité des entreprises : de nombreuses équipes de sécurité n'ont pas une vision complète des personnes qui accèdent aux données de l'entreprise, de la manière dont elles y accèdent, ni du type de données consultées.
Ensemble, ces deux problèmes de contrôle peuvent entraîner des fuites de données massives , rendant vos systèmes plus vulnérables à diverses cybermenaces , telles que le piratage de comptes, les attaques par rançongiciel, les campagnes d'hameçonnage et les menaces internes. Examinons maintenant quelques cas concrets et les enseignements que l'on peut en tirer.
Incidents de sécurité SaaS et leurs conséquences
Soyons réalistes : pour beaucoup d’entre nous, toutes ces statistiques ne sont qu’un ensemble de symboles et les avertissements des experts en cybersécurité peuvent sembler déconnectés de notre réalité. Pourtant, qu’on le veuille ou non, les fuites de données et les cyberattaques sont bien réelles. Ci-dessous, nous mettons en lumière trois incidents de cybersécurité liés à des applications SaaS que vous connaissez et utilisez peut-être.
Fuite de données mondiale de Jira
En août 2019, un chercheur en sécurité a découvert que des milliers d'entreprises, dont la NASA, avaient involontairement divulgué une partie de leurs données en ligne à cause d'une simple erreur de configuration dans Jira .
Il s'avère que lors de la création de tableaux de bord et de filtres dans Jira , la plateforme propose différents niveaux d'autorisation pour définir qui peut consulter ces informations. Et c'est là que les problèmes commencent. Certains administrateurs pensent que « tous les utilisateurs » ou « tout le monde » signifie « accessible à tous les membres de l'entreprise », alors qu'en réalité, ces options rendent les informations visibles publiquement et indexées par les moteurs de recherche. Pire encore, ce sont les options par défaut.
Les chercheurs en sécurité de Varonis ont révélé que 3 774 tableaux de bord, 244 projets et 75 629 problèmes sont accessibles publiquement, la majorité de ces ressources s'étant retrouvées accidentellement sur Internet. Les noms de projets, les avatars, les propriétaires, les statuts et les adresses électroniques des utilisateurs constituent les données les plus fréquemment divulguées. Grâce à ces informations, les attaquants peuvent concevoir des campagnes d'hameçonnage, lancer des attaques par pulvérisation de mots de passe ou par bourrage d'identifiants, ou encore cibler des systèmes plus sensibles.
Attaque de la chaîne d'approvisionnement SolarWinds
Fin 2020, l'éditeur de solutions de sécurité FireEye a signalé une cyberattaque massive contre SolarWinds , un important fournisseur américain de logiciels de gestion d'infrastructures informatiques. Selon son PDG, Sudhakar Ramakrishna , les pirates ont pénétré le compte Office 365 de l'entreprise, accédé aux SolarWinds et les ont utilisés pour injecter un code malveillant dans la mise à jour du logiciel Orion, qui a ensuite été déployée auprès d'environ 18 000 clients. Curieusement, ni les équipes d'enquête de SolarWinds ni celles de Microsoft n'ont détecté de vulnérabilité dans le code d'Office 365 exploitable par les pirates. Les deux parties privilégient la thèse du vol d'identifiants plutôt que celle d'une faille de sécurité.
L'incident, survenu en 2019, a touché, selon les experts en cybersécurité , les réseaux de plus de 100 entreprises privées américaines et de neuf agences fédérales. Parmi les victimes figurent Microsoft, Cisco et Deloitte, ainsi que le Pentagone, le département de la Sécurité intérieure et d'autres organismes. D'après un rapport , les entreprises touchées ont perdu en moyenne 11 % de leur chiffre d'affaires annuel.
Des milliers d'enregistrements de réunions Zoom disponibles en ligne
Lorsque la pandémie a frappé, Zoom a connu une hausse de popularité sans précédent, passant de 90 millions d'utilisateurs quotidiens en décembre 2019 à 200 millions en mars 2020. Outre l'augmentation du cours de l'action de la société, cela a suscité une vague d' inquiétudes concernant la confidentialité des données .
Par exemple, en avril 2020, des chercheurs ont découvert des milliers d'enregistrements de réunions Zoom privées sur Internet, accessibles à tous, y compris au téléchargement. S'agissait-il d'une fuite de données massive ? Pas du tout. L'astuce réside dans le fait que Zoom permet aux utilisateurs d'enregistrer leurs réunions à l'emplacement de leur choix sans mot de passe. Ce problème est d'autant plus préoccupant qu'il est possible d'enregistrer l'enregistrement avec son titre par défaut, qui correspond au sujet de la réunion. Par conséquent, si vous enregistrez votre vidéo, par exemple, dans un compartiment S3 d'Amazon Web Services (AWS), n'importe qui peut la trouver via une simple recherche dans le cloud.
Meilleures pratiques de sécurité SaaS
D'après le rapport 2021 de l'enquête sur la sécurité des solutions SaaS , 89 % des entreprises interrogées ont cité les erreurs de configuration de leurs solutions SaaS parmi les trois principales menaces en matière de cybersécurité. Les chercheurs ont constaté qu'il s'agissait de la principale source des problèmes de cybersécurité présentés dans le rapport.
En d'autres termes, ce ne sont pas les applications SaaS qui présentent des failles de sécurité intrinsèques, mais plutôt notre façon de les utiliser qui est la principale cause des incidents de sécurité liés aux logiciels en tant que service (SaaS). Un article sur la sécurité du cloud indique que d'ici 2025, jusqu'à 99 % des incidents de cybersécurité seront imputables au client. Alors, comment garantir la sécurité de vos applications SaaS ? Voici nos recommandations.
Évaluez tous vos risques
Dans un environnement privilégiant le cloud, la plupart des applications (voire toutes) sont intégrées à un écosystème unique. Il est donc essentiel d'auditer régulièrement chaque application afin de vérifier sa conformité, les restrictions d'accès disponibles, son niveau de protection contre les tentatives de piratage, etc. Cela vous permettra d'identifier et d'évaluer tous les risques que chaque application représente pour votre environnement cloud.
Automatisez autant que possible
Il est indéniable que la surveillance continue d'un grand nombre d'applications tierces représente une tâche colossale ; c'est d'ailleurs l'une des raisons pour lesquelles de nombreuses organisations peinent à suivre l'ensemble de leurs applications et à détecter les problèmes à temps. Afin d'éviter tout oubli, nous vous recommandons vivement d'examiner de plus près les outils d'automatisation, tels que les solutions SaaS de gestion de la posture de sécurité (SSPM). Ils peuvent automatiser cette tâche.
Évitez les erreurs de configuration
De nombreux chercheurs s'accordent à dire que les erreurs de configuration, notamment une mauvaise gestion des accès (leur principale composante), constituent un risque majeur pour la cybersécurité des applications SaaS. Pour atténuer ce risque, assurez-vous d'exploiter au maximum les paramètres de sécurité de chaque application. L'authentification multifacteurs est-elle disponible ? Activez-la. Votre application propose-t-elle différents niveaux d'autorisation d'accès ? Analysez les utilisateurs potentiels et configurez les autorisations en conséquence.
Adoptez la politique d'accès fondée sur le moindre privilège
Limitez au maximum le nombre d'utilisateurs ayant accès à vos données d'entreprise. Appliquez la règle d'or suivante : si une restriction d'accès n'affecte pas négativement votre flux de travail, maintenez-la. Cela permettra d'éviter des incidents similaires à celui rencontré par les utilisateurs Jira .
Mettre en œuvre les normes
Les utilisateurs ont souvent tendance à être négligents avec les données d'entreprise. DoControl a constaté que 20 % des applications SaaS d'entreprise sont partagées en interne via un lien et 18 % en externe, exposant ainsi des données à des utilisateurs non autorisés. L'élaboration de normes d'utilisation des applications pour guider vos employés contribuera à minimiser les fuites de données de ce type.
Formez votre personnel
Le laxisme observé concernant les actifs de l'entreprise pourrait également s'expliquer par le fait que certains employés ne sont peut-être pas formés à la gestion responsable des données, ou ignorent tout simplement la nécessité de le faire. Un programme de sensibilisation à la sécurité, comprenant des sessions de formation régulières, permettrait de remédier à cette situation. Il contribuerait également à réduire le risque d'attaques perpétrées à l'aide de techniques d'ingénierie sociale.
Évitez le surdimensionnement
Les environnements SaaS modernes sont « surchargés ». Des études montrent que plus de la moitié des applications d'une pile SaaS moyenne n'ont pas été utilisées depuis plus de six mois. La présence d'autant d'applications susceptibles de contenir des données sensibles représente un risque inacceptable. Il est donc impératif de supprimer les applications superflues dès leur détection.
Analysez soigneusement chaque application avant de l'intégrer à votre pile
Plus vous utilisez d'applications, plus vous exposez vos données à des risques de cybersécurité importants. Par conséquent, soyez particulièrement vigilant quant à chaque application que vous envisagez d'utiliser pour votre entreprise. Les questions suivantes vous aideront à identifier les fournisseurs peu fiables :
- La conception du système de contrôle d'accès permet-elle de prévenir les problèmes de sécurité du réseau ?
- Les paramètres d'accès comportent-ils différents niveaux de restrictions d'accès utilisateur ?
- Êtes-vous tenu de vous conformer à des réglementations telles que GDPR ou la loi HIPAA (ou toute autre réglementation applicable à votre cas) ?
- Êtes-vous prêt à effectuer des contrôles externes de cybersécurité ?
- Possédez-vous des certifications en cybersécurité, telles que la certification ISO ?
- Vos clients peuvent-ils contrôler l'endroit où leurs données sont stockées ?
- Où sont stockées les données de l'application ? Chez un fournisseur de cloud réputé, comme AWS, ou dans un centre de données privé ?
- Chiffrez-vous les données en transit et au repos ?
- Combien de temps conservez-vous les données dans votre application avant de les supprimer ?
- Comment empêcher la perte de données utilisateur lors d'une catastrophe naturelle ?
Voici la checklist de sécurité de base pour les solutions SaaS. D'autres éléments peuvent être nécessaires pour votre entreprise. Mais voici le défi suivant : vous avez constaté que votre plateforme de support client actuelle présente de nombreuses failles de sécurité et vous souhaitez opter pour une solution plus sûre. La question est donc : existe-t-il un moyen sûr de migrer facilement vos données d'une plateforme à l'autre ? La réponse se trouve ci-dessous.
Comment Help Desk Migration permet d'éviter les risques de cybersécurité
Si vous souhaitez migrer les données de votre service d'assistance en toute sécurité, inutile de parcourir Internet à la recherche d'un prestataire de migration de données fiable. Laissez notre , Help Desk Migration , s'en charger pour vous en toute sécurité. Voici quelques-unes des normes de sécurité SaaS que nous appliquons pour protéger vos données.
Mesures techniques
Chez Help Desk Migration, nous sommes convaincus que la sécurité d'une application, en termes de conception, relève de la seule responsabilité de son fournisseur. La migration des données de votre service d'assistance est sécurisée grâce aux mesures suivantes :
- Protection des accès employés. Tous les appareils utilisés par nos employés pour accéder à notre service sont chiffrés (empêchant ainsi toute personne non autorisée d'y accéder) et aucun employé ne peut se connecter à nos applications web sans authentification à deux facteurs. De plus, les Help Desk Migration , ainsi que les employés travaillant à distance, utilisent Cloudflare WARP. Enfin, seuls les ingénieurs techniques autorisés peuvent accéder au code source, mettre en œuvre des migrations personnalisées et résoudre les problèmes techniques à la demande de l'équipe de support.
- Politique de conservation des données. Nous supprimons toutes les données de migration dix jours après la migration de démonstration et cinq jours après la migration complète (nous pouvons raccourcir ou prolonger cette période de conservation sur demande). Nous ne conservons pas les mots de passe des clients.
- Protection de l'environnement de production. Nous mettons tout en œuvre pour garantir à notre équipe de développement un environnement de travail sécurisé. Cela inclut de nombreuses mesures, telles que l'échange de clés publiques/privées au lieu de mots de passe pour accéder aux serveurs, l'authentification à deux facteurs pour le panneau d'administration, une configuration stricte du pare-feu, etc.
- Infrastructure. L'intégralité de notre infrastructure est située en Allemagne et hébergée par AWS. Nous installons et gérons tous les silos de données au sein de cette infrastructure, à l'exception des copies de sauvegarde stockées sur AWS S3. Par ailleurs, nous accordons une importance capitale à la sécurité physique de nos serveurs et services.
- Protection des données en transit et au repos. Notre réseau privé est hautement sécurisé par des pare-feu, des protections anti-DDoS et des audits réguliers de sa sécurité. Le chiffrement SSL protège les données transitant sur Internet. Nous utilisons également le chiffrement des disques pour sécuriser les données statiques, afin que seuls les utilisateurs autorisés puissent y accéder.
Mesures organisationnelles
Bien que notre service soit sécurisé par conception, nous prenons diverses mesures organisationnelles pour éliminer même le moindre risque de fuite. Celles-ci comprennent :
- Confidentialité. Avant leur intégration, tous nos employés signent une clause spécifique dans leur contrat de travail, les obligeant à ne divulguer aucune information confidentielle relative au Help Desk Migration .
- Continuité des activités.
- Nous nous engageons à fournir nos services pendant au moins six mois.
- Audits de sécurité. Nous analysons régulièrement nos systèmes afin de détecter les vulnérabilités et effectuons les mises à jour nécessaires.
- Reprise après sinistre. Nous prenons toutes les mesures nécessaires pour garantir l'intégrité de vos données après une catastrophe naturelle.
- Séparation des tâches (SoD). Afin de minimiser les risques, nous appliquons les principes de séparation des tâches. Cela signifie qu'au lieu de confier à un seul employé la responsabilité exclusive d'un processus, nous répartissons cette fonction entre plusieurs membres de l'équipe.
Dispositifs de sécurité
Bien entendu, aucune solution SaaS fiable n'est complète sans divers paramètres de sécurité, permettant aux utilisateurs de bénéficier d'une protection optimale. En matière Help Desk Migration, ces paramètres incluent :
- Authentification à deux facteurs. Notre procédure de connexion ne se limite pas à la combinaison classique d'un mot de passe et d'une adresse e-mail. Nous vous recommandons d'activer l'authentification à deux facteurs pour une sécurité renforcée.
- Surveillance des accès. Dans l'Assistant de migration — notre outil qui vous permet de personnaliser votre structure de données — toute l'activité des utilisateurs est enregistrée. Vous pouvez consulter l'adresse IP, les données de l'appareil et l'heure de connexion.
Nous recommandons également à nos utilisateurs de modifier leurs mots de passe et de restreindre les autorisations d'accès qui nous sont accordées pour le transfert de leurs données cinq jours après la migration. Si vous pensez avoir identifié une vulnérabilité, n'hésitez pas à nous en faire part.
Conformité
Nous sommes fiers de notre vaste portefeuille de conformités, que nous maintenons à jour et enrichissons régulièrement. Actuellement, nous respectons les normes HIPAA, GDPRde l'UE, ISO/IEC 27001:2013 et PCI DSS.
Voici un aperçu de la manière dont nous assurons une migration de données sécurisée. Pour en savoir plus sur les mesures que nous prenons pour protéger vos données, consultez notre Politique de sécurité , prenez connaissance de notre Accord de niveau de service ou demandez-nous de remplir un questionnaire de sécurité.
