Desde a primeira edição da Checklist de Gerenciamento de Segurança de Postura SaaS Definitiva lançada há três anos, a expansão das SaaS corporativas tem crescido a um ritmo de dois dígitos. Em grandes empresas, o número de aplicativos SaaS em uso hoje chega a centenas, distribuídos em pilhas departamentais, complicando o trabalho das equipes de segurança na proteção das organizações contra ameaças em constante evolução.

À medida que a segurança SaaS se torna uma prioridade máxima, as empresas estão se voltando para o Gerenciamento de Postura de Segurança de SaaS (SSPM) como uma solução habilitadora. A Edição 2025 da Checklist de Segurança de SaaS Definitiva, projetada para ajudar as organizações a escolher um SSPM, abrange todas as características e capacidades que devem ser incluídas nessas soluções.

Antes de mergulhar em cada superfície de ataque, ao implementar uma solução SSPM, é essencial abranger uma ampla gama de integrações, incluindo integrações de aplicativos prontas e personalizadas, bem como verificações de segurança detalhadas. Embora existam aplicativos mais sensíveis e complexos de proteger, uma violação pode ocorrer em qualquer aplicativo, portanto, a cobertura é fundamental.

Os recursos essenciais de prevenção de ameaças de um SSPM para proteger toda a pilha SaaS devem cobrir o seguinte:

**Gestão de Má Configuração**

Servindo como o núcleo de um SSPM, a gestão de má configuração deve fornecer visibilidade profunda e controle de todas as configurações de segurança em todos os aplicativos SaaS para todos os usuários. Deve ter amplas funcionalidades, como pontuação de postura, verificações de segurança automatizadas, medição de gravidade, verificações de conformidade, alertas, além da integração com SOAR/SIEM e qualquer sistema de tickets para corrigir más configurações usando ferramentas de segurança existentes. Tais plataformas devem incluir planos de remediação detalhados e uma infraestrutura robusta de colaboração entre proprietários de aplicativos e equipes de segurança para garantir que o ciclo de remediação seja fechado adequadamente.

**Segurança de Identidade**

As capacidades fortes de Gerenciamento de Postura de Segurança de Identidade (ISPM) são de suma importância para proteger a pilha SaaS. Em relação às identidades humanas, uma organização precisa ter a capacidade de governar usuários com privilégios excessivos, usuários inativos, recém-chegados, transferências e usuários externos, e ajustar permissões de acordo. Isso inclui também a imposição de configurações centradas na identidade, como MFA e SSO, especialmente para aqueles com funções ou acesso sensíveis.

À medida que os usuários instalam aplicativos, com ou sem o conhecimento e consentimento da equipe de segurança, um SSPM deve ter a capacidade de monitorar as identidades não humanas associadas à conexão de aplicativos de terceiros aos núcleos principais para mitigar riscos. Uma ferramenta de segurança SaaS deve possuir descoberta e gestão automatizadas de aplicativos para permitir que as equipes de segurança vejam todos os aplicativos sancionados e sombra, escopos e permissões, e remediem de acordo.

**Gestão de Permissões**

Centralizar as permissões SaaS em um único local melhora o gerenciamento da postura de segurança de identidade para reduzir a superfície de ataque e aprimorar os esforços de conformidade.

Aplicações sofisticadas, como Salesforce, Microsoft 365, Workday, Google Workspace, ServiceNow, Zendesk e outras têm estruturas de permissão muito complexas, com camadas de permissões, perfis e conjuntos de permissões. A visibilidade unificada para a descoberta de permissões complexas permite que as equipes de segurança entendam melhor o risco proveniente de qualquer usuário.

**Relação entre Dispositivo e SaaS**

Ao selecionar um SSPM, certifique-se de que ele se integre ao sistema de Gerenciamento de Ponto de Acesso Unificado, para garantir que você gerencie os riscos dos dispositivos dos usuários SaaS. Com esse recurso, a equipe de segurança tem insights sobre dispositivos não gerenciados, de baixa higiene e vulneráveis dos usuários SaaS que podem ser suscetíveis a roubo de dados.

**Postura de Segurança GenAI**

Os provedores de SaaS estão correndo para adicionar capacidades generativas de IA às aplicações SaaS para capitalizar na onda de produtividade oferecida por essa nova forma de IA. Complementos como Salesforce Einstein Copilot e Microsoft Copilot usam GenAI para criar relatórios, escrever propostas e enviar e-mails aos clientes. A facilidade de uso das ferramentas GenAI aumentou o risco de vazamento de dados, expandiu a superfície de ataque e abriu novas áreas para exploração.

Ao avaliar uma solução de segurança SaaS, certifique-se de que ela inclua monitoramento GenAI, incluindo:

– Postura de segurança para aplicativos de IA para identificar aplicativos impulsionados por IA com níveis de risco elevados
– Verificações de todas as configurações GenAI e remediação de desvios de configuração GenAI
– Acesso GenAI para monitorar o acesso do usuário às ferramentas GenAI com base em funções
– Descoberta de aplicativos sombra GenAI para identificar aplicativos sombra que usam GenAI, incluindo aplicativos maliciosos
– Governação de gerenciamento de dados para controlar quais dados são acessíveis por ferramentas GenAI

**Protegendo Dados da Empresa para Prevenir Vazamentos**

Aplicativos SaaS contêm informações sensíveis que podem causar danos consideráveis à empresa se tornadas públicas. Além disso, muitos usuários de SaaS compartilham arquivos de seus aplicativos SaaS com usuários externos, como contratados ou agências, como parte de seu processo operacional.

As equipes de segurança precisam ter visibilidade nas configurações de compartilhamento de documentos que estão publicamente disponíveis ou compartilhados externamente. Essa visibilidade permite que eles fechem as lacunas na segurança dos documentos e previnam vazamentos de dados. Um SPPM deve ser capaz de identificar documentos, arquivos, repositórios e outros ativos que estão publicamente disponíveis ou compartilhados com usuários externos.

Uma solução de segurança SaaS deve incluir capacidades na área de proteção contra vazamento de dados, como:

– Nível de acesso que exibe se um item está compartilhado externamente ou publicamente;
– Uma lista de usuários “compartilhados com” que receberam acesso ao documento;
– Data de validade: Mostra se o link expirará automaticamente e não estará mais acessível pelo público.

Se você achou este artigo interessante, saiba que ele é um artigo contribuído por um de nossos valiosos parceiros. Siga-nos no Twitter e LinkedIn para ler mais conteúdo exclusivo que publicamos.