軟件即服務（SaaS）應用可以給企業數字化發展帶來很多便利，能夠幫助用戶實現更具性價比的實時工(gōng)作協同，提升業務效率。但是，當企業頻(pín)繁通過SaaS應用進行日常文件和業務數據交換時，如果缺少精細化的安全訪問控制措施，将會讓企業面臨嚴重的數據洩漏風險。以下(xià)梳理彙總了企業在使用SaaS系統時，經常會發生(shēng)的十種數據安全風險：

1、SaaS應用的訪問權限缺乏時效性管理

存儲在SaaS應用程序中(zhōng)的文件的訪問權限時效性通常是無限期的，例如，當第三方供應商(shāng)和企業内部員(yuán)工(gōng)之間憑借SaaS應用程序通過共享鏈接來訪問、下(xià)載敏感文檔或數據文件後，除非手動對共享鏈接進行權限更改，否則這些鏈接将無限期處于“活躍狀态”。

而多數情況下(xià)，當雙方的共享協作需求滿足後，企業内部員(yuán)工(gōng)一(yī)般也不會去(qù)追溯、删除第三方供應商(shāng)的訪問權限，這意味着即使外(wài)部人員(yuán)沒有訪問需求後，存儲在SaaS應用程序中(zhōng)的信息訪問權限卻仍然存在。這不僅是一(yī)種不良的商(shāng)業行爲，還增大(dà)了惡意人員(yuán)洩露敏感數據的可能性。

2、企業員(yuán)工(gōng)個人身份信息過度曝光

很多企業内部曝光在公共軟件平台、共享文件夾或提供潛在客戶服務系統中(zhōng)的員(yuán)工(gōng)個人信息長期處于公開(kāi)狀态，允許所有具有高級訪問權限的人員(yuán)無限期的查看、下(xià)載甚至使用。

傳統的數據防洩漏（DLP）解決方案中(zhōng)的PII（個人身份信息）掃描工(gōng)具對存儲在SaaS應用程序中(zhōng)的數據并不适用，安全人員(yuán)隻能通過手動的方式，發現和删除這些共享的PII，但絕大(dà)多數安全團隊通常無暇顧及。

3、第四方外(wài)部人員(yuán)的安全風險無法評估

企業的第三方合作夥伴在訪問了企業内部的SaaS應用程序中(zhōng)的數據後，極有可能将這些數據共享給第四方外(wài)部人員(yuán)（例如他們自己的外(wài)部供應商(shāng)），而這些第四方人員(yuán)可能并未獲得企業内部的授權，且可能未經過安全風險評估。

實施統一(yī)的權限訪問策略以防止在SaaS應用程序之中(zhōng)存在第四方共享人員(yuán)是一(yī)項非常複雜(zá)的工(gōng)作，因此這一(yī)附加層面的安全訪問控制通常會被忽略。

4、 員(yuán)工(gōng)在開(kāi)放(fàng)的環境下(xià)過度共享加密信息

技術人員(yuán)可以通過SaaS通信渠道（例如公共Slack頻(pín)道或Microsoft Teams聊天渠道）共享公有雲賬戶密鑰等加密代碼，以實現團隊之間的協同作業，僅通過各個SaaS應用程序自帶的控制組件是無法阻止這種“過度共享”的行爲的，即使企業内部明令禁止這種行爲，開(kāi)發團隊之間爲了協作方便也經常“明知(zhī)故犯”，而且SaaS應用程序通常并不具備直接監管這些特權訪問的功能，未經授權的惡意攻擊者一(yī)旦獲得這些不合規共享信息就會有機可乘。

5、多個SaaS應用程序的權限管理難以統一(yī)

企業通常都會使用多個SaaS應用系統，而不同的SaaS應用程序都會有内置的安全控制和功能，來幫助用戶主動管理訪問權限，但每個應用程序控制的深度和粒度差異很大(dà)，這使得在大(dà)型、雲上數字化企業中(zhōng)實施精細化的SaaS安全管理策略變得異常困難。

6、對SaaS數據共享缺少監管

SaaS協作應用程序通常具有與第三方應用共享數據的功能（如電(diàn)子郵件的多方轉發、傳遞），這導緻企業内部任何有權訪問敏感數據的人，都可以方便地将數據存儲到個人SaaS應用賬戶中(zhōng)，以供自己更方便的使用，這樣就會造成監管措施的失效，進而造成數據洩露。更糟糕的是，像電(diàn)子郵件這樣的SaaS化應用多數均爲未啓用多因素身份驗證等安全措施，這會進一(yī)步增加敏感數據的洩露風險。

7、離(lí)職員(yuán)工(gōng)的惡意使用行爲

當企業内部人員(yuán)崗位發生(shēng)變更時，人事部門應及時向安全團隊同步，以便安全團隊提前預防已離(lí)職員(yuán)工(gōng)可能對企業内部帶來的安全威脅，當大(dà)多數情況下(xià)，人事部門和安全團隊之間的聯系并不緊密，這樣就很難獲得跨所有SaaS應用程序用戶活動的集中(zhōng)視圖，不能及時的對已離(lí)職員(yuán)工(gōng)進行權限的自動化清理和消除，就很難防止因離(lí)職員(yuán)工(gōng)而導緻的數據洩露問題，對于大(dà)型企業來說尤甚。

8、安全團隊缺乏對業務安全需求的了解

安全團隊通常會被SaaS環境中(zhōng)大(dà)量的可疑用戶活動警報淹沒，但很難快速确定哪些報警信息存在實際安全風險。因此安全團隊隻能定期手動查詢内部和外(wài)部用戶的活動，來了解他們的業務需求，并相應地調整訪問權限。該流程增加了安全團隊和業務團隊之間不必要的交互，而且讓安全團隊針對業務的實際威脅平均修複時間變得更長。

9、員(yuán)工(gōng)通過SaaS系統訪問有潛在風險的第三方應用程序

OAuth等第三方應用爲SaaS應用程序提供了訪問令牌，這些令牌授權特定賬戶進行信息共享，同時不會暴露用戶的密碼。這些第三方應用程序讓工(gōng)作更便捷，但也常被攻擊者用于網絡釣魚。攻擊者會創建看似合法的OAuth鏈接（URL），訪問者在訪問這些鏈接時，會收到“是否接受OAuth連接”的提示，通常情況下(xià)訪問者并不會仔細查看URL或檢查提示中(zhōng)的詳細信息，就果斷點擊“接受”。此時鏈接就會将訪問者轉到定向的試圖竊取用戶登錄信息的虛假登錄頁面。對普通員(yuán)工(gōng)而言，要準确識别出第三方應用連接是否安全并不容易。

10、不安全的内部訪問權限設置與共享

當員(yuán)工(gōng)在SaaS應用（例如Google Drive或DropBox）中(zhōng)創建共享文件時，爲了方便起見，通常會将查看、編輯或下(xià)載權限設置爲“所有訪問鏈接的人”。但當員(yuán)工(gōng)在開(kāi)放(fàng)的内部渠道（如所有員(yuán)工(gōng)均可訪問的公共平台）上共享鏈接時，這些敏感數據的訪問點将無限期地處于開(kāi)放(fàng)和過度曝光狀态。如果沒有辦法讓共享鏈接在設定時間内自動關閉，就無法确保鏈接中(zhōng)的共享數據不會被未經授權的人員(yuán)竊取和利用。

本文轉載自安全牛