Hoe voldoe je als SaaS-leverancier aan de veiligheidseisen van je klanten?
Een groeiend aantal bedrijven adopteert in sneltreinvaart software as a service (SaaS) in plaats van commerciële kant-en-klare software aan te schaffen. Bedrijven die deze keuze maken, vertrouwen op SaaS-leveranciers om hun applicaties in de cloud te hosten. De IT-omgeving staat en draait dus niet meer in eigen datacenters. Techvolgers schatten dat de SaaS-markt jaarlijks met meer dan 20 procent zal groeien, om in 2024 een astronomisch bedrag van bijna 200 miljard dollar te bereiken. Om het even in perspectief te plaatsen: dit is een niveau dat bijna een derde van de totale markt voor bedrijfssoftware zou vertegenwoordigen.
De beweging richting SaaS heeft veel voordelen op het gebied van schaalbaarheid, flexibiliteit en beheer (minder complex, veel taken die de cloudprovider je uit handen neemt), maar brengt tegelijkertijd nieuwe cybersecurity-uitdagingen met zich mee. Veel veiligheidstaken belanden op het bord van de SaaS-leverancier. Hoe zorg je ervoor dat je als SaaS-leverancier altijd voldoet aan de veiligheidseisen van je klanten? En hoe waarborg je hun IT-continuïteit? We vertellen het je in dit blog.
Lees ook de blog: SaaS-beveiliging: bescherm je gegevens in de cloud.
Wat verwachten klanten van SaaS-leveranciers?
McKinsey deed een paar jaar terug onderzoek naar de belangrijkste verwachtingen die klanten op securitygebied koesteren als ze in zee gaan met een SaaS-leverancier. Zaken die prominent pronken op de meeste lijstjes zijn:
- Uitgebreide opties voor encryptie en het beheren van encryptiesleutels. Dit zijn belangrijke voorwaarden voor het goed beveiligen van data en gegevensuitwisselingen.
- Geavanceerde en uitgebreide mogelijkheden voor identiteits- en toegangsbeheer (IAM). Dit geldt zowel voor ‘federate IAM’ als op rollen en rechten gebaseerd identiteits- en toegangsmanagement.
- De juiste tools voor monitoring en logging. Die maken het mogelijk om de performance op peil te houden en eventuele afwijkingen of cyberdreigingen tijdig op te sporen.
- Een verregaande integratie van SaaS-diensten en -platforms met SOC en SIEM. Dit leidt tot meer mogelijkheden op het gebied van incident response.
SaaS-applicaties: de belangrijkste uitdagingen
De veiligheidsuitdagingen waarmee SaaS-leveranciers en hun klanten te maken hebben, zijn net zo divers als de meeste moderne IT-landschappen. Een overzichtje van de belangrijkste aandachtspunten op het gebied van SaaS-security.
Misconfiguratie
Als een applicatie (of zelfs een of enkele componenten ervan) niet correct is geconfigureerd, wordt de toepassing kwetsbaar voor cyberaanvallen. Misconfiguraties kunnen voortkomen uit menselijke fouten, maar ook het resultaat zijn van heimelijke activiteiten van hackers die op slinkse wijze je systemen binnensluipen.
Slechte monitoring en logging
Logging en monitoring zijn essentiële taken die meestal voor rekening komen van het security operations center (SOC) en het security information and event management (SIEM) van een SaaS-leverancier. Zwakke plekken in een van die twee of allebei de elementen maken je kwetsbaar en vergroten de kans op veiligheidsincidenten.
Gekaapte accounts
Het kapen van een cloudaccount (‘account hijacking’) door bijvoorbeeld een ransomware-aanval is een van de grootste risico’s binnen SaaS-omgevingen. Als je de accountbeveiliging niet op orde hebt, kunnen cybercriminelen bij waardevolle informatie komen en ermee aan de haal gaan of een organisatie afpersen.
Geen goede architectuur voor cloudbeveiliging
Een gebrekkige, gecompromitteerde of matig uitgedachte architectuur voor cloudbeveiliging kan de poorten van je digitale fort openzetten voor kwaadwillenden. Daarom moeten alle organisaties die actief zijn binnen het SaaS-domein een bottom-up veiligheidsontwerp creëren dat goed te integreren is met de oplossingen van de SaaS-leverancier.
Lees hier de blog: Cybersecurity is inmiddels een agendapunt voor iedere organisatie.
Veiligheid en SaaS: de belangrijkste maatregelen en best practices voor SaaS-leveranciers
Gelukkig zijn er wel goede manieren om als SaaS-leverancier grip te krijgen op de bovengenoemde uitdagingen. Tijd om de belangrijkste maatregelen en best practices op het gebied van SaaS-security nader te bekijken.
Zet in op agile security
Cyberdreigingen evolueren voortdurend, terwijl ook de modellen voor softwareontwikkeling en -delivery er tegenwoordig heel anders uitzien dan een paar jaar geleden. Klassieke watervalmodellen ruimen op steeds meer plekken het veld voor agile ontwikkelmethoden om applicaties sneller op de markt te brengen en ze te hosten in hyperscale-cloudomgevingen.
Als SaaS-aanbieder moet je dan ook een aantal stappen ondernemen om flexibele beveiligingsmogelijkheden aan te bieden. Denk bijvoorbeeld aan het inbouwen van beveiliging in alle agile ontwikkelingsprocessen. Het automatiseren van de beveiliging gedurende het hele ontwikkeltraject, het opnemen van beveiligingsexperts in scrumteams en het trainen van elke ontwikkelaar op het gebied van veilige codering zijn belangrijke onderdelen van zo’n securityframework.
Het is voor SaaS-leveranciers bovendien belangrijk om een infrastructureel-operationeel model op te bouwen met een duidelijk inzicht in het eigendom van de beveiliging. Zo’n overzicht bepaalt welke verantwoordelijkheden de SaaS-provider heeft, maar ook wat de klant zelf moet doen om zijn softwarelandschap veilig in te richten.
Ontdek en karteer je SaaS-data
Inzicht in je data is een belangrijke voorwaarde voor het leveren van goede SaaS-beveiliging. Dit kan door gegevens in kaart te brengen en te classificeren, bijvoorbeeld door het gebruiken van tags die gelijk laten zien hoe gevoelig of bedrijfskritisch bepaalde informatie is. Doe dat met de data die in gebruik, in transit en ‘at rest’ is. Door altijd te weten wat en waar je data zijn, zet je een grote stap naar het waarborgen van een maximaal beveiligingsniveau.
Gebruik goede data-encryptie
Cloudapplicaties genieten niet van de bescherming van traditionele beveiligingsmethoden als firewalls. Daarom zijn encryptie en goed sleutelbeheer essentieel bij het beschermen van SaaS-toepassingen. Je kunt als SaaS-leverancier gebruikmaken van transport data encryption (TDE) en transport layer security (TLS) om veilig data uit te wisselen en op te slaan binnen SaaS-omgevingen.
Zet effectieve IAM-tools in
Voorzie je klanten van de juiste tools en infrastructuur voor het toepassen van geavanceerd identiteits- en toegangsbeheer (IAM). Die zorgen ervoor dat ze altijd zicht hebben op welke mensen welke applicaties en omgevingen gebruiken. Met het juiste IAM-gereedschap kunnen organisaties rechten en rollen heel nauwkeurig afstemmen op hun specifieke veiligheidsbehoeften.
Log en monitor
Om datalekken en cyberincidenten te voorkomen, is inzicht essentieel. Dit krijg je als SaaS-leverancier door gebruik te maken van logging en monitoring. Op die manier schep je een overzicht van alle inlogpogingen (zowel de succesvolle als mislukte) en weet je precies wat er gebeurt binnen de SaaS-omgeving van een klant. De informatie die je haalt uit logging en monitoring is ook uitermate waardevol bij het verbeteren of ontwerpen van toekomstige beveiligingsscenario’s.
Gebruik een key vault service
Met een key vault service kun je door een gebruiker gegenereerde authenticatiegegevens veilig opslaan en indien nodig activeren. Dergelijke diensten bieden ook de mogelijkheid om automatisch willekeurige gebruikersnamen en wachtwoorden te genereren.
Zorg voor goede integratiemogelijkheden
De hoogtijdagen van de monolithische applicaties zijn voorbij. Als SaaS-leverancier is het daarom zaak om aandacht en tijd te besteden aan het integreren van jouw diensten en producten met de veiligheidstools en -omgevingen van je klanten. Investeer in connectoren tussen verschillende veiligheidssystemen en geavanceerde API’s, maar ook in gespecialiseerde teams die klanten helpen met veiligheidsvraagstukken en het implementeren van beveiligingsoplossingen.
Bied een goede continuïteitsregeling aan
Een faillissement van een SaaS-leverancier kan grote gevolgen hebben voor een bedrijf en in het slechtste geval zelfs de continuïteit van een organisatie bedreigen. Je krijgt te maken met een onvoorspelbaarheid die je liever niet ziet, aangezien SaaS-diensten vaak bedrijfskritische applicaties vormen die te allen tijde beschikbaar moeten zijn.
Een goede continuïteitsregeling helpt je om de kwaliteit van de IT-dienstverlening te waarborgen als je organisatie of een partner in de keten failliet gaat. De IT-omgeving van klanten blijft operationeel en wordt ondersteund, terwijl persoonsgegevens en andere belangrijke data beschikbaar blijven en niet op straat belanden of in verkeerde handen terechtkomen.
ACC ICT: jouw continuïteit, onze garantie
Als SaaS-leverancier heb je te maken met klanten die steeds hogere veiligheidseisen stellen aan hun IT-omgeving. Zonder een hoge IT-beschikbaarheid vallen de zaken immers al snel stil en krijgen je operationaliteit, productiviteit en reputatie een flinke knauw. Door grip te houden op je SaaS-data, klanten te voorzien van de juiste securitytools, geavanceerde encryptie te gebruiken, consequent te loggen en monitoren en een goede continuïteitsregeling aan te bieden, zorg je ervoor dat je voldoet aan de complexe veiligheidsbehoeften van de moderne SaaS-afnemer.
ACC ICT helpt je hier graag bij. We leveren niet alleen een breed assortiment aan managed (cloud)diensten, maar zijn ook een specialist in IT-continuïteit. We bieden twee innovatieve en complete continuïteitsregelingen die, afhankelijk van jouw situatie, de continuïteit borgen en onzekerheden wegnemen.
