Las aplicaciones de software como servicio (SaaS) se han convertido en la columna vertebral de muchas empresas modernas. Con la miríada de funcionalidades que ofrecen, maximizan la colaboración, la agilidad, la escalabilidad y, en última instancia, los beneficios. Por lo tanto, no es de extrañar que las empresas dependan hoy de cientos de aplicaciones, frente a las docenas de hace solo unos años.
Pero esta rápida adopción ha introducido vulnerabilidades completamente nuevas y puntos ciegos difíciles de detectar. 2024 fue testigo de muchos ataques originados en aplicaciones SaaS, incluidos los perpetrados por estados-nación. Y los titulares sobre los ataques a aplicaciones SaaS parecen cada vez más ominosos. Los culpables detrás de los ataques provienen de externos, internos, terceros e incluso errores humanos o negligencia no intencionados.
La necesidad de abordar esta tendencia creciente ha alcanzado un punto crítico. Dada la escala y velocidad del desarrollo y adopción de aplicaciones, estamos creando una superficie de ataque más grande para adversarios cada vez más capaces. En un entorno de alto riesgo, los controles de seguridad tradicionales ya no son suficientes.
Un cambio necesario hacia un enfoque contextual
En el mundo de las aplicaciones SaaS, todo está en constante movimiento: los usuarios cambian, los empleados se van, se añaden nuevos proyectos, etc. Diferentes equipos usan diferentes aplicaciones, a veces incluso aquellas que no han sido autorizadas por los equipos de TI y seguridad. Es muy fácil que los empleados configuren incorrectamente las aplicaciones, provoquen una mala configuración, compartan datos sensibles y, en ocasiones, dejen de usar la aplicación después.
Si realizara hoy un ejercicio de inventario de datos de aplicaciones SaaS, ¿qué tan seguro estaría de haber identificado todas las aplicaciones de terceros conectadas a sus aplicaciones críticas (conectividad App2App) y de que todas sus aplicaciones están protegidas?
Con tantas piezas en movimiento, el entorno de aplicaciones SaaS no puede capturarse ni gestionarse con una instantánea superficial. Necesitaría considerar las numerosas capas de operaciones, conexiones y datos involucrados. Necesitaría reconocer cada capa individualmente y también entender cómo interactúan e influyen entre sí de forma continua. Si se apega a métodos de seguridad estáticos tradicionales, como datos históricos y listas de verificación, no llegará lejos. Como líder de seguridad, lo que necesita es un nuevo enfoque dinámico que tenga en cuenta el contexto cambiante y las prioridades.
En un escenario ideal, su primer paso es categorizar ampliamente sus aplicaciones SaaS en aquellas que respaldan procesos críticos y contienen datos esenciales de la empresa, y aquellas que no. Las aplicaciones críticas incluyen Microsoft 365, Google Workspaces, Salesforce, Slack y Zoom, así como herramientas departamentales como GitHub, aplicaciones de Atlassian y HubSpot. En la categoría menos crítica, considere aplicaciones de nicho utilizadas por los empleados para tareas específicas, como trabajo remoto, entrevistas, revisiones de productos y la reciente ola de aplicaciones de IA generativa (GenAI).
Esta categorización le dará un excelente punto de partida, pero es importante reconocer que cada organización tiene patrones de uso de aplicaciones únicos. Por ejemplo, una aplicación que es crucial en otra empresa puede no ser significativa para la suya. Para desarrollar un enfoque efectivo, querrá considerar qué aplicaciones son críticas para su negocio específico. ¿Qué nivel de permisos están asociados con estas aplicaciones y cuentas? ¿Qué tipo de datos se comparten?
Las respuestas a estas preguntas cambian constantemente. Una aplicación SaaS que considere no crítica hoy puede representar el mayor riesgo mañana. Si todas estas respuestas pudieran integrarse en una única fuente de verdad, le daría el contexto, ayudaría con la priorización y, en última instancia, simplificaría la gestión de la proliferación de aplicaciones SaaS.
Una mirada más profunda a la contextualización
Muchas personas piensan en la 'contextualización' como una actividad que tiene lugar como parte de la 'preparación del escenario', algo que se hace al comienzo de un proyecto. Para que la seguridad de las aplicaciones SaaS tenga éxito, debemos volver al significado etimológico de la palabra, 'entretejer', y entender que el contexto exige atención continua a través de diferentes elementos y etapas, en todo el espectro de aplicaciones SaaS. La contextualización efectiva es un esfuerzo continuo y hay que considerar muchas dimensiones.
Tomemos, por ejemplo, los datos históricos de la aplicación. ¿La aplicación ha sido violada antes? ¿Cómo? ¿Cumple la aplicación con los estándares SOC2, CCPA y GDPR? ¿Cuáles son sus debilidades de configuración? Si bien estas preguntas son cruciales, confiar únicamente en sus respuestas no proporcionará el contexto completo. Las vulnerabilidades identificadas en el pasado pueden evolucionar rápidamente, planteando riesgos nuevos o amplificados. Esto fue evidente en el ataque sistemático a los entornos de Snowflake en mayo de 2024, destacando que incluso medidas como MFA, que parecen tan obvias, pueden dejar a las empresas altamente vulnerables si no se aplican de manera consistente en todas las plataformas y aplicaciones relevantes.
Añadamos a la mezcla el uso actual de la aplicación y la visibilidad. Tendría sentido revisar los permisos de los usuarios, obtener visibilidad en tiempo real del uso de la aplicación, verificar la existencia de shadow IT y detectar si una aplicación impulsada por IA generativa está entrenando con sus datos. Pero, de nuevo, una aplicación que era segura hace seis meses podría presentar nuevos riesgos hoy debido a cambios en cómo se usa, cómo se ha actualizado o qué hacen sus empleados con ella. Problemas como cuentas con privilegios excesivos e integraciones de terceros no monitoreadas pueden introducir nuevos riesgos en cualquier momento. Un incidente notable ocurrió en septiembre de 2023, cuando MGM Resorts, uno de los operadores de casinos más importantes del mundo con múltiples propiedades en el Strip de Las Vegas, fue víctima de un ciberataque importante a través de su IDP y mediante ingeniería social en el servicio de asistencia técnica.
Un tercer elemento involucra posibles vectores de ataque, etc. La noticia de un ataque, por sí sola, puede no significar mucho o puede causar demasiado estrés injustificado. Aquí nuevamente, poner la información en el contexto relevante significaría el entretejido continuo de inteligencia de amenazas externa con datos y brechas internas.
Al combinar estos tres elementos (información histórica, uso actual y ataques potenciales) puede obtener un contexto continuo, que le ayudará a priorizar sus respuestas.
Priorización para un enfoque proactivo
La priorización es esencial no porque sus equipos de seguridad no logren detectar amenazas y brechas, sino porque a menudo detectan demasiadas. Con una abrumadora cantidad de alertas, simplemente no es factible, ni humana ni técnicamente, investigar cada alarma que suena. Priorizar le permitirá centrarse en las amenazas más críticas, asegurándose de poder responder de manera efectiva sin perderse en un mar de alertas. Le permitirá responder antes de que un problema se convierta en un problema del mundo real.
Entonces, ¿cómo priorizamos los riesgos de manera efectiva? La respuesta es mediante un sistema de puntuación dinámico y efectivo específicamente adaptado al entorno de aplicaciones SaaS. Dicho sistema puede proporcionar una puntuación de postura para su seguridad SaaS general, una puntuación para cada aplicación crítica y una evaluación de riesgos detallada que tenga en cuenta factores como la dependencia del usuario, las vulnerabilidades de la aplicación y los datos históricos sobre aplicaciones violadas.
En resumen, para asegurar sus aplicaciones SaaS y protegerse contra filtraciones y violaciones de datos, su estrategia debe incluir un enfoque contextual. Debe tener en cuenta el rendimiento histórico, las tendencias cambiantes, las amenazas emergentes y la interacción entre ellos. Debe ayudarle a obtener las respuestas que necesita de forma instantánea y continua. Debe darle una forma confiable de priorizar riesgos y brechas y decidir qué acciones tomar, todo sin crear trabajo adicional o carga para usted o su equipo.
El camino a seguir con Wing Security
Para optimizar y asegurar la adopción y el uso de SaaS, Wing fue el primero en la industria en adaptar el conocido marco MITRE CWSS (Common Weakness Scoring System) a la seguridad SaaS para puntuar las debilidades de las aplicaciones SaaS de manera confiable. Este CWSS adaptado es parte de la solución Wing Security, creando un lenguaje cuantificable y aportando claridad y enfoque a sus esfuerzos de seguridad SaaS. Proporciona una puntuación de salud de seguridad, que brinda el contexto que necesita, así como herramientas para la priorización para agilizar sus esfuerzos.
Wing Security ofrece una solución de seguridad SaaS holística y de bajo contacto que proporciona visibilidad y control completos en todo el ecosistema SaaS, ayudando a los equipos de seguridad de mercado medio a minimizar las superficies de ataque, mejorar la postura de seguridad y detectar y responder proactivamente a las amenazas. A diferencia de otros, Wing incluye remediación integrada, lo que permite a los equipos abordar los riesgos con un esfuerzo mínimo mediante procesos automatizados o manuales. Con su enfoque integral, Wing simplifica la gestión del ciclo de vida de la seguridad SaaS, garantizando que los datos estén protegidos y las configuraciones se gestionen correctamente para los CISOs.
Nota: Este artículo, escrito expertamente por Yoav Kalati, vicepresidente de producto de Wing Security, se basa en sus más de 15 años de experiencia en ciberdefensa tanto a nivel nacional como internacional. Yoav comenzó su carrera en la unidad 8200 del ejército israelí, donde desempeñó varios roles de ciberdefensa, retirándose finalmente tras una exitosa trayectoria en la división de Inteligencia de Amenazas Cibernéticas del ejército. Ha recibido numerosos certificados de excelencia, incluido el reconocimiento del jefe de la Dirección de Inteligencia Militar y del jefe de la División de Defensa Cibernética.
