2023年，与第三方集成相关的数据泄露事件激增，由于现代SaaS（软件即服务）环境相互关联，此类事件对各机构造成了重大影响。
各机构必须采取全面的SaaS安全战略，包括加强身份安全、配置管理和集成审计，以降低漏洞风险并防范数据泄露。
随着人工智能与SaaS应用的普及，稳健的第三方风险管理实践已成为保护关键业务数据和应用的当务之急。
2023年，各机构面临的数据泄露事件数量再创新高。过去一年，41%的机构遭遇重大安全事件，并表示该事件由第三方引发。在美国，超过一千个实体受到影响，而仅有87个机构遭到成功攻击，这凸显了当今第三方所带来的网络风险之大。
尽管大多数机构高度警惕第三方带来的风险，但第三方风险管理往往只评估网络安全态势或网络卫生状况，而未进一步考虑这些第三方与机构之间的关联方式，即网络供应链的实际构成。
现代分布式基础设施，其高度依赖软件即服务（SaaS）的使用，为未受监控地访问企业数据和业务流程创造了无穷的新机会。攻击者利用云环境时，会借助错误配置、人为失误、社会工程学、凭证窃取及其他攻击手段，入侵关键业务数据和应用。
SaaS应用使IT采购趋于去中心化，因为各业务部门都会采用各自的生产力工具，导致大量应用管理员游离于IT和安全团队之外。这些SaaS应用具备一套独特的安全功能，必须单独进行配置，因此容易出现人为失误，进而导致错误配置，给机构带来巨大的安全漏洞。
随着越来越多的应用参与敏感数据工作流程，并与关键业务应用集成，数据泄露的可能性也随之增加。
人工智能加速自动化背景下的安全防护
除第三方数据泄露事件增多之外，2023年人工智能（AI）也成为创新领域的焦点。数十年来，人工智能与机器学习的创新一直以流程自动化为核心，旨在提高生产力，而这项技术依赖于软件和技术领域的第三方集成。
2024年，人工智能融入现代职场所带来的益处将继续受到关注。这一益处将加速并加剧当前已遭利用的第三方漏洞。
各机构务必优先建立稳健的SaaS安全体系，以便在将人工智能的益处进一步融入机构运营之前，遏制第三方风险。
建议一：摸清资产底数
SaaS应用的采用率迅速提升，过去两年间增长了41%，已成为首席信息官和首席安全官最为担忧的首要漏洞问题。诸如Okta、Circle CI、Salesforce及Google Workspace等应用中出现的违规与配置错误表明，从核心业务应用到安全类SaaS应用，各机构都面临着挑战。
以Okta遭受的攻击为例，该攻击波及其100%的客户群，这表明就基于SaaS的第三方数据泄露而言，单个事件就可能对数千个机构产生连锁影响。
各机构往往想当然地认为，专为管理云原生资产而设计的多因素认证等方案已全面部署。然而，每个机构都有至少1%的SaaS账户未受多因素认证保护，由此形成现实风险。
这一风险看似微小，但Drizly凭证填充攻击表明，只要有一个认证薄弱的账户，就可能引发重大安全事件。此外，SaaS应用已发展成为存储和共享企业数据的平台，这也加大了其因人为失误而导致数据暴露的风险。
SaaS采购呈分布式格局，因此各机构比以往任何时候都更需要清楚掌握其SaaS资产的情况，包括资产由谁管理、其中存储了哪些信息，从而切实做好安全管理。
建议二：管理并监控配置
SaaS应用通常提供大量配置选项。许多安全配置默认处于未启用状态，因此应用管理员须自行负责正确的安全配置。由于应用管理员大多不在IT业务部门内，许多管理员在无意中因访问安全措施薄弱而增加了数据暴露的风险。
SaaS应用采购的去中心化特点意味着，IT部门和安全部门往往无法提前知晓新应用的部署情况，因而难以及时发现机构内部由配置问题带来的风险。
各机构务必全面盘点其SaaS应用，并定期监控安全配置，既要确保安全政策得到切实执行，也要及时发现配置随时间推移而发生的变化，防止应用安全性下降。
建议三：盘点并审计集成
SaaS应用的优势之一在于即插即用，以及低代码或无代码集成——正是这种无缝的服务互操作性，同时也带来了新的漏洞风险。
SaaS产品的一大优势在于能够通过集成与其他应用即插即用，从而整合并简化数据访问及应用功能。然而，同样的互操作功能也会带来漏洞：它会在存放关键业务和客户数据的应用中引入错综复杂的入口点。
平均而言，SaaS平台提供数百种集成选项，可在多个平台之间建立授权连接。一般机构中超过50%的集成处于非活跃状态。这些集成为攻击者提供了授权路径，使其能够悄无声息地访问关键SaaS应用，进而可能造成更大范围的入侵。此外，各机构平均拥有21个可实现全机构范围访问权限的集成，从而为系统性入侵铺设了全局通道。
机构内许多非活跃集成源于已弃用的旧供应商以及不再使用的概念验证项目，由此形成潜在的隐患风险。为降低此类风险，各机构必须主动监控第三方集成在应用之间的建立位置及其所拥有的访问权限级别。对SaaS应用进行定期审计时，还应强制轮换密钥和认证令牌，以降低凭证随时间推移被盗的风险。
通过主动了解、管理和审计SaaS资产及其配置与集成，各机构可以加固防御体系，抵御第三方风险，并在现代数字生态系统中保障关键数据安全。
