Nawet 130 - z tylu różnych aplikacji SaaS korzystały firmy w 2022 r.

centra danych centrum it bezpieczeństwo chmura / Shutterstock

Rosnący poziom cyfryzacji i powszechny model pracy rozproszonej niesie duże wyzwania związane z ochroną danych poufnych i wrażliwych. W 2022 r. firmy korzystały przeciętnie nawet ze 130 różnych aplikacji SaaS. Jak zapewnić ochronę danych poufnych w tak rozbudowanym środowisku?

Digitalizacja to wygoda, ale i zagrożenie

W dobie postępującej digitalizacji w firmach i instytucjach pojawiają się poważne wyzwania i zagrożenia. Z jednej strony rośnie liczba cyberataków, w wyniku których dochodzi do wycieku danych firmowych czy danych klientów. Z drugiej zaś, organizacje muszą zapewnić zgodność z coraz bardziej rygorystycznymi przepisami regulującymi m.in. kwestie ochrony dostępu do danych wrażliwych i poufnych. Jak wynika z danych Statista.com[1], tylko od 2020 do 2022 r. liczba różnych aplikacji SaaS używanych przez firmy wzrosła z ok. 80 do 130! Do tego trzeba uwzględnić jeszcze aplikacje serwerowe czy aplikacje własne, zbudowane w środowisku chmury. Zdaniem Rafała Barańskiego, CEO braf.tech, polskiej firmy tworzącej rozwiązania wspierające działy compliance, każde takie rozwiązanie wymaga kontroli ze strony organizacji:

- W ramach licznych rozwiązań informatycznych, wykorzystywanych w pracy każdego dnia, przechowujemy i przetwarzamy ogromną ilość danych, często poufnych lub wrażliwych. To różne informacje dotyczące naszych pracowników, umowy z partnerami biznesowymi, transakcje handlowe i bankowe czy dane konsumentów. Wszystkie z nich wymagają ochrony przed niepowołanym dostępem, zarówno zewnętrznym, jak i wewnętrznym. O ile w przypadku oprogramowania, które posiadamy w ramach własnej infrastruktury możemy zapewnić wysoki poziom bezpieczeństwa i jesteśmy w stanie łatwo monitorować działania użytkowników, to ograniczenie dostępu do zewnętrznych aplikacji jest już bardziej złożone i wymaga dodatkowych narzędzi. Im więcej systemów posiadami i im większa jest liczba użytkowników, tym ten problem staje się poważniejszy.

Jak firma może kontrolować dostęp i uprawnienia

Rozwiązaniami, które pozwolą nam kontrolę dostępu do wszelkich aplikacji wykorzystywanych w firmie są systemy klasy Identity Governance and Administration (IGA) lub Identity and Access Management (IAM). IAM skupia się na zarządzaniu tożsamościami użytkowników oraz kontrolowaniu dostępu do zasobów IT. Dzięki niemu organizacje mogą zapewnić, że tylko uprawnione osoby mają dostęp do odpowiednich aplikacji, danych i systemów, eliminując ryzyko dostępu nieuprawnionych. IGA natomiast idzie o krok dalej, łącząc zarządzanie tożsamościami z zarządzaniem uprawnieniami. Pozwala to na kontrolowanie, kto ma dostęp, do jakich danych i aplikacji na poziomie biznesowym. To istotne zarówno w kontekście zapewnienia zgodności z przepisami, jak i minimalizacji ryzyka nadmiernego dostępu, dostępu nieuprawnionych osób czy niewłaściwego zarządzania cyklem życia tożsamości użytkowników. 

IAM koncentruje się na zarządzaniu tożsamościami użytkowników, ich autoryzacją i autentykacją oraz kontrolą dostępu do aplikacji, systemów i danych. Z kolei IGA to bardziej zaawansowane podejście, które łączy w sobie zarządzanie tożsamościami i zarządzanie uprawnieniami. Obejmuje ono zarówno techniczne aspekty IAM, jak i procesy zarządzania tożsamościami na poziomie biznesowym, takie jak recertyfikacje, audyty zgodności i zarządzanie pełnomocnictwami. Zdaniem Rafała Barańskiego, mimo że systemy klasy IAM wydają się być bardziej rozbudowane pod względem swoich funkcji, to jednak rozwiązania IGA, często zapewniają więcej informacji o dostępie do konkretnych systemów i przebiegu procesu ich przyznawania:

- Systemy klasy IGA, np. Sara.Next, są co prawda tylko wycinkiem IAM, ale bardziej wyspecjalizowanym i ukierunkowanym pod kątem compliance. Przede wszystkim dają większą możliwość budowy uprawnień użytkowników na każdym poziomie, jaki występuje w danej organizacji - stanowiska, specjalnej funkcji, działu, kraju czy większego obszaru geograficznego. Pozwalają również na szczegółowe prześledzenie procesu ich przyznawania czy cyklicznej weryfikacji uprawnień. Jeśli dojdzie do audytu zewnętrznego, łatwo jesteśmy w stanie udokumentować, kto i kiedy posiadał dostęp do konkretnych danych. Systemy IAM są bardziej ustandaryzowane - tam nikt nie projektuje procedur ani zarządzania tożsamościami krok po kroku. Proces jest maksymalnie uproszczony - zapytanie o uprawnienia, zatwierdzenie i zaimplementowanie, tylko na podstawie struktury HR-owej. Dlatego systemy IGA po wdrożeniu stają się najbardziej wiarygodną i aktualną bazą tożsamości i uprawnień w organizacji, istotną z punktu widzenia komórek odpowiadających za compliance czy bezpieczeństwo.

IAM lub IGA - czy posiadanie będzie koniecznością?

Rafał Barański uważa, że zarówno systemy IAM, jak i IGA są konieczne przy wykorzystywaniu wielu aplikacji SaaS czy systemów osadzonych w środowisku chmurowym. W takim przypadku organizacji trudniej jest zagwarantować bezpieczeństwo poufnych danych, więc powinna ona przynajmniej monitorować dostęp do oprogramowania oraz poziom uprawnień użytkowników. Jest to obarczone jednak pewnym wyzwaniem:

- W przypadku oprogramowania hostowanego nie zawsze mamy możliwość pełnej integracji (ze względów technicznych lub prawnych) takiego rozwiązania z naszym firmowym ekosystemem. Zdarza się, że nawet w trakcie użytkowania aplikacji, po pełnym jej wdrożeniu, pojawiają się luki bezpieczeństwa, np. po aktualizacji. Posiadając jednak własne rozwiązanie IGA, łatwo możemy sprawdzić, kto w danym momencie ma dostęp, na jakim poziomie oraz jak wyglądał proces jego przyznania. Teoretycznie takie systemy nie są prawnie wymagane, ale w praktyce wspierają firmę w zapewnieniu zgodności z przepisami w różnych obszarach – np. w przypadku przepisów RODO, AML czy SOX (dla firm działających w USA). Jeśli w wyniku incydentu, dojdzie do wycieku danych, łatwo możemy sprawdzić, w którym miejscu nasze procedury posiadają luki, kto w danym momencie posiadał dostęp do konkretnych zasobów i im przeciwdziałać.

***

Już teraz firmy i instytucje korzystają z rozbudowanego środowiska aplikacyjnego i systemowego, a wiele wskazuje na to, że w przyszłości liczba aplikacji jeszcze się zwiększy za sprawą rozwiązań z obszaru AI i Generative AI. To oznacza, że zapewnienie ochrony danych, zwłaszcza w czasach pracy rozproszonej i przechowywania danych przede wszystkim na zewnętrznych serwerach staje się konicznością. To nie tylko kwestia zgodności z przepisami, ale też odpowiedzialności organizacji za przechowywane dane i ochrony przed cyberzagrożeniami czy nadużyciami. 

[1] https://www.statista.com/statistics/1233538/average-number-saas-apps-yearly/ 

Więcej ważnych informacji znajdziesz na stronie głównej Infor.pl

oprac. Kinga Olszacka
rozwiń więcej
Moja firma
Brak chętnych do pracy. Restaurator oferuje prawie 1300 zł za pomoc w znalezieniu kelnera
08 maja 2024

Sezon letni jeszcze się nie rozpoczął, a w branży gastronomicznej i hotelowej już, tak jak co roku, brakuje pracowników. Właściciel bistro w Aoście na północy Włoch oferuje bon wartości 300 euro osobie, która pomoże mu znaleźć kelnera. 

Ogromne zmiany na rynku pracy w ciągu najbliższych 5 lat
07 maja 2024

Najbliższe 5 lat na rynku pracy ma przynieść ogromne zmiany. Według Adecco zniknie 83 miliony miejsc pracy, a na ich miejsce powstanie jedynie 69 milionów innych. Jakie posady są zagrożone? 

Nowa usługa finansowa dla prowadzących działalność gospodarczą: gotówka na niski procent
07 maja 2024

Teraz gotówka na niski procent lub przy spełnieniu dodatkowych warunków całkowicie nieoprocentowana, staje się nową usługą dla przedsiębiorców korzystających w mikrofaktoringu lub dopiero mających w planach skorzystanie z takiego instrumentu. W uproszczeniu ten nowy produkt przypomina zaliczkę tytułem wpływów z przyszłej faktury i pozwala na zachowanie płynności finansowej w okresie gdy jeszcze produkt nie został sprzedany a więc i faktura nie może być wystawiona.

Wartościowe środowisko pracy - czym jest, jak je stworzyć?
07 maja 2024

Dobra atmosfera w pracy przedkłada się na lojalność pracowników, ich motywację i zaangażowanie. Jak zapewnić pracownikom najlepsze employee journey? 

Jak Nvidia może zyskać na wartości dzięki inwestorom w akcje memy
07 maja 2024

Dzięki fantastycznemu rocznemu zwrotowi, przekraczającemu obecnie 220%, Nvidia stałą się jedną z najczęściej dyskutowanych spółek w ostatnim okresie i dowodem na to, że rynek technologiczny trzyma się dobrze. Czy spółka należy również do kategorii akcji memów, czy raczej jej wycena jest oparta o solidne podstawy?

Drogi prąd będzie przyczyną zahamowania sztucznej inteligencji?
07 maja 2024

Wykorzystanie sztucznej inteligencji to duże koszty energetyczne. Czy bez inwestycji w strukturę centrodanową i energetyczną rozwój AI wyhamuje? 

Chmura obliczeniowa - bezpieczeństwo danych w erze cyfrowej transformacji, czyli dlaczego polskiego przedsiębiorcy nie stać na rezygnację z chmury [WYWIAD]
06 maja 2024

Czym jest chmura obliczeniowa? Czy przedsiębiorca korzystający z chmury może czuć się bezpiecznie? Czy to opłacalna inwestycja? O tym wszystkim rozmawiamy z Tomaszem Stachlewskim, Head of Technology CEE w AWS. 

OECD: Polska gospodarka zaczyna się powoli ożywiać. Inflacja będzie stopniowo zwalniać
02 maja 2024

Najnowsza prognoza makroekonomiczna OECD zawiera ocenę globalnej sytuacji gospodarczej oraz szczegółowy opis sytuacji gospodarczej państw członkowskich OECD, w tym Polski.

System kaucyjny do zmiany. Jest nowy projekt
30 kwi 2024

Ministerstwo Klimatu i Środowiska przygotowało projekt nowelizacji ustawy o gospodarce opakowaniami i odpadami opakowaniowymi. Odnosi się on do funkcjonowania systemu kaucyjnego. Zgodnie z nim kaucja będzie pobierana w całym łańcuchu dystrybucji. Co jeszcze ma się zmienić?

Rewizja KPO przyjęta przez rząd. Co z podatkiem od aut spalinowych?
30 kwi 2024

Rewizja Krajowego Planu Odbudowy (KPO) została przyjęta przez Radę Ministrów - poinformowała na platformie X minister funduszy i polityki regionalnej Katarzyna Pełczyńska-Nałęcz.

pokaż więcej
Proszę czekać...