本文来自微信公众号“安全牛”。
软件即服务（SaaS）应用可以给企业数字化发展带来很多便利，能够帮助用户实现更具性价比的实时工作协同，提升业务效率。但是，当企业频繁通过SaaS应用进行日常文件和业务数据交换时，如果缺少精细化的安全访问控制措施，将会让企业面临严重的数据泄漏风险。以下梳理汇总了企业在使用SaaS系统时，经常会发生的十种数据安全风险：
1、SaaS应用的访问权限缺乏时效性管理
存储在SaaS应用程序中的文件的访问权限时效性通常是无限期的，例如，当第三方供应商和企业内部员工之间凭借SaaS应用程序通过共享链接来访问、下载敏感文档或数据文件后，除非手动对共享链接进行权限更改，否则这些链接将无限期处于“活跃状态”。
而多数情况下，当双方的共享协作需求满足后，企业内部员工一般也不会去追溯、删除第三方供应商的访问权限，这意味着即使外部人员没有访问需求后，存储在SaaS应用程序中的信息访问权限却仍然存在。这不仅是一种不良的商业行为，还增大了恶意人员泄露敏感数据的可能性。
2、企业员工个人身份信息过度曝光
很多企业内部曝光在公共软件平台、共享文件夹或提供潜在客户服务系统中的员工个人信息长期处于公开状态，允许所有具有高级访问权限的人员无限期的查看、下载甚至使用。
传统的数据防泄漏（DLP）解决方案中的PII（个人身份信息）扫描工具对存储在SaaS应用程序中的数据并不适用，安全人员只能通过手动的方式，发现和删除这些共享的PII，但绝大多数安全团队通常无暇顾及。
3、第四方外部人员的安全风险无法评估
企业的第三方合作伙伴在访问了企业内部的SaaS应用程序中的数据后，极有可能将这些数据共享给第四方外部人员（例如他们自己的外部供应商），而这些第四方人员可能并未获得企业内部的授权，且可能未经过安全风险评估。
实施统一的权限访问策略以防止在SaaS应用程序之中存在第四方共享人员是一项非常复杂的工作，因此这一附加层面的安全访问控制通常会被忽略。
4、员工在开放的环境下过度共享加密信息
技术人员可以通过SaaS通信渠道（例如公共Slack频道或Microsoft Teams聊天渠道）共享公有云账户密钥等加密代码，以实现团队之间的协同作业，仅通过各个SaaS应用程序自带的控制组件是无法阻止这种“过度共享”的行为的，即使企业内部明令禁止这种行为，开发团队之间为了协作方便也经常“明知故犯”，而且SaaS应用程序通常并不具备直接监管这些特权访问的功能，未经授权的恶意攻击者一旦获得这些不合规共享信息就会有机可乘。
5、多个SaaS应用程序的权限管理难以统一
企业通常都会使用多个SaaS应用系统，而不同的SaaS应用程序都会有内置的安全控制和功能，来帮助用户主动管理访问权限，但每个应用程序控制的深度和粒度差异很大，这使得在大型、云上数字化企业中实施精细化的SaaS安全管理策略变得异常困难。
6、对SaaS数据共享缺少监管
SaaS协作应用程序通常具有与第三方应用共享数据的功能（如电子邮件的多方转发、传递），这导致企业内部任何有权访问敏感数据的人，都可以方便地将数据存储到个人SaaS应用账户中，以供自己更方便的使用，这样就会造成监管措施的失效，进而造成数据泄露。更糟糕的是，像电子邮件这样的SaaS化应用多数均为未启用多因素身份验证等安全措施，这会进一步增加敏感数据的泄露风险。
7、离职员工的恶意使用行为
当企业内部人员岗位发生变更时，人事部门应及时向安全团队同步，以便安全团队提前预防已离职员工可能对企业内部带来的安全威胁，当大多数情况下，人事部门和安全团队之间的联系并不紧密，这样就很难获得跨所有SaaS应用程序用户活动的集中视图，不能及时的对已离职员工进行权限的自动化清理和消除，就很难防止因离职员工而导致的数据泄露问题，对于大型企业来说尤甚。
8、安全团队缺乏对业务安全需求的了解
安全团队通常会被SaaS环境中大量的可疑用户活动警报淹没，但很难快速确定哪些报警信息存在实际安全风险。因此安全团队只能定期手动查询内部和外部用户的活动，来了解他们的业务需求，并相应地调整访问权限。该流程增加了安全团队和业务团队之间不必要的交互，而且让安全团队针对业务的实际威胁平均修复时间变得更长。
9、员工通过SaaS系统访问有潜在风险的第三方应用程序
OAuth等第三方应用为SaaS应用程序提供了访问令牌，这些令牌授权特定账户进行信息共享，同时不会暴露用户的密码。这些第三方应用程序让工作更便捷，但也常被攻击者用于网络钓鱼。攻击者会创建看似合法的OAuth链接（URL），访问者在访问这些链接时，会收到“是否接受OAuth连接”的提示，通常情况下访问者并不会仔细查看URL或检查提示中的详细信息，就果断点击“接受”。此时链接就会将访问者转到定向的试图窃取用户登录信息的虚假登录页面。对普通员工而言，要准确识别出第三方应用连接是否安全并不容易。
10、不安全的内部访问权限设置与共享
当员工在SaaS应用（例如Google Drive或DropBox）中创建共享文件时，为了方便起见，通常会将查看、编辑或下载权限设置为“所有访问链接的人”。但当员工在开放的内部渠道（如所有员工均可访问的公共平台）上共享链接时，这些敏感数据的访问点将无限期地处于开放和过度曝光状态。如果没有办法让共享链接在设定时间内自动关闭，就无法确保链接中的共享数据不会被未经授权的人员窃取和利用。
