¿Son las soluciones SaaS inherentemente seguras? ¿Por qué o por qué no?

Todo el software conectado a la red es inherentemente inseguro. La seguridad es muy, muy difícil.

Entonces, la pregunta que creo que realmente está preguntando es: “¿Son las soluciones SaaS menos seguras que las soluciones internas?” Y para responder a esa pregunta (hipotética) con una pregunta … bueno, ¿por qué las soluciones internas serían más seguras que las soluciones SaaS?

Existe una ilusión de seguridad al poseer el hardware. “Se está ejecutando en nuestros servidores, que poseemos”. ¿Asi que? La ruta a la aplicación es a través del cable, no del edificio. Su firewall no es más seguro que el firewall de algunos proveedores de SaaS y posiblemente sea menos. ¿Cuál es su presupuesto de seguridad? ¿Cuán bien capacitado, bien equipado y bien pagado está su personal de seguridad? ¿Crees que puedes permitirte mejores personas de seguridad que Paypal o Amazon? Todo está virtualizado y todo está conectado. No es beneficioso poseer el hardware en la mayoría de los casos.

También existe una ilusión de seguridad en el desarrollo del software. ¿Qué tan bueno es tu equipo, realmente? ¿Tiene expertos dedicados en seguridad? Probablemente no, o es algo limitado.

Y finalmente, está el problema de los iniciados. ¿Su seguridad trata a los compañeros de trabajo de manera diferente a los de afuera? ¿Qué haces para controlar su acceso?

Claro, SaaS es inherentemente inseguro. Eso es porque el software en general es inherentemente inseguro. Usar una tarjeta de crédito también es inseguro. ¿Te irías sin ellos? La mejor manera de protegerse de los problemas de seguridad de SaaS es no usar SaaS en absoluto. ¿Cuál es el costo de oportunidad de eso?

Diría que la seguridad es relativa, y debe construirse de acuerdo con el nivel de amenazas que necesita abordar. Una cosa es ofrecer un software de juegos, es una cosa completamente diferente vender una solución bancaria. Ciertas industrias diferentes introducen conjuntos de cumplimiento específicos como PCI (para pagos seguros), HIPPA (cuidado de la salud), … La regulación es lo que demandarán sus clientes, y va hasta la cobertura del seguro, nuevamente según el caso. Aún así, puede cumplir con PCI y obtener un ataque importante al repositorio de tarjetas de crédito, lo que resulta en pérdidas importantes. La gestión de riesgos es el nombre del juego.

Sugiera dividir las amenazas a: DoS (básicamente cualquier cosa que pueda hacer caer su servicio), Fraude (robo de servicios o fondos), Violación de privacidad (exposición de datos privados).

En cuanto a la arquitectura de seguridad, examine:
– Capa de infraestructura.
– Control de acceso.
– Seguridad de la aplicación.

Buena suerte
Etai

Un factor a tener en cuenta al evaluar los riesgos de seguridad de SaaS Vs On-premise es la posibilidad de que los piratas informáticos entren en el entorno de SaaS multi-inquilino Vs un solo inquilino in situ.

Este factor cambia toda la magnitud de las amenazas haciendo que la comparación sea mucho más difícil. En el caso de las soluciones SaaS con contraseñas / credenciales de los clientes, información privada, datos financieros, IP de borde, etc., el riesgo en un entorno de múltiples inquilinos justifica una cuidadosa consideración de la alternativa local.

Mejor
Asaf