← Referenční architektury / reference-architecture / design-guides

Zabezpečení aplikací SaaS pomocí frameworku Zero Trust

SaaS aplikace se v dnešním podnikání staly klíčovými, zejména s rozšířením hybridních pracovních modelů. S tím, jak organizace přecházejí na flexibilní způsoby práce, je pro udržení produktivity a spolupráce v rozptýlených týmech nezbytné, aby SaaS aplikace nabízely spolehlivý globální přístup.

SaaS aplikace výrazně snižují zátěž IT týmů, protože odpadá potřeba spravovat podkladovou infrastrukturu. Tím, že tyto povinnosti přebírá poskytovatel SaaS, se organizace už nemusí starat o životní cyklus hardwaru a softwaru ani o škálovatelnost. Předplatitelský model SaaS aplikací navíc snižuje vstupní bariéry díky nižším počátečním nákladům a ve výsledku nabízí nižší celkové náklady na vlastnictví (TCO) ve srovnání se staršími aplikacemi.

Vedle těchto výhod přinášejí aplikace SaaS i nové výzvy a bezpečnostní rizika. Jejich dostupnost přes internet vyžaduje větší důraz na zabezpečení uživatelů a zařízení, aby se zabránilo neoprávněnému přístupu a úniku dat. Zajištění správy uživatelů (onboarding a offboarding), odpovídajících kontrol přístupu a přehledu o zabezpečení zařízení je nezbytné, aby k firemním aplikacím měli přístup jen oprávnění uživatelé z důvěryhodných zařízení. IT týmy navíc musí sledovat aplikace SaaS z hlediska špatné konfigurace a mít přehled o rizikové aktivitě uživatelů. Zaměstnanci mohou veřejně sdílet soubory obsahující citlivé informace nebo propojit správované aplikace SaaS s neschválenými aplikacemi třetích stran, a to vše bez vědomí IT týmu.

Snadnost, s jakou se uživatelé mohou registrovat k novým službám SaaS, zejména bezplatným a oblíbeným, často vede k tomu, že týmy IT nemají přehled o všech aplikacích, které zaměstnanci používají. Tomuto trendu se říká Shadow IT ↗. Tyto nespravované aplikace SaaS mohou zaměstnanci zneužít, ať už úmyslně, nebo omylem, což může vést k úniku dat, pokud do aplikací mimo kontrolu IT týmu nahrají citlivá data.

Pokus o použití tradiční bezpečnostní model typu hrad a příkop ↗ není vhodné pro aplikace SaaS, protože jejich služby a data už nejsou omezeny na místní datová centra v podnikové síti. Tento zastaralý přístup nutí volit mezi zabezpečením a výkonem:

• Jednou ze strategií, kterou organizace k posílení zabezpečení volí, je odstínění aplikací SaaS od zbytku internetu pomocí seznamů povolených IP adres (allow list) a směrování provozu přes datové centrum organizace, kde jej lze kontrolovat a filtrovat podle bezpečnostních zásad. Tato metoda ale negativně ovlivňuje uživatelský komfort, protože směrování veškerého provozu přes jediné datové centrum zvyšuje latenci a snižuje šířku pásma.
• Pokud je naopak provoz uživatele odesílán přímo do internetu a obchází místního klienta VPN pomocí split tunnelingu, dochází k oslabení zabezpečení a přehledu, protože se obchází firemní síťové kontroly (a použití seznamů povolených IP adres už není možné).

Zde se uplatní architektura SASE (Secure Access Service Edge) implementující framework Zero Trust se stává nezbytností. Centralizací zabezpečení do globální cloudové sítě odpadá nutnost volit mezi zabezpečením a výkonem. Provoz uživatelů už nemusí kvůli zabezpečení procházet jediným vzdáleným datacentrem. U Cloudflare se provoz uživatelů směruje do našich služeb v nejbližším z několika stovek datacenter, kde projde potřebnými bezpečnostními kontrolami. Tyto kontroly jsou implementované v jednoprůchodové architektuře, aby nezvyšovaly latenci, a uplatňují se jednotně v celé síti Cloudflare.

Tento průvodce návrhem se zaměřuje na to, jak architektura Cloudflare SASE dokáže účinněji a efektivněji zabezpečit přístup uživatelů k SaaS aplikacím i data v nich obsažená. Pro širší pochopení toho, jak lze Cloudflare využít pro iniciativy zero trust v organizaci, si přečtěte náš Referenční architektura SASE.

Tento průvodce je určen pracovníkům IT a bezpečnostních týmů, kteří chtějí ve své organizaci bezpečně zavést a nasadit aplikace SaaS a zároveň zachovat pozitivní uživatelský dojem. Předpokládá znalost pojmů jako poskytovatelé identity (IdP), uživatelské adresáře, jednotné přihlašování (SSO) a technologie prevence úniku dat (DLP).

Co se dozvíte:

• Jak zabezpečit přístup ke spravovaným aplikacím SaaS a chránit jejich data
• Klíčové aspekty při používání cloudových e-mailových řešení
• Jak získat přehled o neřízených aplikacích SaaS a znovu nad nimi převzít kontrolu

Tento průvodce předpokládá, že máte smlouvu Cloudflare Enterprise, která zahrnuje:

• Licence Cloudflare Zero Trust pro počet uživatelů, které plánujete začlenit
• Cloudflare Cloud Email security se licencuje podle počtu uživatelů, jejichž e-maily v cloudové schránce budou filtrovány

Doporučené zdroje pro hlubší pochopení Cloudflare:

• Co je Cloudflare? | Web ↗ (čtení na pět minut) nebo video ↗ (dvě minuty)
• Blog: Zero Trust, SASE a SSE: základní koncepty pro vaši síť nové generace ↗ (čtení na 14 minut)
• Referenční architektura: Přechod na architekturu SASE s Cloudflare (čtení na tři hodiny)

Spravované aplikace SaaS jsou ty, které pořídilo a schválilo IT oddělení a které jsou součástí oficiální sady nástrojů používaných zaměstnanci k plnění jejich úkolů. IT oddělení tyto aplikace obvykle spravuje a odpovídá za:

1. Zabezpečení přístupu: Zajišťuje, aby k SaaS aplikacím měli přístup pouze autorizovaní uživatelé a zařízení. Součástí je i správa nástupu a odchodu uživatelů. Pokud například zaměstnanec organizaci opustí, jeho přístup se automaticky zruší. Obvykle to vyžaduje propojení SaaS aplikace s firemním řešením pro správu identit.
2. Ochrana dat: Zabraňuje únikům dat z SaaS aplikace a proaktivně zmírňuje rizikové chování uživatelů, které by mohlo vést k narušení bezpečnosti dat.
3. Konfigurace monitoringu: Identifikuje a rychle opravuje chybné konfigurace v SaaS aplikaci, aby fungovala bezpečně a efektivně.
4. Cloud email security: IT týmy by měly věnovat zvláštní pozornost cloudovým e-mailovým SaaS řešením. Protože je e-mail primárním cílem útoků, je k ochraně uživatelů před phishingem a dalšími e-mailovými hrozbami potřeba specializovaný přístup.

V pozdější části tohoto dokumentu se dozvíte, jak získat přehled a kontrolu nad nespravovanými aplikacemi, tedy například v situaci, kdy se marketingové oddělení rozhodne zaregistrovat a začít používat nový CRM systém bez zapojení IT nebo bezpečnostního oddělení.

Jednou z jednoduchých metod zabezpečení přístupu k aplikacím SaaS je povolit přístup pouze z konkrétní sady IP adres. To nutí uživatele připojit se ke konkrétní síti a odesílat z ní provoz, čímž se zajistí, že se na tento provoz uplatní veškeré prvky řízení přístupu platné pro danou síť.

Organizace, které již k zabezpečení přístupu k aplikacím SaaS používají seznamy povolených IP adres, mohou snadno přejít na Cloudflare pomocí vyhrazené odchozí IP adresy. Uživatelský provoz odchází z Cloudflare do internetu a dále do aplikace SaaS, přičemž pochází ze sady IP adres jedinečných pro danou organizaci. Tento přístup podporuje různé způsoby, jimiž uživatelé přistupují ke Cloudflare, než získají přístup k aplikaci SaaS:

• Hybridní zaměstnanci: Připojení ke Cloudflare pomocí našeho klienta Zero Trust, WARP.
• Uživatelé v kanceláři: Připojení k lokální síti, která směruje provoz určený do internetu ke Cloudflare přes GRE nebo IPsec Cloudflare WAN (dříve Magic WAN).
• Dodavatelé a externí uživatelé: Přístup k SaaS aplikacím prostřednictvím vzdálený prohlížeč hostované v datovém centru Cloudflare.

Organizace přidají nové vyhrazené výstupní IP adresy do stávajících seznamů povolených IP adres SaaS, aby provoz pocházející z Cloudflare mohl do aplikace SaaS vstoupit. Díky tomu mohou organizace zachovat starší způsoby připojení souběžně s Cloudflare a uživatele přesouvat postupně. Jakmile jsou všichni uživatelé přesunuti na přístup přes Cloudflare, lze seznamy povolených IP adres SaaS aktualizovat odebráním adres odpovídajících starší infrastruktuře.

Použití vyhrazených výstupních IP adres Cloudflare přináší ve srovnání s IP adresami z on-premise infrastruktury několik výhod:

• Vyhrazené egress IP adresy lze geolokalizovat do jednoho nebo více datových center Cloudflare v geografické oblasti dle vlastního výběru, místo aby byl omezen na zeměpisné umístění vašich stávajících datových center pro výstup do internetu.
• Uživatelé se vždy připojí k Cloudflare přes nejbližší datacentrum Cloudflare, přičemž Cloudflare následně optimalizuje cestu k dané SaaS aplikaci.
• Vyhrazené egress IP adresy se uživatelskému provozu přiřazují pomocí zásad založených na principech Zero Trust. Zásady egress lze definovat tak, aby vyhrazenou výstupní IP adresu přiřadilo uživateli pouze v případě, že patří do správné skupiny IdP a/nebo projde stav zařízení kontroly. V opačném případě bude provoz pocházet z veřejného rozsahu IP adres Cloudflare, který nemusí být součástí allowlistu IP adres dané SaaS aplikace, což zabrání přístupu k této aplikaci, přičemž běžné používání internetu zůstane zachováno.
• Vyhrazené egress IP adresy vyžadují, aby provoz procházel přes Cloudflare ještě předtím, než dosáhne SaaS aplikace. Díky tomu lze snadno přidat zásady secure web gateway, které po ověření uživatelů chrání data v SaaS aplikacích.

Díky Cloudflare Zero Trust Network Access (ZTNA) ↗ lze uplatnit na spravované aplikace SaaS. V tomto scénáři Cloudflare vystupuje jako Jednotné přihlašování (SSO) ↗ pro danou aplikaci, který přeposílá požadavky na ověření uživatele stávajícím poskytovatelům identity organizace (IdP). Díky tomu lze před udělením přístupu uplatnit další omezení, například vyžadovat vícefaktorové ověřování ↗, implementací kontroly stavu zařízení, nebo hodnocení dané země ze které požadavek pochází.

Většina organizací zpočátku využívá Služba ZTNA pro aplikace s vlastním hostingem. Rozšíření na aplikace SaaS zjednodušuje správu IT hned v několika ohledech, protože aplikace s vlastním hostingem i aplikace SaaS budou:

• Používejte stejné zásady přístupu
• Využijte stejné integrace IdP a stavu zařízení
• Průběžně auditujte žádosti o přístup

IT týmy navíc ocení jednotný a automatizovaný proces přidávání a odebírání přístupu uživatelů k aplikacím. Protože všechny přístupové zásady využívají autentizaci ze stávajících poskytovatelů identity (IdP), změna stavu uživatele se automaticky projeví ve výsledku přístupových požadavků jak u aplikací hostovaných vlastními silami, tak u SaaS.

Představte si situaci, kdy uživatel přejde do jiné skupiny nebo týmu v rámci organizace. Jakmile se na IdP aktualizují informace o skupině uživatele, zásady ZTNA Cloudflare tyto změny dynamicky vynutí, takže se přístup uživatele k SaaS aplikacím okamžitě přizpůsobí jeho nové roli. Díky tomu se také optimalizuje využití licencí SaaS aplikací. Pokud je například zaměstnanec přeřazen z obchodního týmu, který používá Salesforce, do týmu, jenž přístup k Salesforce nepotřebuje, zásady ZTNA mu přístup k aplikaci odeberou. Tento automatizovaný proces pomáhá uvolnit licenci dříve přiřazenou danému uživateli, takže aplikaci mají k dispozici jen ti, kdo ji skutečně potřebují.

Aplikace SaaS jsou navíc dostupné přes internet, takže se k nim po úspěšném ověření uživatele může připojit jakékoli zařízení. Díky službě ZTNA od Cloudflare ale mohou IT týmy pomocí kontrol device posture, nad rámec ověřování identity, zajistit, že k aplikaci SaaS budou mít přístup jen spravovaná zařízení. Běžným případem užití je ověření přítomnosti certifikátu zařízení nasazeného IT oddělením před udělením přístupu k aplikaci.

U SaaS aplikací, které nepodporují SSO, nebo u organizací, jež už k zabezpečení přístupu k SaaS aplikacím používají seznamy povolených IP adres, je zavedení vyhrazených výstupních IP adres nejjednodušším způsobem, jak zvýšit bezpečnost přístupu k SaaS aplikacím bez dopadu na uživatelský zážitek.

Organizace, které chtějí zjednodušit zavádění a odebírání uživatelů z aplikací a standardizovat zásady ZTNA, by měly zvážit nasazení řešení Cloudflare ZTNA jak pro vlastní hostované aplikace, tak pro aplikace SaaS. V takových scénářích může být stále relevantní zvážit vyhrazené výstupní IP adresy pro podmnožinu kritických aplikací SaaS. Jelikož výstupní zásady fungují na síťové a transportní vrstvě, jejich vynucování probíhá téměř v reálném čase. Například, zvažte výstupní (egress) zásadu pro konkrétní aplikaci SaaS, která zohledňuje stav zabezpečení (posture) z externího řešení pro správu koncových bodů. Pokud dojde ke kompromitaci zařízení a jeho stav zabezpečení přestane vyhovovat, výstupní zásada se přestane shodovat. V důsledku toho uživatel daného zařízení ztratí přístup k aplikaci SaaS, protože provoz už nebude pocházet z vyhrazené výstupní IP adresy.

Nakonec organizace, které již integrovaly všechny své SaaS aplikace s IdP pro SSO, mohou ze stejného důvodu, jaký byl popsán výše, přesto zvážit přidání seznamů povolených IP adres s vyhrazenými výstupními IP adresami pro podmnožinu aplikací.

Rozšíření principů ZTNA na spravované aplikace SaaS sice zajišťuje, že k těmto aplikacím mají přístup pouze správní uživatelé a zařízení, zásadní je ale i řešení rizika úniku dat ze strany autorizovaných uživatelů, kteří k přístupu už mají oprávnění.

Ke zmírnění těchto rizik by měly být zavedeny kontrolní mechanismy jak pro data v přenosu, tak pro data v klidu.

Jak již bylo zmíněno, veškerý provoz lze přes Cloudflare vynutit pomocí agenta zařízení, tunelů Cloudflare WAN (CWAN) nebo vzdáleného prohlížeče. To umožňuje zabezpečená webová brána zásad pro správu a ochranu dat při jejich nahrávání do aplikací SaaS nebo stahování z nich. Mezi běžné případy použití patří:

• Omezení možnosti stahovat all nebo podmnožina souborů ze spravovaných SaaS aplikací konkrétním skupinám uživatelů v rámci organizace.
• Použití Data Loss Prevention (DLP) profilů k omezení stahování dat obsahujících citlivé informace ze spravovaných aplikací SaaS.

Další informace o zabezpečení dat při přenosu najdete v naší centrum referenčních architektur.

Cloudflare Cloud Access Security Broker (CASB) integruje se s oblíbené SaaS aplikace prostřednictvím API. Po integraci Cloudflare tyto aplikace průběžně kontroluje z hlediska bezpečnostních rizik. Díky tomu mohou IT týmy odhalit případy, kdy autorizovaní uživatelé nadměrně sdílejí data, například veřejným sdílením souboru na internetu. U služeb Google Workspace, Microsoft 365, Box a Dropbox může API CASB navíc využívat profily DLP k detekci sdílení citlivých dat. Další informace o zabezpečení dat v klidovém stavu najdete v centrum referenčních architektur.

Kromě předchozích opatření by IT týmy měly zvážit i zavedení Analýza chování uživatelů a entit (UEBA) ↗ kontrolní mechanismy. Cloudflare může přiřadit risk score uživatelům při zjištění aktivit a chování, které by mohly pro organizaci znamenat riziko. Mezi tato riziková chování patří například situace, kdy uživatel neobvykle často naplní podmínky zásad DLP. Zavedením těchto opatření mohou organizace výrazně snížit riziko úniku dat ze spravovaných SaaS aplikací, a to i ze strany oprávněných uživatelů.

Tento návrhový průvodce se dosud zaměřoval především na uživatele aplikací SaaS, je ale důležité zmínit, že velkou část dnešních úniků dat SaaS nezpůsobuje chování uživatelů, ale nesprávná konfigurace ze strany IT týmů. Pokud tyto chybné konfigurace zůstanou bez povšimnutí, vystavují jak aplikaci SaaS, tak celou organizaci vážným bezpečnostním rizikům.

Tato rizika můžete zmírnit pomocí Cloudflare CASB. API CASB průběžně vyhledává a identifikuje chybné konfigurace, což umožňuje rychlou nápravu. Dokáže odhalit mimo jiné problémy jako odhalené přihlašovací údaje, klíče vyžadující rotaci, uživatele s vypnutým dvoufaktorovým ověřováním (2FA) nebo neautorizované aplikace třetích stran s přístupem k aplikaci SaaS.

Phishingové útoky a kampaně šířící malware, jejichž cílem je ovládnout zařízení a získat přístup k firemním datům, se obvykle zaměřují na e-mail jako útočný kanál. Naprostá většina firem dnes svou e-mailovou komunikaci přesunula z on-premise serverů do cloudových služeb. Vestavěné zabezpečení řešení, jako jsou Microsoft 365 a Google Workspace, je sice dobré, ale nedokáže držet krok s neustálým vývojem útočných metod. Mnoho organizací proto nasazuje pokročilá řešení pro zabezpečení e-mailu integrovaná se stávajícími e-mailovými platformami.

Jak již bylo řečeno, zavedení ZTNA pro zabezpečení e-mailové platformy přináší řadu výhod. Jednou z klíčových je to, že přístup k e-mailu zůstane omezen jen na důvěryhodná, spravovaná zařízení, a to i při použití cloudové e-mailové služby. Obvykle to znamená použít Cloudflare k ověření přítomnosti klientský certifikát a ověřit, že externí řešení pro správu koncových zařízení nezjistilo žádná rizika, například Crowdstrike nebo SentinelOne.

Organizace s přísnými požadavky na e-mailovou komunikaci z důvodu compliance, regulace, provozní kontroly, odpovědnosti nebo snížení rizika úniku dat mohou blokovat přístup k e-mailovým tenantům jiným než svému vlastnímu. Toho lze dosáhnout pomocí Řízení SaaS tenantů v Cloudflare Gateway. Cloudflare do provozu vkládá vlastní hlavičky HTTP, které informují Microsoft 365 a Google Workspace, do kterého konkrétního tenantu se uživatelé smí přihlašovat, a blokují jakékoli pokusy o přístup do jiného tenantu.

E-mailová řešení SaaS sice nabízejí vlastní bezpečnostní funkce, jejich obliba je ale činí atraktivním cílem pro útočníky, kteří se snaží zneužít zranitelnosti a omezení jejich funkcí pro filtrování příchozí pošty. Aby toto riziko omezily, měly by IT týmy zvážit doplnění nativních funkcí cloudových e-mailových řešení o specializovaná řešení pro filtrování příchozí pošty.

Zabezpečení e-mailu od Cloudflare ↗ prohledává e-maily a jejich přílohy, zda neobsahují škodlivý obsah, a aktivně monitoruje internet, aby odhalil infrastrukturu útočníků a mechanismy doručování útoků. Identifikuje programově vytvořené a napodobující domény, které se používají k hostování škodlivého obsahu v rámci plánovaných útoků. Tato data zároveň pomáhají chránit před napadením firemní a dodavatelské e-mailové komunikace (BEC ↗/VEC ↗), které je notoricky obtížné odhalit, protože neobsahují žádný škodlivý obsah, podobají se legitimnímu e-mailovému provozu a představují mezeru pro starší platformy zabezpečení e-mailu.

Začlenění Cloudflare do stávající e-mailové infrastruktury je flexibilní a přímočaré, přičemž možnosti nasazení jsou k dispozici v inline a API režimů.

Při inline nasazení vyhodnocuje zabezpečení e-mailů Cloudflare zprávy ještě předtím, než dorazí do schránky uživatele (nasměrováním záznamu MX e-mailové domény na Cloudflare). To Cloudflare umožňuje karanténovat zprávy takže se nikdy nedostanou do uživatelovy schránky ani označit zprávy pomocí e-mailových hlaviček k informování poskytovatele e-mailu, jak se má s e-maily nakládat (například přesměrováním hromadných e-mailů přímo do složky spam). Cloudflare může také upravit předmět a tělo e-mailových zpráv k upozornění uživatele, aby byl u podezřelého e-mailu opatrnější, a přepsat odkazy v e-mailech a tyto odkazy dokonce izolovat za vzdáleným prohlížečem.

Při nasazení API uvidí zabezpečení e-mailů Cloudflare zprávy až poté, co dorazí do schránek uživatelů, a to na základě pravidel Journaling/BCC nastavených u poskytovatele e-mailu nebo prostřednictvím skenování přes API. Poté může Cloudflare díky integraci s poskytovatelem e-mailu stáhnout zpět phishingové e-maily ze schránek uživatelů. Na rozdíl od režimu inline tento způsob nasazení nepodporuje karanténu e-mailů ani úpravu jejich obsahu. Je to však snadný způsob, jak přidat ochranu do komplexní e-mailové infrastruktury bez jakýchkoli změn ve stávajícím toku pošty.

Tyto režimy lze pro posílení zabezpečení e-mailu používat současně. Inline režim zajišťuje, že Cloudflare Email Security zkontroluje a odfiltruje e-maily dříve, než se dostanou do schránek uživatelů. U e-mailů, které při prvním průchodu neoznačí jako hrozbu, Cloudflare pravidelně je přehodnocuje. Pokud jsou tyto e-maily později identifikovány jako součást phishingové kampaně, automaticky se stáhnou zpět pomocí API. Tento proaktivní přístup chrání organizace před odloženými phishingovými útoky, při kterých útočníci posílají e-maily se zdánlivě neškodnými odkazy, jež se stanou škodlivými až po doručení, aby obešly počáteční detekci.

Cloudflare také pomáhá zajistit dostupnost cloudových e-mailových služeb. Automaticky škáluje TCP spojení a SMTP provoz tak, aby zvládl nárazy zpráv, a chrání organizaci před útoky typu DoS na e-mail. Služba automaticky shromažďuje a řadí zprávy do fronty po delší dobu a po odeznění náporu reguluje jejich doručování podle kapacity navazující e-mailové služby. Tato schopnost shromažďování a řazení do fronty je užitečná i během výpadků cloudové e-mailové služby.

Organizace používající Microsoft 365 mohou zlepšit ochranu proti úniku citlivých informací e-mailem integrací doplňku Cloudflare do svého prostředí. Tato integrace umožňuje IT administrátorům nastavit odchozí zásady prevence úniku dat (DLP) které využívají stejné profily DLP jako Secure Web Gateway (SWG) a API Cloud Access Security Broker (CASB).

Navíc organizace, které využívají Microsoft Purview Sensitivity Labels pro klasifikaci a ochranu citlivých dokumentů může tyto štítky začlenit do profilů DLP v Cloudflare. Tato funkce umožňuje vytvářet cílené zásady, například blokovat odesílání e-mailů obsahujících dokumenty Microsoft Office označené v Microsoft Outlook jako „Highly Confidential“ externím příjemcům. Tyto profily DLP lze také použít napříč SWG a API CASB.

Nespravované SaaS aplikace jsou takové, které zaměstnanci používají bez vědomí nebo souhlasu IT oddělení, běžně označované jako Shadow IT ↗. Tuto rostoucí výzvu způsobuje rozmach bezplatných nebo levných aplikací SaaS. Tyto aplikace sice mohou zvýšit spokojenost a produktivitu zaměstnanců, zároveň ale představují závažná rizika, například:

• Úniky dat: Zaměstnanci mohou do těchto aplikací nahrávat citlivá data bez jakýchkoli bezpečnostních kontrol. A bez jednotného přihlašování (SSO) nebo silných hesel je riziko ztráty nebo krádeže dat výrazně vyšší.
• Porušení compliance: V regulovaných odvětvích může používání neschválených SaaS nástrojů vést k nesouladu s právními a oborovými normami, což může mít za následek pokuty, právní kroky a poškození reputace.
• Vyšší náklady: IT oddělení si obvykle dokáže vyjednat výhodnější ceny, když spravuje SaaS předplatná v rámci celé firmy. Pokud si ale zaměstnanci předplatná pořizují samostatně na osobní kreditní karty, vede to k nekontrolovaným výdajům na stínové IT a vyšším celkovým nákladům organizace.

Prvním krokem ke zmírnění těchto rizik je zjistit, které aplikace SaaS zaměstnanci používají. Pokud je veškerý provoz ze zařízení zaměstnanců směrován přes Cloudflare, sestavy se generují zobrazující využívání běžných aplikací SaaS.

S těmito informacemi mohou IT týmy analyzovat a rozhodnout, jak s jednotlivými nespravovanými aplikacemi SaaS naložit:

• Povolit aplikaci: Pokud aplikace pro organizaci nepředstavuje žádné riziko, považuje se za přijatelnou k použití zaměstnanci a další kroky nejsou potřeba.
• Povolit aplikaci s ovládacími prvky ochrany dat: Pokud je aplikace přijatelná, ale představuje riziko úniku dat, měla by se zavést odpovídající opatření na ochranu dat.
• Zavedení aplikace jako spravované aplikace SaaS: Pokud je aplikace pro organizaci přínosná, měla by přejít pod správu IT.
• Blokování aplikace: Pokud je aplikace vyhodnocena jako nepřijatelná, měla by se zablokovat pomocí zásad Cloudflare Gateway DNS a/nebo HTTP.

Ochrana dat pro nespravované aplikace SaaS je podobná jako u spravovaných aplikací SaaS, důraz se ale přesouvá ze zmírňování stahování dat na zamezení nahrávání citlivých informací. K řešení těchto rizik lze nakonfigurovat zásady pomocí Cloudflare Gateway. Mezi běžné případy použití patří:

• Omezení možnosti nahrávání určitých typů souborů k aplikacím SaaS, přičemž tuto možnost omezí na konkrétní skupiny uživatelů v rámci organizace.
• Profily Data Loss Prevention (DLP) slouží k blokování nahrávání dat obsahujících citlivé informace.

Kromě těchto opatření vzdálená izolace prohlížeče lze zvážit pro nespravované aplikace SaaS. Tento přístup umožňuje uživatelům přistupovat k některým nespravovaným aplikacím SaaS a zároveň omezení jejich činností v rámci těchto aplikací k prevenci zneužití.

Mnoho aplikací SaaS nabízí jako součást svého obchodního modelu bezplatnou verzi, aby uživatele motivovaly k jejich zapojení do práce. To pomáhá prokázat užitečnost aplikace a usnadňuje její přijetí na firemní úrovni (Cloudflare se řídí stejným modelem ↗). Když organizace oficiálně převezme dříve nespravovanou aplikaci SaaS, správu přebírá IT tým, aby zajistil řádnou podporu a dodržování osvědčených postupů. To zahrnuje sladění nové aplikace SaaS se všemi aspekty popsanými v části Zabezpečení spravovaných aplikací SaaS.

Po úplném přechodu na novou SaaS aplikaci lze přístup ke spotřebitelské verzi omezit. Pokud má firemní verze SaaS vlastní doménu, lze přístup k ostatním tenantským doménám nebo ke spotřebitelské doméně blokovat pomocí zásad Cloudflare DNS nebo HTTP. Některá řešení SaaS nabízejí nativní řízení tenantů prostřednictvím hlaviček HTTP, což lze vynutit vložením těchto hlaviček do dat v přenosu pomocí HTTP politik Cloudflare Gateway.

Tento průvodce návrhem popsal, jak organizace mohou zvýšit zabezpečení svých SaaS aplikací zavedením rámce Zero Trust v rámci architektury SASE. S Cloudflare získávají organizace přístup ke komplexnímu řešení, které řeší problémy spojené jak se spravovanými, tak nespravovanými SaaS aplikacemi. Díky technikám jako ZTNA, vyhrazené výstupní IP adresy, CASB a důkladná ochrana e-mailu mohou organizace zajistit bezpečný přístup, chránit citlivá data a získat kontrolu nad shadow IT, a zároveň si zachovat dobrý uživatelský zážitek. Tyto techniky a situace, kdy je použít, shrnuje následující diagram:

• Referenční architektura SASE
• Cloudflare SASE s Microsoftem