Apa itu Shadow SaaS? Penyebab, Risiko, dan Tips Manajemen

Tim keamanan akrab dengan rasa nyaman dan aman yang datang dari menggunakan kontrol keamanan seperti penyedia Single sign-on (SSO) untuk mengelola aplikasi utama dan alat kritis organisasi mereka. Ketika aplikasi-aplikasi ini diarahkan melalui Okta, Azure AD, atau penyedia identitas lainnya, lingkungan SaaS Anda dapat terlihat terkelola dan diperhitungkan.

Namun di bawah permukaan terdapat kerentanan yang signifikan: titik buta SSO. Meskipun Anda mungkin memantau pintu depan, karyawan mengakses banyak aplikasi yang tidak terpantau melalui pintu samping dan pintu belakang (masuk sosial, pendaftaran email pribadi, dan pembuatan kata sandi langsung).

Fenomena ini, yang dikenal sebagai Shadow SaaS, bukan sekadar masalah inventaris. Ini adalah risiko keamanan kompleks yang melibatkan eksposur data yang tidak terkontrol, izin yang diberikan pengguna yang berlebihan, dan perilaku karyawan yang tidak dapat diprediksi. Data pengguna yang kritis berakhir 'terjebak' di aplikasi yang tidak diawasi, membuatnya tidak mungkin untuk secara akurat mengukur profil risiko sebenarnya seorang individu, sehingga menghambat manajemen keamanan yang efektif. Artikel ini menguraikan panduan langkah demi langkah untuk menilai Shadow SaaS di organisasi Anda dan membimbing Anda tentang cara bergerak menuju strategi manajemen risiko yang berfokus pada pengguna.

Apa itu Shadow SaaS?

Shadow SaaS mengacu pada perangkat lunak atau aplikasi berbasis cloud yang digunakan oleh karyawan dalam suatu organisasi tanpa pengetahuan eksplisit, persetujuan pengadaan, atau pengawasan dari departemen TI dan keamanan. Ini adalah evolusi yang lebih modern dan lebih meresap dari tantangan keamanan yang telah ada lama di dalam lanskap digital.

Bagaimana Shadow SaaS berbeda dari Shadow IT?

Shadow IT adalah istilah yang lebih luas dan historis untuk perangkat keras, perangkat lunak, atau layanan yang tidak disetujui yang digunakan dalam suatu organisasi. Shadow SaaS, di sisi lain, adalah subkategori spesifik dan cepat berkembang dari masalah ini, yang berfokus secara eksklusif pada aplikasi dan layanan cloud yang tidak dikelola. Misalnya, Shadow IT mencakup perangkat pribadi, seperti laptop, yang digunakan untuk mengakses data perusahaan, sedangkan Shadow SaaS menggambarkan aplikasi berbasis web yang tidak sah yang digunakan untuk tugas seperti berbagi data perusahaan atau merangkum dokumen.

Karena aplikasi SaaS sering kali berbasis web, tidak memerlukan pemasangan, dan dapat diakses secara instan, mereka jauh lebih mudah diadopsi secara mandiri oleh karyawan. Hambatan masuk yang rendah ini menjadikan Shadow SaaS sebagai risiko yang lebih dinamis dan menantang untuk dikelola dibandingkan dengan perangkat lunak lokal yang tidak disetujui secara tradisional.

Munculnya Shadow SaaS di perusahaan modern

Shadow SaaS menjadi masalah besar di tempat kerja digital modern. Ada ribuan alat SaaS khusus yang ramah pengguna tersedia, dan dengan pergeseran ke model kerja jarak jauh dan hibrida, alat-alat ini memberdayakan karyawan untuk mencari dan mengadopsi aplikasi yang menyederhanakan pekerjaan mereka dan meningkatkan efisiensi. Dorongan untuk produktivitas sering kali menjadi pendorong bisnis yang positif, tetapi menjadi bermasalah ketika secara signifikan menantang kebijakan keamanan yang ada.

Apa yang kurang dari tim keamanan: Titik buta SSO

Faktor utama yang memungkinkan Shadow SaaS berkembang dalam suatu organisasi adalah titik buta SSO. Kebanyakan tim keamanan memiliki rasa aman yang salah karena visibilitas mereka terbatas pada aplikasi yang terhubung ke penyedia identitas resmi mereka (IdP). Tim dapat melihat dan mengontrol akses ke alat yang disetujui, tetapi ini hanya mewakili sebagian kecil dari gambaran keseluruhan.

Kekurangan visibilitas ini adalah titik buta besar yang tidak terpantau bagi ratusan aplikasi lain yang didaftarkan karyawan menggunakan metode alternatif. Microsoft melaporkan bahwa lebih dari 75% karyawan yang menggunakan kecerdasan buatan membawa alat AI mereka sendiri ke tempat kerja, dengan angka tersebut tumbuh menjadi 80% di perusahaan kecil dan menengah. Masing-masing alat tersebut menggambarkan Shadow SaaS, terutama ketika karyawan menggunakan 'Masuk dengan Google/Microsoft' dengan akun perusahaan atau mendaftar dengan email kerja dan password unik mereka.

Tindakan-tindakan ini sama sekali tidak terlihat oleh IdP, yang berarti tim keamanan tidak tahu aplikasi mana yang sedang digunakan, data apa yang sedang dibagikan, atau izin apa yang telah diberikan.

Risiko dan implikasi keamanan dari aplikasi SaaS yang tidak terkelola

Shadow SaaS tersembunyi secara alami, dan memperkenalkan spektrum risiko yang luas yang dapat memiliki konsekuensi serius bagi organisasi—mulai dari kebocoran data dan kegagalan kepatuhan hingga kerusakan reputasi yang signifikan.

Keamanan data, risiko kepatuhan, dan Shadow AI

Karyawan sering menangani informasi sensitif atau rahasia saat mereka menggunakan aplikasi SaaS yang belum diverifikasi. Contohnya termasuk mengunggah daftar pelanggan ke alat pemasaran baru, menganalisis data keuangan di platform analitik yang tidak disetujui, atau memasukkan informasi perusahaan yang bersifat rahasia ke dalam alat "Shadow AI" yang tidak disetujui. Namun, karena aplikasi ini belum ditinjau atau diperiksa berdasarkan standar keamanan, tidak ada jaminan tentang cara mereka menyimpan, memproses, atau melindungi data. Celah ini dapat menyebabkan kehilangan data atau menciptakan pelanggaran kepatuhan yang signifikan jika data tersebut tunduk pada regulasi perlindungan data seperti GDPR, HIPAA, atau CCPA.

Bahaya tersembunyi dari akses yang terlalu istimewa

Risiko yang terkait dengan Shadow SaaS juga mencakup izin yang diberikan. Karyawan sering kali menyetujui permintaan izin yang luas tanpa pemeriksaan, terutama jika mereka ingin menggunakan aplikasi secepat mungkin. Izin ini bisa termasuk memberikan akses untuk 'membaca semua email', 'melihat dan mengelola semua file di Google Drive', 'mengakses daftar kontak Anda secara lengkap', dan lainnya.

Ketika seorang karyawan tanpa sadar memberikan izin berlebihan kepada aplikasi pihak ketiga yang belum diverifikasi, mereka secara efektif menciptakan potensi pipa data yang dapat menyebabkan kerentanan keamanan yang serius. Jika vendor SaaS tersebut pernah terkompromi atau jika aplikasinya sendiri bersifat jahat, para penyerang dapat memanfaatkan izin yang berlebihan itu untuk mengakses dan mencuri sejumlah besar informasi sensitif.

Dampak reputasi dan kekhawatiran di tingkat dewan

Pelanggaran data yang diakibatkan oleh aplikasi Shadow SaaS yang terkompromi dapat memiliki dampak yang menghancurkan pada reputasi dan hasil perusahaan. Kehilangan kepercayaan pelanggan bisa menjadi sulit, bahkan mungkin tidak mungkin, untuk dipulihkan. Ditambah dengan semakin banyaknya insiden keamanan siber dan kebocoran data berskala besar, dewan direksi dan kepemimpinan eksekutif semakin khawatir dengan jenis risiko ini.

Departemen IT yang tidak dapat menunjukkan visibilitas dan kontrol penuh atas seluruh lingkungan SaaS mereka (termasuk Shadow SaaS) menimbulkan ancaman signifikan terhadap tata kelola organisasi dan kerangka manajemen risiko.

Bagaimana cara mendeteksi dan mengelola Shadow SaaS secara efektif

Mengatasi Shadow SaaS memerlukan pendekatan yang multifaset. Alih-alih hanya memblokir aplikasi yang dikenal, tujuan Anda harus menemukan, mengevaluasi, dan mengelola seluruh penggunaan SaaS di seluruh organisasi Anda.

Langkah 1: Temukan yang tidak diketahui dengan audit teknis

Langkah pertama adalah untuk mendapatkan visibilitas di luar penyedia SSO organisasi Anda untuk mengungkap aplikasi SaaS yang tidak berwenang. Audit teknis sangat penting untuk mengidentifikasi lalu lintas ke layanan cloud yang tidak dikenal dan aplikasi yang tidak disetujui. Tim IT harus fokus pada analisis:

Log DNS dan firewall untuk mengidentifikasi koneksi yang sering ke domain aplikasi cloud yang tidak dikenal.
Inventaris ekstensi browser untuk melihat plugin apa yang telah diinstal oleh karyawan, karena banyak di antaranya merupakan gerbang menuju layanan SaaS.
Data titik akhir dari alat EDR dapat mengungkapkan proses dan koneksi jaringan yang terkait dengan aplikasi yang tidak disetujui.
Log integrasi SaaS dari platform yang telah disetujui (seperti Google Workspace atau Microsoft 365) untuk melihat aplikasi pihak ketiga apa yang telah diotorisasi oleh pengguna.

Langkah 2: Libatkan karyawan untuk memahami "mengapa"

Penemuan SaaS teknis memberi tahu Anda apa yang sedang digunakan, tetapi tidak mengungkapkan motivasi yang mendasarinya. Memahami "mengapa" sangat penting untuk mengidentifikasi kebutuhan bisnis atau celah alur kerja yang mendorong karyawan untuk menggunakan alat yang tidak disetujui untuk berbagai fungsi. Libatkan karyawan melalui survei studi kasus atau inventaris aplikasi terfokus, dengan fokus pada pendekatan kolaboratif terhadap keamanan. Informasi ini dapat membantu Anda mengidentifikasi kebutuhan akan alat baru yang secara resmi disetujui dan mendorong budaya keamanan kolaboratif di mana karyawan menjadi mitra daripada lawan.

Langkah 3: Pindahkan dari inventaris ke pemprioritasan risiko yang cerdas

Manajemen Shadow SaaS tidak berhenti di penemuan—dengan potensi ratusan aplikasi Shadow SaaS yang digunakan, mencoba untuk menangani setiap aplikasi satu per satu adalah tidak efisien. Tujuannya adalah untuk memprioritaskan risiko secara cerdas, dimulai dengan menggunakan peringkat keamanan vendor untuk mendapatkan skor cepat dan objektif tentang posture keamanan aplikasi yang ditemukan.

Pertimbangkan juga untuk menghubungkan penggunaan aplikasi yang ditemukan kepada karyawan individu dan mengagregasi ini dengan titik data lainnya untuk menciptakan skor risiko pengguna yang terpadu, memberikan pandangan menyeluruh tentang potensi kerentanan. Misalnya, seorang pengguna yang telah menghubungkan satu alat manajemen proyek yang tidak berisiko dan tidak disetujui adalah prioritas yang jauh lebih rendah daripada seorang pengguna yang memiliki akses tidak sah ke beberapa aplikasi berisiko tinggi, memiliki riwayat kebersihan kata sandi yang buruk, dan baru-baru ini gagal dalam simulasi phishing. Pendekatan yang berfokus pada pengguna ini memungkinkan Anda untuk memfokuskan sumber daya terbatas Anda pada pengguna dan aplikasi yang menimbulkan ancaman paling signifikan.

Langkah 4: Laksanakan strategi respons yang bernuansa

Sekarang setelah Anda memprioritaskan risiko, Anda dapat beralih dari mentalitas sederhana “blokir semua” ke respons yang lebih bernuansa, berbasis risiko. Menerapkan pendekatan ini tidak hanya tentang menolak akses; ini tentang memungkinkan keamanan bisnis. Strategi respons yang kuat harus mencakup hal-hal berikut:

Verifikasi dan sanksi: Menetapkan proses fast-track untuk verifikasi dan sanksi resmi terhadap aplikasi bernilai tinggi dengan risiko rendah yang saat ini digunakan oleh karyawan.
Berikan alternatif: Untuk aplikasi yang berisiko tinggi atau redundan, sediakan dan secara aktif promosikan alternatif yang disetujui dan aman yang memenuhi kebutuhan bisnis yang sama, sehingga menyelesaikan masalah pengguna dan mengurangi risiko.
Terapkan kontrol yang lebih rinci: Untuk aplikasi dengan risiko moderat yang penting bagi bisnis, terapkan langkah-langkah keamanan yang lebih rinci melalui kebijakan akses atau alat perantara keamanan akses cloud (CASB) untuk membatasi aktivitas berisiko tinggi atau membatasi akses ke data sensitif, sehingga meningkatkan keamanan keseluruhan.
Blokir dan edukasi: Cadangkan pemblokiran secara menyeluruh hanya untuk aplikasi dengan risiko tertinggi. Ketika pemblokiran diterapkan, gunakan itu sebagai kesempatan untuk mendidik pengguna tentang mengapa alat tersebut dianggap tidak aman dan arahkan mereka ke alternatif yang aman, memperkuat praktik keamanan.

Di luar titik buta: Pendekatan baru untuk keamanan SaaS

Bergantung hanya pada pemantauan SSO menciptakan titik buta yang berbahaya, meninggalkan organisasi terpapar pada risiko Shadow SaaS yang tersebar. Bahaya yang sebenarnya seringkali terletak tidak hanya pada keberadaan aplikasi yang tidak disetujui ini, tetapi juga pada izin yang berlebihan dan akses data yang tidak terverifikasi yang menyertainya. Jalan ke depan memerlukan pendekatan strategis yang berpusat pada pengguna yang bergerak melampaui inventaris sederhana ke dalam siklus penemuan, penilaian risiko, dan respons yang nuansa. Keamanan SaaS yang sejati berasal dari pemahaman tidak hanya tentang aplikasi apa yang sedang digunakan, tetapi juga siapa yang menggunakannya dan bagaimana.

Di sinilah solusi yang didedikasikan menjadi sangat penting. UpGuard membantu organisasi menerapkan strategi proaktif ini dengan menyediakan platform terpadu untuk mengatasi tantangan Shadow SaaS. Kemampuan kunci termasuk:

Manajemen permukaan serangan yang komprehensif: Identifikasi dan pantau semua aset digital organisasi Anda, termasuk platform SaaS yang sebelumnya tidak dikenal atau tidak disetujui, untuk menghilangkan titik buta SSO.
Penemuan terus-menerus dan pemberitahuan: Terima pemberitahuan tepat waktu ketika aplikasi baru atau tidak sah terdeteksi di lingkungan Anda, mengurangi celah keamanan yang dibuat oleh Shadow SaaS.
Inteligensi risiko yang berpusat pada pengguna: Dapatkan visibilitas yang mendalam tentang risiko izin dan perilaku pengguna yang terkait dengan adopsi SaaS, memungkinkan manajemen sikap keamanan yang lebih proaktif dan terinformasi.

Pendekatan ini memberdayakan tim keamanan untuk lebih memahami dan mengurangi ancaman, mendukung lingkungan SaaS yang lebih aman dan dikelola dengan baik.