SaaSアプリケーションのセキュリティ向上には、NISTのガイドラインに従った設定が必要である。ロールベースのアクセス制御（RBAC）の導入と管理者アカウントの権限制限が重要であり、アプリケーションごとに異なる設定が存在するが、一部の設定はほとんどのアプリケーションに適用可能である。最低2つの管理者アカウントを設定し、互いに監視すること、外部の管理者アカウントの使用を避けること、管理者アカウントにマルチファクタ認証（MFA）を必須とすることが推奨される。
SaaSデータの漏洩防止には、公開共有を無効にする設定、外部ユーザーへの招待に有効期限を設定すること、パスワードの強度と定期的な更新、MFAの使用、パスワードの複雑さや文字数の要件を設定することが重要である。
設定のミスコンフィギュレーションはクラウド関連のセキュリティインシデントの約25%を占め、アクセス、パスワード、データ漏洩だけでなく、キーマネジメントやモバイルセキュリティなどの設定も重要である。ミスコンフィギュレーションは脆弱性を引き起こし、攻撃のリスクを高めるため、自身のアプリケーションのセキュリティ確認が重要である。
【ニュース解説】
SaaS（Software as a Service）アプリケーションのセキュリティを強化するためには、NIST（米国国立標準技術研究所）のサイバーセキュリティフレームワークに従った適切な設定が不可欠です。このフレームワークは、ネットワークのセキュリティを確保するための世界的に重要なガイドラインの一つであり、SaaSアプリケーションにも適用可能です。
SaaSアプリケーションを安全に保つためには、ロールベースのアクセス制御（RBAC）の導入が鍵となります。これにより、機能アクセスとデータアクセスの2種類の権限を適切に管理できます。特に管理者アカウントは、アプリケーション内の全てにアクセスできるため、非常に敏感であり、これらのアカウントの管理には細心の注意が必要です。
また、最低2名の管理者を設定し、互いに監視することで、単独で不正行為を行うリスクを減らすことが推奨されます。しかし、管理者の数が増えるほど、アプリケーションへの攻撃面も広がるため、適切なバランスを見つけることが重要です。外部の管理者は、セキュリティチームがパスワードポリシーや認証ツールを管理できないため、新たな不確実性を導入します。そのため、NISTは外部管理者の使用を避けることを勧めています。
データ漏洩を防ぐためには、公開共有を無効にし、外部ユーザーへの招待に有効期限を設定することが重要です。また、パスワードの強度を高め、定期的に更新すること、マルチファクタ認証（MFA）の使用、パスワードの複雑さや文字数の要件を設定することが推奨されます。
設定のミスコンフィギュレーションは、クラウド関連のセキュリティインシデントの約25%を占めており、アクセス、パスワード、データ漏洩だけでなく、キーマネジメントやモバイルセキュリティなどの設定も重要です。ミスコンフィギュレーションは脆弱性を引き起こし、攻撃のリスクを高めるため、自身のアプリケーションのセキュリティ確認が重要です。
このように、SaaSアプリケーションのセキュリティを確保するためには、NISTのガイドラインに従った適切な設定が必要です。これにより、データ漏洩のリスクを減らし、より安全で信頼性の高いデジタルエコシステムを構築することができます。
from SaaS Compliance through the NIST Cybersecurity Framework.
