Security minder in de hand door SaaS?

[mister9]

Goedemorgen,

Weet niet zeker of dit het goede forum-categorie is maar ik heb even een vraag waar ik heel graag jullie mening over wil weten.

Als men vroeger aan "security" dacht dacht je vooral aan virusscanner op de clients en servers, en een firewall om alles af te schermen van buiten. En dan had je nog zaken als vpn etc.

Maar nu zie je steeds meer dat heel veel organisaties veel applicaties niet meer on premisis hebben draaien, maar in de cloud, denk aan SaaS. Veel applicaties worden als SaaS afgenomen.

Verschuift hierdoor de security naar de aanbieder van de SaaS oplossing, of kun je als bedrijf daar zelf wel degelijk nog invloed op uitoefenen.

Je ziet bv om je heen veen SIEM-oplossingen om zo veel mogelijk security data gemanaged te analyseren. Dat is natuurlijk perfect toepasbaar als je alles in je eigen omgeving hebt staan, maar zijn zaken als SIEM ook toepasbaar als je veeL SaaS afneemt? Of ben je dan echt "overgeleverd" aan de beveiliging van de aanbieder en verdwijnt je eigen invloed daarin steeds meer?

Bedankt vast!

[anboni]

Je geeft per definitie een heleboel van dit soort zaken uit handen bij een SaaS oplossing. Met sommige aanbieders zal dit positief uitpakken (Microsoft zal de security van Exchange vast beter in de vingers hebben dan menig MKBer), maar vooral met kleinere aanbieders of hele specifieke toepassingen kan dit ook nadelig zijn. Wij hebben te maken met meerdere SaaS oplossingen, waarvan er een eigenlijk max Java 1.6 vereist en met veel pijn en moeite IE10 in compatibility mode (het werkt met Java 1.7 en IE11, maar zogauw je belt met een probleem is hun eerste vraag of je Java en IE even wilt downgraden)

[MAX3400]

SaaS staat niet gelijk aan dat je alles uit handen geeft. Je kan ook een SaaS-oplossing afnemen die "geintegreerd" is in jouw security-model zoals AD, DirectAccess, NAP etc.

Maar specifieker; je doet heleboel aannames die terecht zijn maar is het niet zo dat jij, als bedrijf, binnen jouw security & compliancy op zoek moet gaan naar een SaaS-provider die erbij aansluit?

Oftewel; als je een externe provider kiest, zal hij/zij 100% moeten voldoen aan jouw eisen en niet andersom?

[Snake]

anboni schreef op vrijdag 01 juli 2016 @ 11:24:
Je geeft per definitie een heleboel van dit soort zaken uit handen bij een SaaS oplossing. Met sommige aanbieders zal dit positief uitpakken (Microsoft zal de security van Exchange vast beter in de vingers hebben dan menig MKBer), maar vooral met kleinere aanbieders of hele specifieke toepassingen kan dit ook nadelig zijn. Wij hebben te maken met meerdere SaaS oplossingen, waarvan er een eigenlijk max Java 1.6 vereist en met veel pijn en moeite IE10 in compatibility mode (het werkt met Java 1.7 en IE11, maar zogauw je belt met een probleem is hun eerste vraag of je Java en IE even wilt downgraden)

Dat is dan een reden om deze uit te faseren.

[anboni]

Snake schreef op vrijdag 01 juli 2016 @ 11:51:
[...]

Dat is dan een reden om deze uit te faseren.

In een ideale wereld is dat zeker het geval. Helaas heeft hier de business ondanks mijn protesten besloten met deze aanbieder in zee te gaan (tenminste, ik werd er ueberhaupt pas in betrokken toen de keuze voor leverancier al gemaakt was en de shit werkend gemaakt moest worden) dus zitten we er voor de komende paar jaar aan vast. Gelukkig onderkent de leverancier ook dat hun oplossing bagger is, dus binnenkort mag ik bij de betreffende mensen 'n citrix client gaan installeren en gaan ze zelf de verouderde puinzooi hosten...

[ebia]

mister9 schreef op vrijdag 01 juli 2016 @ 10:01:
Je ziet bv om je heen veen SIEM-oplossingen om zo veel mogelijk security data gemanaged te analyseren. Dat is natuurlijk perfect toepasbaar als je alles in je eigen omgeving hebt staan, maar zijn zaken als SIEM ook toepasbaar als je veeL SaaS afneemt? Of ben je dan echt "overgeleverd" aan de beveiliging van de aanbieder en verdwijnt je eigen invloed daarin steeds meer?

Er zijn zeker leveranciers van SaaS oplossingen die de mogelijkheid bieden de logs met betrekking tot het product naar je toe te sturen, voor bijvoorbeeld eigen analyse in een siem.

Echter zegt dat nog altijd niets over de manier waarop de leverancier zelf haar beveiliging heeft geregeld. Die twee staan dus redelijk los van elkaar.