El gran truco de BizApp: riesgos cibernéticos en sus aplicaciones comerciales cotidianas

Lea algunos titulares sobre seguridad cibernética y notará una tendencia: involucran cada vez más aplicaciones comerciales.

Por ejemplo, la herramienta de correo electrónico MailChimp dice que los intrusos irrumpieron en las cuentas de sus clientes a través de una "herramienta interna". Software de automatización de marketing HubSpot se infiltró. Cartera de contraseña corporativa Okta fue comprometida. Herramienta de gestión de proyectos Jira realizó una actualización que expuso accidentalmente la información privada de clientes como Google y la NASA.

Este es uno de los frentes más nuevos de la ciberseguridad: sus herramientas internas.

Es lógico que los actores maliciosos se inmiscuyan aquí a continuación, o que los empleados accidentalmente dejen las puertas abiertas. La organización promedio ahora tiene 843 aplicaciones SaaS y depende cada vez más de ellos para ejecutar sus operaciones principales. Tenía curiosidad sobre lo que los administradores pueden hacer para mantener estas aplicaciones seguras, así que entrevisté a un viejo colega, Misha Seltzer, CTO y cofundador de Atmosec, que trabaja en este espacio.

Por qué las aplicaciones comerciales son particularmente vulnerables

Los usuarios de las aplicaciones empresariales. tienden a no pensar en la seguridad y cumplimiento. En parte, porque ese no es su trabajo, dice Misha. Ya están bastante ocupados. Y en parte, se debe a que estos equipos intentan comprar sus sistemas fuera del ámbito de TI.

Mientras tanto, las aplicaciones en sí están diseñadas para ser fáciles de iniciar e integrar. Puede lanzar muchos de ellos sin una tarjeta de crédito. Y los usuarios a menudo pueden integrar este software con algunos de sus sistemas de registro más vitales, como CRM, ERP, sistema de soporte y gestión de capital humano (HCM) con tan solo un clic.

Esto es cierto para la mayoría de las aplicaciones que se ofrecen en las tiendas de aplicaciones de los principales proveedores. Misha señala que los usuarios de Salesforce pueden "conectar" una aplicación de Salesforce AppExchange sin instalarlo. Eso significa que no hay escrutinio, puede acceder a los datos de su cliente y sus actividades se registran en el perfil del usuario, lo que dificulta el seguimiento.

Entonces, ese es el primer problema. Es muy fácil conectar aplicaciones nuevas y potencialmente inseguras a sus aplicaciones principales. El segundo problema es que la mayoría de estos sistemas no han sido diseñados para que los administradores observen lo que sucede dentro de ellos.

Por ejemplo:

• Salesforce ofrece muchas herramientas maravillosas de DevOps, pero no una forma nativa de rastrear aplicaciones integradas, extender claves API o comparar organizaciones para detectar cambios sospechosos.
• de NetSuite el registro de cambios no proporciona detalles sobre quién cambió qué, solo esa algo cambió, lo que dificulta la auditoría.
• de Jira el registro de cambios es igualmente escaso y Jira a menudo se integra con Zendesk, PagerDuty y Slack, que contienen datos confidenciales.

Esto dificulta saber qué está configurado, qué aplicaciones tienen acceso a qué datos y quién ha estado en sus sistemas.

Qué puedes hacer al respecto

La mejor defensa es una defensa automática, dice Misha, así que hable con su equipo de seguridad cibernética sobre cómo pueden implementar el monitoreo de sus aplicaciones comerciales en sus planes existentes. Pero para una conciencia y cobertura completas, ellos también necesitarán una visión más profunda de lo que sucede dentro y entre estas aplicaciones que lo que estas herramientas brindan de forma nativa. Necesitará crear o comprar herramientas que puedan ayudarlo a:

• Identifique sus riesgos: Necesitará la capacidad de ver todo lo que está configurado en cada aplicación, guardar instantáneas a tiempo y comparar esas instantáneas. Si una herramienta puede decirle la diferencia entre la configuración de ayer y la de hoy, puede ver quién ha hecho qué y detectar intrusiones o posibles intrusiones.
• Indague, supervise y analice las vulnerabilidades: Necesita una forma de establecer alertas para cambios en sus configuraciones más sensibles. Estos deberán ir más allá de las herramientas tradicionales de administración de la postura de seguridad (SSPM) de SaaS, que tienden a monitorear solo una aplicación a la vez, o solo brindan recomendaciones de rutina. Si algo se conecta a Salesforce o Zendesk y altera un flujo de trabajo importante, debe saberlo.
• Desarrolle un plan de respuesta: Adopte una herramienta similar a Git que le permita “versión” sus aplicaciones comerciales para almacenar estados anteriores a los que luego puede volver. No solucionará todas las intrusiones y puede provocar la pérdida de metadatos, pero es una primera línea eficaz de reparación.
• Mantenga su higiene de seguridad SaaS: Delegue a alguien en el equipo para que mantenga sus organizaciones actualizadas, desactive usuarios e integraciones innecesarias y se asegure de que las configuraciones de seguridad que estaban desactivadas se vuelvan a activar; por ejemplo, si alguien desactiva el cifrado o TLS para configurar un webhook, compruebe que fue reactivado.

Si puede juntar todo eso, puede comenzar a identificar áreas en las que los actores maliciosos podrían ingresar, como a través de los webhooks de Slack, como señala Misha.

Su papel en la seguridad del sistema empresarial

No depende solo de los administradores proteger estos sistemas, pero usted puede desempeñar un papel importante en el bloqueo de algunas de las puertas abiertas obvias. Y cuanto mejor pueda ver estos sistemas, una tarea para la que no siempre están diseñados de forma nativa, mejor sabrá si alguien pirateó una aplicación comercial.