saas安全现状调查报告

核心观点与关键数据

• SaaS安全优先级提升：86%的组织将SaaS安全列为高或最高优先级，76%增加预算，79%对现有方案表示信心。重点领域包括威胁检测（50%）、安全态势管理（47%）和应用程序发现（31%）。
• 敏感数据面临风险：63%的组织存在外部数据过度共享风险，56%将敏感数据上传至非授权应用。41%的组织未有效执行最小权限访问策略，56%担忧第三方和AI工具获得过度授权的API访问。
• 去中心化采用与管理：55%的组织员工未经安全部门许可注册SaaS应用，44%在非IT/安全部门管理SaaS时面临挑战，57%存在碎片化管理问题。HR和营销平台（51%）主要由非IT部门管理。
• 身份管理挑战：58%的组织难以执行权限管理，54%缺乏身份生命周期管理的自动化。51%的组织在身份生命周期管理（包括及时离职）方面存在困难。46%的SaaS泄露与弱或被利用的多因素认证（MFA）有关，41%由过度授权的账户导致。
• 非人类身份与集成：46%的组织难以监控非人类身份（NHI），56%担忧过度授权的API访问。GenAI工具和自动化应用程序（50%）的兴起扩大了攻击面，其默认需要广泛访问权限，且难以用传统IAM方法追踪。
• 现有策略不足：79%的组织对SaaS安全方案表示信心，但策略常碎片化、被动且不完整。42%的组织缺乏全面的SaaS发现能力，46%依赖手动审计，69%依赖供应商原生工具。

研究结论

• 尽管SaaS安全成为优先事项并增加投资，但核心挑战（可见性、身份、治理）依然存在，需要更统一、定制化的方法。
• 数据过度共享、非授权上传和过度第三方访问表明缺乏可见性和控制力，需要加强治理和集中监督。
• 去中心化采用和管理的碎片化导致安全盲点，需要明确治理和协作。
• 身份管理（包括NHI）的挑战因权限管理不一致和缺乏自动化而加剧，需要统一策略。
• 许多组织依赖不适合SaaS环境的工具（手动审计、通用云安全解决方案、原生应用控制），导致覆盖不全面和执行不一致。
• 为跟上SaaS和AI创新速度，组织需采取更集成、前瞻性的方法，从发现、态势管理、威胁检测到风险缓解，全面加强SaaS安全。