Může zkoumat nastavení identit, privilegovaný přístup, externí sdílení, politiku ochrany dat, logování, integrace třetích stran, udělení OAuth a drift od schváleného baseline.
Služba SSPM běžně používá administrativní API k normalizaci nastavení specifických pro poskytovatele, porovnává pozorovaný stav s politikou či technickým baseline a zasílá nálezy vlastníkům. Některé produkty mohou změny doporučovat či provádět, ale náprava by měla zohledňovat podnikové workflow, chování poskytovatele a závislosti, které generická kontrola nedokáže odvodit.
Klíčové body
Pokrytí a vlastnictvíUdržujte schválený inventář SaaS, vlastníky tenantů, kritické integrace, autoritativní identity, citlivost dat a přesná nastavení, které každý konektor podporuje.
Kvalita hodnoceníZvolte baseline pro riziko organizace, rozlišujte nedostupná data od úspěšné kontroly, monitorujte změny poskytovatele, dokumentujte výjimky a ověřujte nálezy v nativní administrativní rovině.
Bezpečný provozUdělujte konektorům nejmenší praktická oprávnění, chraňte tokeny a exportovanou konfiguraci, omezte přístup analytiků a schvalujte změny ovlivňující přihlašování, sdílení, uchovávání, automatizaci či dostupnost.
Důležité omezeníSSPM nemá konsenzuální rozsah a API SaaS vystavují jen část služby. Úspěšné hodnocení nezakládá, že kód poskytovatele, připojené aplikace, identity, koncová zařízení, používání dat či smluvní a regulatorní povinnosti jsou bezpečné.