Może badać ustawienia tożsamości, dostęp uprzywilejowany, udostępnianie zewnętrzne, politykę ochrony danych, logowanie, integracje stron trzecich, przyznane zgody OAuth i dryf od zatwierdzonego stanu bazowego.
Usługa SSPM zwykle używa API administracyjnych do normalizacji ustawień specyficznych dla dostawcy, porównuje obserwowany stan z polityką lub technicznym stanem bazowym i wysyła wyniki do właścicieli. Niektóre produkty mogą zalecać lub wykonywać zmiany, ale remediacja powinna uwzględniać procesy biznesowe, zachowanie dostawcy i zależności, których generyczny test nie może wywnioskować.
Najważniejsze punkty
Pokrycie i właścicielstwoUtrzymuj zatwierdzony inwentarz SaaS, właścicieli tenantów, krytyczne integracje, autorytatywne tożsamości, wrażliwość danych i dokładne ustawienia obsługiwane przez każdy konektor.
Jakość ocenyWybieraj stany bazowe odpowiednie dla ryzyka organizacji, odróżniaj niedostępne dane od zaliczonego testu, monitoruj zmiany dostawców, dokumentuj wyjątki i weryfikuj wyniki w natywnej płaszczyźnie administracyjnej.
Bezpieczna eksploatacjaNadawaj konektorom najmniejsze praktyczne uprawnienia, chroń tokeny i eksportowaną konfigurację, ograniczaj dostęp analityków oraz zatwierdzaj zmiany dotyczące logowania, udostępniania, retencji, automatyzacji lub dostępności.
Istotne ograniczenieSSPM nie ma uzgodnionego zakresu, a API SaaS eksponują tylko część usługi. Zaliczona ocena nie potwierdza, że kod dostawcy, połączone aplikacje, tożsamości, punkty końcowe, użycie danych ani zobowiązania umowne i regulacyjne są bezpieczne.