Bainistíocht Staidiúir Slándála SaaS le haghaidh iniúchtaí 2026

Fionnachtain iniúchta SaaS nach raibh aon duine ina húinéir uirthi

Ag 08:15 Dé Máirt, faigheann CISO i gcuideachta fintech atá ag fás go tapa teachtaireacht ón Oifigeach Cosanta Sonraí: “Cén fáth a bhfuil easpórtáil custaiméirí ó uirlis chomhoibrithe inroinnte go poiblí, agus cé a d’fhormheas an aip OAuth atá in ann í a léamh?”

Faoi 09:00, dearbhaíonn an fhoireann airgeadais go bhfuiltear ag íoc as an uirlis le cárta rannóige, seachas trí sholáthar lárnach. Faoi 10:30, faigheann TF amach gur fhág an t-úsáideoir a chruthaigh an nasc poiblí an chuideachta trí mhí ó shin. Faoi mheán lae, fiafraíonn an fhoireann dlí an sárú sonraí pearsanta faoi GDPR atá ann. Faoi 14:00, fiafraíonn an Coiste Riosca an mbíonn tionchar ag an gceist ar shláinteachas cibear NIS2 agus ar riosca tríú páirtí TFC DORA. Faoi 16:00, iarrann an t-iniúchóir inmheánach bonnlínte cumraíochta, athbhreithnithe rochtana riarthóirí, úinéireacht néalseirbhísí, logaí agus dícheall cuí soláthraithe.

Is í an fhírinne phianmhar ná nár tharla briseadh clasaiceach SaaS ná teip díoltóra don eagraíocht. Tharla teip rialachais di.

Ní cás eisceachtúil é sin a thuilleadh. Nascann foireann mhargaíochta ardán IS leis an CRM le ceadanna leathana OAuth. Ceannaíonn Acmhainní Daonna uirlis anailísíochta nideoige lasmuigh den phróiseas soláthair. Cumasaíonn foireann tacaíochta custaiméirí easpórtálacha ticéad poiblí ar mhaithe le háisiúlacht. Comhtháthaíonn foireann innealtóireachta síneadh brabhsálaí i sreabhadh oibre forbartha. D’fhéadfadh gach cinneadh a bheith beag ann féin, ach le chéile cruthaíonn siad dromchla rialaithe dáilte atá lán de shonraí rialáilte, sreafaí oibre pribhléideacha agus spleáchais oibríochtúla.

Is í Bainistíocht Staidiúir Slándála SaaS, nó SSPM, an disciplín a athraíonn an réaltacht scaipthe SaaS sin ina rialú rialaithe, tástáilte agus in-iniúchta. Má chuirtear i bhfeidhm i gceart í, tugann sí rian fianaise aonair do CISOnna, bainisteoirí comhlíonta, iniúchóirí agus úinéirí gnó le haghaidh ISO/IEC 27001:2022, sláinteachas cibear NIS2, riosca TFC DORA agus cuntasacht slándála GDPR.

Tá seasamh Clarysec soiléir: níor cheart caitheamh le SSPM mar dheais eile fós. Ba cheart í a leabú san ISMS, a nascadh le húinéireacht riosca, a mhapáil chuig oibleagáidí dlíthiúla, a thacú le beartas agus a thástáil trí fhianaise athfhillteach.

Sin é an áit a mbíonn Zenith Blueprint: Treochlár 30 Céim d’Iniúchóirí Zenith Blueprint, Zenith Controls: An Treoir Tras-Chomhlíonta Zenith Controls agus teimpléid bheartais Clarysec praiticiúil. Cabhraíonn siad le fairsingiú SaaS a thiontú ina shamhail rialaithe ar féidir le hiniúchóir í a thuiscint agus ar féidir le comhlacht bainistíochta maoirseacht a dhéanamh uirthi.

Cén fáth ar tháinig Bainistíocht Staidiúir Slándála SaaS chun bheith ina ceist chomhlíonta

Ba ghnách caitheamh le SaaS mar “bhogearraí a ritheann duine eile.” Ní sheasann an fráma sin a thuilleadh.

Faoi NIS2, féadfaidh go leor soláthraithe néalríomhaireachta, SaaS, bonneagair dhigitigh, seirbhísí bainistithe agus slándála bainistithe teacht faoi ionchais rialáilte chibearshlándála, ag brath ar earnáil, méid, ról agus criticiúlacht. Níos tábhachtaí fós, ní mór d’eagraíochtaí a bhíonn ag brath ar SaaS é a rialú mar chuid dá mbearta bainistíochta riosca féin. Le hAirteagal 20 de NIS2, cuirtear freagracht ar chomhlachtaí bainistíochta as bearta bainistíochta riosca cibearshlándála a fhormheas, as maoirseacht a dhéanamh ar chur chun feidhme agus as oiliúint a fháil. Éilíonn Airteagal 21 bearta teicniúla, oibríochtúla agus eagraíochtúla praiticiúla, lena n-áirítear anailís riosca, beartais, láimhseáil teagmhas, leanúnachas gnó, slándáil slabhra soláthair, fáil agus cothabháil shlán, tástáil éifeachtachta, sláinteachas cibear, cripteagrafaíocht, slándáil acmhainní daonna, rialú rochtana, bainistíocht sócmhainní agus fíordheimhniú ilfhachtóiriúil nuair is cuí.

Ardaíonn DORA an caighdeán tuilleadh d’eintitis airgeadais. Ón 17 Eanáir 2025, tá DORA i bhfeidhm ar go leor eagraíochtaí san earnáil airgeadais mar réimeas athléimneachta oibríochtúla d’eintitis atá laistigh den raon feidhme. Éilíonn sé rialachas TFC, sainaithint agus aicmiú sócmhainní TFC agus feidhmeanna tacaithe, rialuithe cosanta agus coisctheacha, bainistíocht teagmhas, leanúnachas, tástáil agus bainistíocht riosca tríú páirtí TFC. Bíonn soláthraithe SaaS a thacaíonn le feidhmeanna criticiúla nó tábhachtacha mar chuid d’imlíne fianaise DORA, agus fanann an t-eintiteas airgeadais rialáilte cuntasach.

Cuireann GDPR sraith fianaise phríobháideachais leis. Éilíonn Airteagal 5 sláine, rúndacht agus cuntasacht. Éilíonn Airteagal 32 slándáil chuí próiseála. Go praiticiúil, ní mór d’eagraíocht fios a bheith aici cé na sonraí pearsanta atá ann, cá bpróiseáiltear iad, cé atá in ann rochtain a fháil orthu, cé na soláthraithe a phróiseálann iad agus cé na coimircí a chosnaíonn iad. Le míchumraíocht SaaS, déantar ceisteanna práinneacha measúnaithe sáraithe de na ceisteanna sin.

Is é ISO/IEC 27001:2022 an droichead. Éilíonn clásail 4.1 go 4.4 ar an eagraíocht comhthéacs, ceanglais páirtithe leasmhara, raon feidhme, comhéadain agus spleáchais a shainiú. Éilíonn clásal 5 ceannaireacht, beartas, róil agus cuntasacht. Éilíonn clásail 6.1.1 go 6.1.3 measúnú riosca, cóireáil riosca, an Ráiteas Infheidhmeachta agus cinntí maidir le riosca iarmharach. Éilíonn clásail 8.1, 8.2 agus 8.3 pleanáil oibríochtúil, measúnú riosca agus cóireáil riosca. Éilíonn clásail 9 agus 10 faireachán, iniúchadh inmheánach, athbhreithniú bainistíochta agus feabhsú.

Mura féidir leat a fhreagairt cé na huirlisí SaaS a phróiseálann sonraí rialáilte, cé atá ina n-úinéirí orthu, conas atá siad cumraithe, cé aige a bhfuil rochtain riarthóra, cé na comhtháthuithe atá gníomhach agus cén fhianaise a chruthaíonn go n-oibríonn an rialú, tá do sheasamh comhlíonta leochaileach.

Samhail SSPM Clarysec: fardal, úinéireacht, bonnlíne, fianaise

Caitheann Clarysec le Bainistíocht Staidiúir Slándála SaaS mar lúb rialaithe in-athdhéanta, ní mar thionscadal glantacháin aonuaire.

1. Aimsigh gach seirbhís SaaS, lena n-áirítear scáth-SaaS.
2. Sann úinéir gnó agus úinéir teicniúil.
3. Aicmigh sonraí, úsáideoirí, comhtháthuithe agus criticiúlacht oibríochtúil.
4. Cuir bonnlínte slána cumraíochta i bhfeidhm.
5. Déan athbhreithniú ar úsáideoirí, riarthóirí, aíonna, cuntais seirbhíse agus raonta OAuth.
6. Cumasaigh logáil, foláireamh agus coinneáil.
7. Déan faireachán ar chomhroinnt phoiblí agus ar nochtadh sonraí.
8. Nasc soláthraithe, conarthaí, comhaontuithe próiseála sonraí agus pleanáil scoir.
9. Bailigh fianaise de réir minicíocht shainithe.
10. Cuir fionnachtana isteach i gcóireáil riosca, in athbhreithniú bainistíochta agus i bhfeabhsú.

Tá an tsamhail seo ailínithe go dlúth le rialuithe ISO/IEC 27002:2022 ISO/IEC 27002:2022, go háirithe 5.9 fardal faisnéise agus sócmhainní gaolmhara eile, 5.15 rialú rochtana, 5.18 cearta rochtana, 5.19 slándáil faisnéise i gcaidrimh le soláthraithe, 5.20 slándáil faisnéise a láimhseáil laistigh de chomhaontuithe le soláthraithe, 5.21 slándáil faisnéise a bhainistiú sa slabhra soláthair TFC, 5.23 slándáil faisnéise maidir le húsáid néalseirbhísí, 8.2 cearta rochtana pribhléideacha, 8.3 srianadh rochtana ar fhaisnéis, 8.9 bainistíocht cumraíochta, 8.15 logáil, 8.16 gníomhaíochtaí faireacháin agus 8.32 bainistíocht athruithe.

Deir Zenith Blueprint, sa chéim Rialuithe i nGníomh, Céim 23 le haghaidh rialuithe eagraíochtúla:

Ní ceann scríbe é an néal a thuilleadh; is é an réamhshocrú é. Ó stóráil go comhoibriú, ó bhonneagar go foghlaim meaisín, tá eagraíochtaí á dtógáil níos mó agus níos mó ar shraitheanna de thimpeallachtaí tríú páirtí, teibí agus cianbhainistithe. Aithníonn rialú 5.23 an réaltacht sin agus éilíonn sé go dtabharfar aghaidh go sainráite ar shlándáil faisnéise i roghnú, úsáid agus bainistíocht néalseirbhísí, ní mar iar-smaoineamh, ach mar phrionsabal deartha ón tús.

Sin croílár SSPM. Ní hamháin míchumraíocht a bhrath tar éis teagmhais atá i gceist. Is é atá i gceist ná roghnú, ionduchtú, oibriú, faireachán agus scor SaaS a dhéanamh mar chuid den chóras bainistíochta.

Míníonn an chuid chéanna de Zenith Blueprint réaltacht na freagrachta comhroinnte i dteanga ba cheart do gach comhalta boird a chloisteáil:

Cosnaíonn soláthraithe néalríomhaireachta an bonneagar, ach tá tusa fós cuntasach as do shonraí, do chumraíochtaí, do bheartais rochtana agus d’ullmhacht freagartha ar theagmhais. Buicéad stórála míchumraithe, painéal atá nochtaithe go poiblí, nó ceadanna iomarcacha i socrú néal-IAM — ní teipeanna néalríomhaireachta iad sin. Is teipeanna rialachais iad.

Féadfaidh do sholáthraí an t-ardán a oibriú, ach is leat fós cumraíocht an tionónta, aitheantais, formheasanna rochtana, sonraí nochta, comhtháthuithe, sreafaí oibre teagmhas agus fianaise chomhlíonta.

Is é rialú 5.23 an t-ancaire, ach teastaíonn teaghlach rialuithe ó SSPM

In Zenith Controls, déantar rialú ISO/IEC 27002:2022 5.23, slándáil faisnéise maidir le húsáid néalseirbhísí, a chatagóiriú mar rialú coisctheach a thacaíonn le rúndacht, sláine agus infhaighteacht. Is é Cosaint a choincheap cibearshlándála, le cumas oibríochtúil i slándáil caidrimh soláthraithe agus fearainn trasna rialachais, éiceachórais agus cosanta.

Tá sé sin tábhachtach toisc nach rialú aonair é SSPM. Is disciplín tras-rialaithe é.

Nascann Zenith Controls 5.23 le caidrimh soláthraithe faoi 5.19 toisc gur soláthraithe criticiúla iad soláthraithe SaaS, ach cuireann 5.23 ábhair imní shonracha SaaS leis, amhail ilthionóntacht, trédhearcacht maidir le suíomh sonraí agus freagracht chomhroinnte. Nascann sé 5.23 le haistriú faisnéise toisc go mbogann APIanna, comhtháthuithe agus sreafaí oibre idir-SaaS sonraí i gcónaí. Nascann sé 5.23 le fardal sócmhainní toisc go dteastaíonn infheictheacht reatha ó eagraíochtaí ar shonraí atá stóráilte sa néal agus ar acmhainní SaaS. Nascann sé rialachas néalríomhaireachta freisin le faireachán, srianadh rochtana, bainistíocht cumraíochta agus maoirseacht soláthraithe.

Maidir le cearta rochtana, mapálann Zenith Controls 5.18 chuig 5.15 rialú rochtana, 5.16 bainistíocht aitheantais, 5.3 deighilt dualgas, 5.36 comhlíonadh beartas, rialacha agus caighdeán slándála faisnéise agus 8.2 cearta rochtana pribhléideacha. Do SSPM, ciallaíonn sé seo nach cleachtadh scarbhileoige amháin é athbhreithniú rochtana. Is cruthúnas oibríochtúil é go n-oibríonn saolré aitheantais, prionsabal na pribhléide is lú, deighilt dualgas agus rialachas rochtana pribhléidí laistigh d’fheidhmchláir SaaS.

Bonn beartais: sainigh an cleachtas ceart sula gceannaítear uirlisí

Tosaíonn go leor teipeanna SaaS toisc go mbíonn teanga bheartais doiléir. Ní leor “úsáid uirlisí formheasta go slán.” Sainíonn beartais Clarysec ionchais shonracha maidir le clárú, rochtain, logáil, cumraíocht agus athbhreithniú soláthraithe.

Do FBManna, tugann Beartas Úsáide Néalríomhaireachta - SME Beartas Úsáide Néalríomhaireachta - SME pointe tosaithe praiticiúil. Ón gcuid “Ceanglais rialachais,” clásal beartais 5.3:

Ní mór don soláthraí TF nó don Stiúrthóir Bainistíochta Clár Néalseirbhísí a chothabháil. Ní mór dó na nithe seo a thaifeadadh: 5.3.1 Ainm agus cuspóir gach néalseirbhíse formheasta 5.3.2 An duine nó an fhoireann fhreagrach (Úinéir Feidhmchláir) 5.3.3 Na cineálacha sonraí atá stóráilte nó próiseáilte 5.3.4 An tír nó réigiún ina stóráiltear sonraí 5.3.5 Ceadanna rochtana úsáideoirí agus cuntais riaracháin 5.3.6 Sonraí conartha, dátaí athnuachana agus teagmhálaithe tacaíochta

Is é an clásal seo croílár oibríochtúil SSPM. Tugann sé an chéad réad fianaise d’iniúchóirí: clár a nascann úsáid SaaS le húinéirí, sonraí, tíreolaíocht, rochtain agus conarthaí.

Sainíonn an Beartas Úsáide Néalríomhaireachta - SME céanna, ón gcuid “Ceanglais chur chun feidhme an bheartais,” clásal beartais 6.2, socruithe bonnlíne:

Ceanglais chumraíochta slándála 6.2.1 Ní mór na nithe seo a leanas a chumasú ar gach ardán néalríomhaireachta: 6.2.2 Fíordheimhniú ilfhachtóiriúil (MFA) do chuntais riaracháin agus úsáideora 6.2.3 Socruithe castachta pasfhocail (10 gcarachtar ar a laghad, gan athúsáid) 6.2.4 Logáil gníomhaíochta le haghaidh iarrachtaí logála isteach agus rochtain ar shonraí 6.2.5 Srianta rochtana (m.sh. liostú ceadaithe IP, nuair a thacaítear leis) 6.2.6 Ní mór rochtain riaracháin a theorannú do dhaoine ainmnithe nó do sholáthraithe tacaíochta údaraithe. 6.2.7 Ní mór faireachán rialta a dhéanamh ar inneachar a chomhroinntear go poiblí chun sceitheadh sonraí a chosc. 6.2.8 Nuair nach bhfuil cuntais úsáideoirí ag teastáil a thuilleadh, ní mór rochtain a chúlghairm láithreach agus ní mór aon sonraí iarmharacha a athbhreithniú agus a chartlannú nó a scriosadh.

Do thimpeallachtaí fiontair, sannann an Beartas Úsáide Néalríomhaireachta Beartas Úsáide Néalríomhaireachta rialachas lárnaithe níos láidre. Ón gcuid “Ceanglais rialachais,” clásal beartais 5.3:

Ní mór úinéir seirbhíse sannta a bheith ag gach néalseirbhís, atá cuntasach as bainistíocht saolré sócmhainní faisnéise, rialachas úsáide, rianú buiséid agus faireachán leanúnach ar chomhlíonadh.

Dúnann an abairt sin bearna iniúchta choitianta. Mura bhfuil aon duine ina úinéir ar sheirbhís SaaS, níl aon duine ina úinéir ar shreabhadh cumraíochta, athdheimhniú rochtana, nochtadh sonraí, cinntí athnuachana, teagmháil teagmhais ná pleanáil scoir.

Ní mór rialachas pribhléidí a bheith sainráite freisin. Deir an Beartas um Bainistíocht Cuntas Úsáideora agus Pribhléidí - SME Beartas um Bainistíocht Cuntas Úsáideora agus Pribhléidí - SME, ón gcuid “Ceanglais chur chun feidhme an bheartais,” clásal beartais 6.4:

Athbhreithnithe rochtana agus logáil 6.4.1 Ní mór athbhreithniú a dhéanamh ar gach cuntas úsáideora agus ar gach pribhléid gach sé mhí. 6.4.2 Le linn athbhreithnithe, ní mór don Cheannaire TF bailíochtú a dhéanamh ar cibé acu an bhfuil gach cuntas fós gníomhach, riachtanach agus sannta leis na ceadanna cearta. 6.4.3 Ní mór logaí maidir le cruthú cuntas, díghníomhachtú cuntas agus athruithe pribhléide a choinneáil go slán ar feadh 12 mhí ar a laghad.

Do SaaS, teastaíonn timthriall sainithe athbhreithnithe rochtana ó gach ardán criticiúil, fiú má riarann foireann ghnó é seachas TF lárnach.

Ní mór logáil a bheith sainráite freisin. Deir an Beartas Logála agus Faireacháin - SME Beartas Logála agus Faireacháin - SME, ón gcuid “Ceanglais rialachais,” clásal beartais 5.5:

Néalseirbhísí agus logáil tríú páirtí 5.5.1 I gcás ardáin nach bhfuil logáil faoi rialú díreach TF (m.sh. ríomhphost SaaS), tá na ceanglais seo a leanas i bhfeidhm: 5.5.1.1 Ní mór logáil a chumasú agus a chumrú nuair atá sí ar fáil 5.5.1.2 Ní mór foláirimh a threorú chuig an Soláthraí Tacaíochta TF 5.5.1.3 Ní mór do chonarthaí a éileamh ar sholáthraithe logaí a choinneáil ar feadh 12 mhí ar a laghad agus rochtain a sholáthar nuair a iarrtar í

Ar deireadh, ní mór rialachas soláthraithe SaaS a dhoiciméadú. Deir an Beartas Slándála Tríú Páirtí agus Soláthraithe - SME Beartas Slándála Tríú Páirtí agus Soláthraithe - SME, ón gcuid “Ceanglais chur chun feidhme an bheartais,” clásal beartais 6.3:

Faireachán leanúnach ar shlándáil soláthraithe 6.3.1 Ní mór soláthraithe criticiúla nó ardriosca a athbhreithniú uair sa bhliain ar a laghad. Ní mór don athbhreithniú na nithe seo a fhíorú: 6.3.1.1 Úsáid leanúnach modhanna rochtana slána 6.3.1.2 Deimhnithe slándála bailí nó fianaise rialaithe nuashonraithe 6.3.1.3 Stair teagmhas nó saincheisteanna tuairiscithe 6.3.1.4 Comhlíonadh conarthach le clásail slándála 6.3.2 Ní mór na hathbhreithnithe sin a dhoiciméadú agus a choinneáil le taifead an tsoláthraí. Ní mór bearta leantacha a rianú go soiléir. 6.3.3 I gcás ina mbainistíonn soláthraithe bonneagar TF nó feidhmchláir, féadfar na nithe seo a áireamh san fhaireachán: 6.3.3.1 Logaí iniúchta a iarraidh 6.3.3.2 Gníomhaíocht cuntais a athbhreithniú 6.3.3.3 A dhearbhú nár tharla aon rochtain neamhúdaraithe

Le chéile, athraíonn na beartais seo SSPM ó ardmhian slándála ina shamhail oibríochta is féidir a chur i bhfeidhm.

Sprint fianaise SSPM 30 lá

Is féidir le CISO nó bainisteoir comhlíonta praiticiúil tosú le sprint fianaise 30 lá. Roghnaigh na cúig ardán SaaS is tábhachtaí do shonraí rialáilte nó d’oibríochtaí criticiúla. I measc na n-iarrthóirí coitianta tá Microsoft 365 nó Google Workspace, CRM, ticéadú, HRIS, uathoibriú airgeadais, tacaíocht custaiméirí agus anailísíocht.

Seachtain 1: Cruthaigh an clár SaaS

Úsáid réimsí chlásal 5.3 den Bheartas Úsáide Néalríomhaireachta - SME mar an clár íosta. Do gach seirbhís SaaS, gabh na nithe seo a leanas:

• Ainm na seirbhíse agus cuspóir gnó
• Úinéir Feidhmchláir agus úinéir teicniúil
• Cineálacha sonraí, lena n-áirítear sonraí pearsanta agus sonraí catagóire speisialta nuair is infheidhme
• Tír nó réigiún stórála sonraí
• Grúpaí úsáideoirí agus cuntais riarthóra
• Aipeanna OAuth agus comhtháthuithe tríú páirtí
• Úinéir conartha, dáta athnuachana agus teagmhálaí tacaíochta
• Criticiúlacht d’oibríochtaí
• Oibleagáidí infheidhme, amhail NIS2, DORA, GDPR nó conarthaí custaiméirí

Tacaíonn sé seo le clásail ISO/IEC 27001:2022 4.2 agus 4.3 toisc go gcaithfidh spleáchais rialála, chonarthacha agus tríú páirtí raon feidhme an ISMS a mhúnlú. Tacaíonn sé freisin le sainaithint agus aicmiú de stíl Airteagal 8 DORA ar fheidhmeanna gnó a dtacaíonn TFC leo, sócmhainní faisnéise, sócmhainní TFC agus spleáchais.

Seachtain 2: Sainigh bonnlínte slána cumraíochta

Do gach ardán SaaS roghnaithe, sainigh 10 go 15 rialú bonnlíne.

• MFA curtha i bhfeidhm do gach úsáideoir, le MFA atá frithsheasmhach in aghaidh fioscaireachta do riarthóirí nuair is féidir
• Comhroinnt sheachtrach díchumasaithe de réir réamhshocraithe nó teoranta do fhearainn cheadaithe
• Naisc phoiblí díchumasaithe nó faoi theorainn ama
• Cuntais aoi athbhreithnithe go míosúil
• Róil riarthóra sannta do dhaoine ainmnithe
• Fíordheimhniú oidhreachta díchumasaithe
• Sreabhadh oibre formheasa aip OAuth cumasaithe
• Raonta OAuth ardriosca blocáilte nó ag éileamh formheas slándála
• Logáil iniúchta cumasaithe
• Ceadanna easpórtála sonraí srianta
• Socruithe coinneála ailínithe le ceanglais dhlíthiúla agus ghnó
• Tóicíní API athbhreithnithe agus rothlaithe
• Foláirimh slándála treoraithe chuig TF nó SOC
• Socruithe Cosc ar Chaillteanas Sonraí cumasaithe nuair a thacaítear leo
• Cuntais “break glass” doiciméadaithe agus faoi fhaireachán

Míníonn Zenith Blueprint, an chéim Rialuithe i nGníomh, Céim 19, rialú 8.9 bainistíocht cumraíochta, cén fáth a bhfuil sé seo tábhachtach:

Ní thagann go leor sáruithe as lochtanna bogearraí; tagann siad as drochroghanna cumraíochta. Pasfhocail réamhshocraithe fágtha gan athrú, seirbhísí neamhshlána cumasaithe, calafoirt neamhriachtanacha oscailte, nó córais nochta don idirlíon gan údar. Cinntíonn rialú 8.9 go dtógtar gach córas de réir bonnlíne slán cumraíochta agus go ndéantar athbhreithniú rialta air chun sruth a chosc le himeacht ama.

Do SaaS, áirítear le sruth cumraíochta úinéir gnó ag cumasú comhroinnt phoiblí, riarthóir ag formheas rochtain leathan tríú páirtí, nó díoltóir ag athrú socruithe réamhshocraithe tar éis eisiúint gné.

Seachtain 3: Déan athbhreithniú ar rochtain agus ar chomhtháthuithe

Easpórtáil úsáideoirí, grúpaí, riarthóirí agus feidhmchláir nasctha. Do gach cuntas riarthóra, dearbhaigh an duine ainmnithe, an bonn cirt gnó, stádas MFA, an logáil isteach dheireanach, leibhéal pribhléide, clúdach cúltaca, imní maidir le deighilt dualgas agus fianaise formheasa.

Maidir le haipeanna OAuth agus comhtháthuithe, dearbhaigh úinéir na haipe, na sonraí a rochtainítear, na ceadanna a iarrtar, stádas riosca an díoltóra, an dáta úsáide deireanaí, an riachtanas leanúnach agus cibé acu ar thug úsáideoir toiliú nó ar fhormheas riarthóir é.

Tugann Zenith Blueprint, an chéim Rialuithe i nGníomh, Céim 19, rialú 8.3 srianadh rochtana ar fhaisnéis, an prionsabal oibríochta:

Ba cheart rochtain ar fhaisnéis a bheith chomh hoscailte agus is gá, ach chomh srianta agus is féidir.

Baineann sé seo ní hamháin le daoine, ach le feidhmchláir, seirbhísí agus APIanna freisin. Is féidir le comhtháthú OAuth neamhghníomhach rochtain a choinneáil i bhfad tar éis don fhostaí nó don tionscadal a chruthaigh é imeacht.

Seachtain 4: Cruthaigh fianaise atá réidh don iniúchadh agus cóireáil riosca

Do gach ardán SaaS, stóráil iontráil an chláir, bonnlíne cumraíochta, seatanna scáileáin nó easpórtálacha a chruthaíonn socruithe tábhachtacha, formheas athbhreithnithe rochtana, fianaise athbhreithnithe riarthóra, fianaise athbhreithnithe OAuth, fianaise logála agus foláirimh, taifead athbhreithnithe slándála soláthraí, fionnachtana oscailte agus gníomhartha cóireála riosca.

Ansin cruthaigh achoimre bainistíochta aon leathanaigh a thaispeánann fionnachtana criticiúla, úinéirí thar téarma, bearnaí cumraíochta ardriosca gan réiteach, comhtháthuithe neamhcheadaithe, bearnaí logála, eisceachtaí agus cinntí atá de dhíth. Tacaíonn sé seo le clásal ISO/IEC 27001:2022 9.1 faireachán, clásal 9.2 iniúchadh inmheánach agus clásal 9.3 athbhreithniú bainistíochta. Cruthaíonn sé droichead praiticiúil freisin chuig cuntasacht bainistíochta Airteagal 20 NIS2 agus maoirseacht comhlachta bainistíochta DORA.

Mapáil thras-chomhlíonta: pacáiste fianaise SSPM amháin, oibleagáidí iomadúla

Ní slándáil níos fearr amháin atá i luach gnó SSPM. Laghdaíonn sí dúbailt chomhlíonta.

Éilíonn Airteagal 21 NIS2 bearta teicniúla, oibríochtúla agus eagraíochtúla cuí agus comhréireacha. Tacaíonn fardal SaaS le bainistíocht sócmhainní. Tacaíonn bonnlínte cumraíochta le sláinteachas cibear. Tacaíonn MFA agus athbhreithnithe rochtana le rialú rochtana. Tacaíonn logáil le láimhseáil teagmhas. Tacaíonn athbhreithniú soláthraithe le slándáil slabhra soláthair. Tacaíonn minicíocht fianaise le beartais agus nósanna imeachta chun éifeachtacht a mheas.

Éilíonn DORA ar eintitis airgeadais feidhmeanna a dtacaíonn TFC leo, sócmhainní faisnéise, sócmhainní TFC agus spleáchais tríú páirtí a shainaithint agus a aicmiú. Éilíonn sé bearta cosanta agus coisctheacha, rialuithe rochtana, fíordheimhniú láidir, criptiú, leanúnachas, tástáil, bainistíocht teagmhas agus rialachas riosca tríú páirtí TFC freisin. Is féidir le pacáiste fianaise SaaS SSPM tacú le cláir DORA, mapáil spleáchas, maoirseacht conarthaí, cearta iniúchta agus pleanáil scoir.

Éilíonn GDPR ar rialaitheoirí comhlíonadh a léiriú maidir le sláine, rúndacht agus cuntasacht. Aithníonn cláir SaaS cá bpróiseáiltear sonraí pearsanta. Laghdaíonn bonnlínte cumraíochta nochtadh neamhúdaraithe. Tacaíonn athbhreithnithe rochtana leis an bpribhléid is lú. Tacaíonn logáil le himscrúdú sáraithe. Tacaíonn taifid soláthraithe le rialachas próiseálaithe agus cuntasacht.

Cuireann NIST CSF 2.0 sraith úsáideach chumarsáide leis. Éilíonn a fheidhm GOVERN go dtuigfear agus go mbainisteofar ceanglais chibearshlándála dhlíthiúla, rialála agus chonarthacha. Éilíonn a thorthaí slabhra soláthair róil soláthraithe, conarthaí, dícheall cuí, faireachán agus gníomhaíochtaí iarchaidrimh. Mapálann a fheidhmeanna IDENTIFY, PROTECT, DETECT, RESPOND agus RECOVER go nádúrtha chuig fardal SaaS, rialú rochtana, cosaint sonraí, logáil, freagairt do theagmhais agus téarnamh.

Is gnách go dtabharfaidh COBIT 2019 agus iniúchóirí atá dírithe ar ISACA faoi SSPM trí rialachas, cuspóirí bainistíochta, úinéireacht riosca, oibriú rialuithe agus dearbhú. Fiafróidh siad an bhfuil cinntí SaaS ailínithe le cuspóirí fiontair, an bhfuil freagraí riosca doiciméadaithe, an bhfuil freagrachtaí sannta agus an gcruthaíonn gníomhaíochtaí dearbhaithe go n-oibríonn rialuithe.

Lionsa an iniúchta: conas a thástálann iniúchóirí éagsúla staidiúir SaaS

Maireann clár láidir SSPM stíleanna éagsúla iniúchta toisc go dtáirgeann sé fianaise ag an leibhéal ceart.

Tosóidh iniúchóir ISO/IEC 27001:2022 le raon feidhme, páirtithe leasmhara, measúnú riosca, Ráiteas Infheidhmeachta agus fianaise oibríochtúil. Má tá rialú 5.23 san áireamh, beidh siad ag súil le fianaise maidir le roghnú, úsáid, bainistíocht agus scor néalseirbhísí. Má tá rialuithe cearta rochtana san áireamh, samplálfaidh siad úsáideoirí agus fiafróidh siad an bhfuil athruithe iontrálaithe, aistrithe agus fágálaithe léirithe i gceadanna SaaS.

Díreoidh athbhreithneoir DORA ar fheidhmeanna criticiúla nó tábhachtacha, spleáchais tríú páirtí TFC, iomláine clár, conarthaí, aicmiú teagmhas, tástáil agus pleanáil scoir. Má thacaíonn ardán SaaS le hoibríochtaí íocaíochta, ionduchtú custaiméirí, trádáil, anailísíocht riosca nó cumarsáidí cliant, ardaíonn an caighdeán fianaise.

Fiafróidh iniúchóir GDPR nó athbhreithneoir príobháideachais cá bhfuil sonraí pearsanta stóráilte, cé atá in ann rochtain a fháil orthu, cad iad na heaspórtálacha agus socruithe comhroinnte atá ann, an bhfuil próiseálaithe rialaithe, an dtacaíonn logaí le measúnú sáraithe agus an bhfuil rialuithe comhréireach leis an riosca.

Riosca soláthraithe, freagracht chomhroinnte agus ullmhacht teagmhas

Is minic a thosaíonn SSPM le cumraíocht, ach ní féidir léi stopadh ansin. Is ceist riosca soláthraithe agus ullmhachta teagmhas é SaaS freisin.

Éilíonn DORA ar eintitis airgeadais cláir conarthaí seirbhíse TFC a chothabháil, socruithe a thacaíonn le feidhmeanna criticiúla nó tábhachtacha a idirdhealú, riosca comhchruinnithe a mheas, oiriúnacht soláthraithe a mheas agus straitéisí scoir a chothabháil. Ba cheart do chonarthaí aghaidh a thabhairt ar thuairiscí seirbhíse, suíomh sonraí, cosaint infhaighteachta, barántúlachta, sláine agus rúndachta, rochtain ar shonraí, téarnamh agus filleadh, cúnamh teagmhas, comhoibriú le húdaráis, cearta foirceanta, ceanglais slándála, cearta iniúchta agus tacaíocht aistrithe.

Áirítear le Airteagal 21 NIS2 slándáil slabhra soláthair freisin agus éilíonn sé ar eintitis leochaileachtaí atá sonrach do sholáthraithe díreacha agus do sholáthraithe seirbhíse, cáilíocht táirgí agus cleachtais chibearshlándála soláthraithe a mheas.

Go praiticiúil, ba cheart d’athbhreithniú criticiúil SaaS fianaise ceistneora slándála, athbhreithniú conartha, stádas comhaontaithe próiseála sonraí, stair teagmhas, gealltanais leibhéal seirbhíse, rochtain ar logaí, tuarascálacha iniúchta, fianaise cumraíochta agus indéantacht scoir a chomhcheangal.

Tagann bearna na freagrachta comhroinnte chun cinn nuair a ghlacann foirne leis go gclúdaíonn deimhniú an tsoláthraí cumraíocht an tionónta. Ní chlúdaíonn. Féadfaidh soláthraí ardán slán a oibriú agus an custaiméir ag cumasú comhroinnt phoiblí, ag fágáil cuntais riarthóra neamhghníomhacha gníomhach nó ag deonú raonta iomarcacha API. Dúnann SSPM an bhearna sin.

Tá ullmhacht teagmhas chomh tábhachtach céanna. Áirítear le tuairisciú teagmhas suntasach NIS2 rabhadh luath 24 uair an chloig, fógra 72 uair an chloig agus tuarascáil deiridh tráth nach déanaí ná mí amháin tar éis an fhógra 72 uair an chloig. Éilíonn DORA bainistíocht teagmhas a bhaineann le TFC, lena n-áirítear brath, taifeadadh, aicmiú, uaschéimniú, cumarsáid agus fógairt. Braitheann measúnú sáraithe sonraí pearsanta GDPR freisin ar thuiscint thráthúil ar cad a tharla, cé na sonraí a raibh tionchar orthu agus cé a raibh tionchar orthu.

Má fuair aip OAuth amhrasach rochtain ar chomhaid custaiméirí, ní mór duit fios a bheith agat cathain a húdaraíodh an aip, cén t-úsáideoir a d’údaraigh í, cé na raonta a deonaíodh, cé na sonraí a rochtainíodh, ar íoslódáladh nó ar comhroinneadh sonraí, cé na húsáideoirí nó custaiméirí a raibh tionchar orthu, an bhfuil an rochtain fós gníomhach agus cé na bearta srianta a glacadh.

Gan logáil agus coinneáil, d’fhéadfadh iallach a bheith ar an eagraíocht glacadh leis an gcás is measa. Méadaíonn sé sin nochtadh dlíthiúil, brú cumarsáide le custaiméirí agus éiginnteacht rialála. I gcás ina ngearrann soláthraí SaaS táille bhreise ar logaí iniúchta, ba cheart don úinéir riosca glacadh go sainráite leis an riosca iarmharach nó an tsraith cheadúnais riachtanach a fhormheas. Baineann an cinneadh sin leis an taifead cóireála riosca agus leis an athbhreithniú bainistíochta.

Patrúin choitianta teipe SSPM

Feictear na patrúin teipe céanna ar fud earnálacha.

Ar dtús, aimsítear scáth-SaaS trí shonraisc, stair bhrabhsálaí nó logaí SSO seachas trí sholáthar. Ní bac ar uirlisí amháin atá sa réiteach. Is próiseas iontógála éadrom é is féidir le foirne gnó a úsáid.

Ar an dara dul síos, bíonn úinéireacht SaaS doiléir. Tá an CRM “faoi úinéireacht Díolacháin,” ach ní féidir le haon duine i nDíolacháin róil riarthóra, tóicíní API, easpórtálacha sonraí nó socruithe coinneála a mhíniú. Sann úinéirí feidhmchlár agus úinéirí teicniúla ar leithligh.

Ar an tríú dul síos, bíonn athbhreithnithe rochtana róghinearálta. Síníonn athbhreithneoir “gach úsáideoir formheasta” gan róil ardriosca, úsáideoirí neamhghníomhacha, aíonna, comhoibrithe seachtracha nó cuntais seirbhíse a sheiceáil. Ní mór athbhreithniú rochtana SSPM a rangú de réir riosca.

Ar an gceathrú dul síos, déantar neamhaird d’aipeanna OAuth. Déanann go leor eagraíochtaí athbhreithniú ar úsáideoirí daonna ach ní ar cheadanna idir aipeanna. I SaaS nua-aimseartha, féadfaidh comhtháthuithe a bheith níos cumhachtaí ná úsáideoirí.

Ar an gcúigiú dul síos, níl bonnlínte cumraíochta ann ach mar sheatanna scáileáin ón tionscadal deimhniúcháin. Ní dhéantar faireachán orthu le haghaidh srutha. Ailínigh SSPM le bainistíocht cumraíochta ionas go mbeidh seiceálacha bonnlíne ina bhfianaise athfhillteach.

Ar an séú dul síos, tá athbhreithniú soláthraithe agus athbhreithniú ar staidiúir SaaS scartha. Tá an conradh ag Soláthar, tá an consól riaracháin ag TF, tá an comhaontú próiseála sonraí ag Príobháideachas agus tá an clár rioscaí ag Slándáil. Feiceann an t-iniúchóir blúirí. Tugann SSPM le chéile iad.

Tuairisciú bainistíochta: déan riosca SaaS infheicthe don bhord

Déanann NIS2 agus DORA araon rialachas TFC agus cibearshlándála ina cheist bhainistíochta. Éilíonn ISO/IEC 27001:2022 ceannaireacht, acmhainní, sannadh róil, faireachán agus athbhreithniú bainistíochta freisin.

Ba cheart do thuarascáil éifeachtach bainistíochta SSPM na ceisteanna seo a fhreagairt:

• Cé na seirbhísí SaaS criticiúla atá laistigh den raon feidhme?
• Cé na próisis rialáilte atá ag brath orthu?
• Cé acu díobh a bhfuil sonraí pearsanta nó sonraí íogaire gnó iontu?
• Cé acu díobh a bhfuil athbhreithnithe rochtana thar téarma acu?
• Cé acu díobh a bhfuil bearnaí cumraíochta ardriosca gan réiteach acu?
• Cé acu díobh a bhfuil aipeanna nó comhtháthuithe OAuth neamhcheadaithe acu?
• Cé na soláthraithe nach bhfuil fianaise slándála reatha acu?
• Cé na bearnaí logála a théann i bhfeidhm ar thuairisciú teagmhas?
• Cé na heisceachtaí a éilíonn glacadh riosca?
• Cé na hinfheistíochtaí nó cinntí atá de dhíth?

Athraíonn sé seo SSPM ó thionscadal glantacháin teicniúil ina hionchur rialachais. Déanann sé an CISO níos éifeachtaí freisin toisc go mbogann glacadh riosca chuig an leibhéal ceart.

Déan staidiúir SaaS ina fianaise atá réidh don iniúchadh

Má bhíonn d’eagraíocht ag brath ar SaaS le haghaidh sonraí rialáilte, oibríochtaí airgeadais, tacaíocht custaiméirí, Acmhainní Daonna, comhoibriú, innealtóireacht nó anailísíocht, ní rogha é SSPM a thuilleadh. Is cuid í de shláinteachas cibear, bainistíocht riosca TFC, cuntasacht phríobháideachais agus ullmhacht iniúchta.

Is féidir le Clarysec cabhrú leat bogadh ó fhionnachtana scaipthe SaaS go clár struchtúrtha, treoraithe ag fianaise trí úsáid a bhaint as:

• Zenith Blueprint: Treochlár 30 Céim d’Iniúchóirí Zenith Blueprint chun cur chun feidhme a struchtúrú thar úsáid néalríomhaireachta, srianadh rochtana agus bainistíocht cumraíochta.
• Zenith Controls: An Treoir Tras-Chomhlíonta Zenith Controls chun rialuithe ISO/IEC 27002:2022 a mhapáil chuig NIS2, DORA, GDPR, NIST CSF 2.0 agus ionchais iniúchta.
• Teimpléid bheartais Clarysec amhail Beartas Úsáide Néalríomhaireachta Beartas Úsáide Néalríomhaireachta, Beartas Úsáide Néalríomhaireachta - SME Beartas Úsáide Néalríomhaireachta - SME, Beartas um Bainistíocht Cuntas Úsáideora agus Pribhléidí - SME Beartas um Bainistíocht Cuntas Úsáideora agus Pribhléidí - SME, Beartas Logála agus Faireacháin - SME Beartas Logála agus Faireacháin - SME agus Beartas Slándála Tríú Páirtí agus Soláthraithe - SME Beartas Slándála Tríú Páirtí agus Soláthraithe - SME chun rialacha oibríochta is féidir a chur i bhfeidhm a chruthú.

Tosaigh leis na cúig ardán SaaS is airde riosca agat. Sann úinéirí. Gabh sonraí, rochtain, cumraíocht, comhtháthuithe, logaí agus fianaise soláthraithe. Tiontaigh fionnachtana ina ngníomhartha cóireála riosca agus ina gcinntí bainistíochta.

Sin é an chaoi a n-éiríonn Bainistíocht Staidiúir Slándála SaaS níos mó ná catagóir uirlise. Éiríonn sí ina disciplín comhlíonta inchosanta do 2026.

Íoslódáil teimpléid bheartais Clarysec, úsáid Zenith Blueprint chun do sprint fianaise SSPM 30 lá a phleanáil, agus mapáil do rialuithe SaaS le Zenith Controls sula n-aimsíonn do chéad iniúchadh eile na bearnaí duit.