Vendor Kini Adalah Permukaan Serangan
Dikemaskini untuk 2026
Selama satu dekad, pasukan keselamatan menumpukan pada satu matlamat: menghalang penyerang daripada memasuki rangkaian. Lindungi perimeter. Kunci titik akhir. Kawal siapa yang boleh log masuk. Model lama menganggap penyerang akan menyerang organisasi anda secara langsung.
Angka 2024 menunjukkan model itu sudah rosak. Pencerobohan SaaS melonjak 300% pada 2024, menurut Laporan Ancaman Keselamatan SaaS 2025 Obsidian Security. Penyerang tidak lagi menyerang organisasi secara langsung. Mereka mengincar alat SaaS yang dipercayai oleh organisasi tersebut untuk menyimpan rekod mereka.
Apabila alat awan anda menjadi sasaran serangan, rangkaian dalaman yang kukuh tidak membantu. Rekod pelanggan, dokumen pekerja, dan kandungan sensitif tersimpan di pelayan alat tersebut. Ia dikunci dengan kunci alat itu sendiri. Ia terdedah apabila alat itu diserang.
Angka Pencerobohan SaaS 2024
Jumlah pencerobohan 2024 menunjukkan skala risiko tersebut.
Conduent mengalami pencerobohan yang mendedahkan 25.9 juta rekod. Conduent mengendalikan kerja pemprosesan perniagaan untuk agensi kerajaan dan syarikat besar. Ia mengurus faedah, pembayaran, dan perkhidmatan awam. 25.9 juta orang yang terjejas tidak menyangka pihak ketiga menyimpan maklumat mereka.
NHS Digital mengalami pencerobohan yang mengenai 9 juta pesakit. Rekod pesakit terdedah melalui pelayan alat awan. Pesakit memberikan maklumat itu kepada pembekal kesihatan mereka. Mereka tidak menyedari ia pernah sampai ke platform pihak ketiga.
Ini bukan kejadian yang jarang berlaku. Inilah norma baharu. Pencerobohan besar kini mengenai berjuta-juta orang yang mempercayai satu organisasi tetapi maklumat peribadi mereka disimpan oleh pihak lain yang mereka tidak pernah tahu wujud. Untuk cara undang-undang menetapkan tanggungjawab dalam kes-kes ini, lihat gambaran keseluruhan pematuhan GDPR kami.
Mengapa Pencerobohan SaaS Berfungsi Secara Berbeza
Pencerobohan rangkaian klasik memerlukan banyak langkah. Penyerang perlu melepasi perimeter. Mereka perlu bergerak melalui sistem. Mereka perlu mengekstrak dokumen. Setiap langkah adalah peluang untuk ditangkap.
Pencerobohan SaaS berfungsi secara berbeza. Apabila penyerang menyerang platform awan, mereka mencapai rekod setiap pelanggan yang menghantar kandungan melalui platform tersebut. Satu pencerobohan menghasilkan dokumen daripada berpuluh atau beratus pelanggan sekaligus.
Tempoh pencerobohan 9 minit -- masa dari akses pertama hingga kecurian rekod dalam sistem SaaS, menurut rekod kejadian Obsidian Security -- menunjukkan betapa pantas ia berlaku. Di dalam platform bersama, penyerang menemui kandungan daripada ramai pelanggan sekaligus. Tumpuan nilai itu menjadikan setiap serangan sangat cekap.
Kontrak tidak menutup jurang ini. Artikel 82 GDPR menetapkan tanggungjawab bersama kepada pemproses bagi pencerobohan yang mereka sebabkan. Tetapi membuktikan kesalahan mengambil masa berbulan-bulan. Ketika itu, rekod sudah tiada. Lihat halaman keselamatan dan pematuhan kami untuk cara alat zero-knowledge mengubah hasil ini.
DPA Tidak Melindungi Rekod Anda
Artikel 28 GDPR menyatakan organisasi mesti menggunakan hanya pemproses yang memberikan "jaminan yang mencukupi." Perjanjian Pemprosesan Data adalah bukti bertulis jaminan tersebut.
Seperti Perjanjian Rakan Kongsi Perniagaan HIPAA, DPA menangani aspek undang-undang. Ia tidak merangkumi apa yang berlaku kepada dokumen anda di pelayan pembekal.
Alat awan dengan DPA yang sepenuhnya mematuhi GDPR masih boleh:
- Menyimpan rekod pelanggan menggunakan penyulitan sisi pelayan dengan kunci yang dipegang pembekal
- Menjalankan maklumat pekerja melalui sistem bersama yang digunakan oleh ramai pelanggan lain
- Menyimpan log dan kandungan cache melebihi penggunaan yang dipersetujui
- Mengalami pencerobohan yang mendedahkan semua perkara di atas
DPA menetapkan kewajipan undang-undang. Ia tidak mewujudkan dinding teknikal terhadap pendedahan. Apabila penyerang menembusi platform dalam 9 minit, DPA tidak melambatkan mereka.
Untuk bantuan dalam bahasa mudah tentang kewajipan Artikel 28, lihat glosari GDPR.
Mengapa Lonjakan 300% Bersifat Struktural
Lonjakan 300% mencerminkan dua kuasa yang bekerja serentak.
Pertama, jumlah maklumat sensitif dalam platform SaaS meningkat dengan ketara pada 2024. Lebih banyak organisasi memindahkan lebih banyak kerja ke alat awan. Lebih banyak dokumen tiba di pelayan pihak ketiga. Lebih banyak kandungan bermakna lebih banyak sebab untuk menyerang pelayan tersebut.
Kedua, penyerang menyesuaikan diri. Organisasi kini menghantar rekod pelanggan, log kewangan, maklumat HR, kandungan undang-undang, dan rekod kesihatan melalui alat SaaS. Menyerang satu platform menghasilkan rekod daripada ramai pelanggan. Matematik ini menggalakkan menyerang platform berbanding menyerang organisasi secara individu.
Angka 300% bukan lonjakan jenayah. Ia menandakan peralihan struktural dalam sasaran serangan.
Penganoniman Zero-Knowledge sebagai Penyelesaian
Penyelesaian bermula dengan satu perubahan pemikiran. Jika mana-mana platform boleh diserang -- dan rekod 2024 membuktikan ia boleh -- maka tiada platform perlu menerima maklumat peribadi pelanggan anda dalam bentuk yang boleh dibaca.
Penganoniman zero-knowledge sebelum memuat naik mengubah risiko pencerobohan sepenuhnya. Apabila platform yang menyimpan kandungan yang telah diproses secara zero-knowledge diserang:
- Penyerang mencapai rekod yang dianonimkan tanpa pengecam pelanggan yang boleh dibaca
- Tiada notis subjek diperlukan kerana tiada maklumat peribadi yang didedahkan
- Tiada kes tanggungjawab bersama Artikel 82 GDPR diperlukan
- Tiada tindak lanjut kawal selia yang terhasil daripada pencerobohan tersebut
Serangan mengenai platform. Ia tidak mencapai pelanggan anda. Maklumat peribadi mereka tidak pernah tiba di pelayan platform dalam bentuk yang boleh dibaca.
Ini bukan teori. Ini fakta mudah: tiada rekod yang boleh dicuri kerana tiada yang dihantar dalam bentuk boleh dibaca. Soalan Lazim merangkumi soalan biasa tentang penganoniman zero-knowledge. Halaman harga kami menunjukkan kos perlindungan ini pada skala besar.
Lonjakan 300% mengubah matematik risiko. Menyemak postur keselamatan dan syarat kontrak pembekal bermakna bertaruh bahawa pembekal anda tidak akan menjadi tajuk berita seterusnya. Penganoniman zero-knowledge menghapuskan pertaruhan itu.
Sumber
- Laporan Ancaman Keselamatan SaaS 2025 Obsidian Security -- Lonjakan 300% -- DISAHKAN-LUARAN
- BusinessWire: Siaran Akhbar Obsidian Security -- Lonjakan 300% Setahun -- DISAHKAN-LUARAN
- Artikel 28 GDPR: Pemproses -- DISAHKAN
- Artikel 82 GDPR: Hak pampasan -- DISAHKAN