Ang Vendor ang Bagong Attack Surface
Na-update para sa 2026
Sa loob ng isang dekada, ang mga security team ay nakatuon sa iisang layunin: pigilan ang mga umaatake na makapasok sa network. I-secure ang perimeter. I-lock down ang mga endpoint. Kontrolin kung sino ang makakapag-log in. Inakala ng lumang modelo na darating ang mga umaatake nang direkta sa inyong organisasyon.
Ipinapakita ng mga numero ng 2024 na sira na ang modelong iyon. Tumaas ng 300% ang mga SaaS breach noong 2024, ayon sa Obsidian Security 2025 SaaS Security Threat Report. Hindi na direkta sa mga organisasyon ang pinupuntahan ng mga umaatake. Pinupuntahan na nila ang mga SaaS tool na pinagkakatiwalaan ng mga organisasyong iyon sa kanilang mga rekord.
Kapag ang inyong cloud tool ang target ng atake, hindi makakatulong ang matibay na internal network. Ang mga rekord ng customer, dokumento ng empleyado, at sensitibong nilalaman ay nakaimbak sa mga server ng tool. Naka-lock ang mga ito gamit ang mga susi ng tool. Nalantad ang mga ito kapag natamaan ang tool.
Mga Numero ng SaaS Breach sa 2024
Ipinakita ng mga kabuuang bilang ng breach sa 2024 ang sukat ng panganib.
Nagtamo ang Conduent ng breach na naglantad ng 25.9 milyong rekord. Nagpapatakbo ang Conduent ng trabahong pang-proseso ng negosyo para sa mga ahensya ng pamahalaan at malalaking kumpanya. Nangangasiwa ito ng mga benepisyo, bayad, at serbisyo sa mamamayan. Ang 25.9 milyong taong apektado ay hindi alam na may ikatlong partido na nagtatago ng kanilang impormasyon.
Nakaranas ang NHS Digital ng breach na umabot sa 9 milyong pasyente. Nalantad ang mga rekord ng pasyente sa pamamagitan ng mga server ng isang cloud tool. Ibinigay ng mga pasyente ang impormasyong iyon sa kanilang mga tagapagbigay ng kalusugan. Wala silang dahilan para malaman na umabot ito sa isang ikatlong-partidong platform.
Hindi ito mga bihirang pangyayari. Ito na ang bagong pamantayan. Ang malalaking breach ay umabot na ngayon sa milyun-milyong tao na pinagkatiwalaan ang isang organisasyon ngunit ang kanilang personal na impormasyon ay hawak ng isa pang hindi nila alam na umiiral. Para sa kung paano nagtatakda ng sisi ang batas sa mga kasong ito, tingnan ang aming pangkalahatang-ideya ng pagsunod sa GDPR.
Bakit Naiiba ang Paraan ng Pagtatrabaho ng mga SaaS Breach
Ang klasikong network breach ay nangangailangan ng maraming hakbang. Kailangang lampasan ng mga umaatake ang perimeter. Kailangang gumalaw sila sa buong sistema. Kailangang kunin nila ang mga dokumento. Bawat hakbang ay pagkakataon para mahuli.
Naiibang gumagana ang mga SaaS breach. Kapag tinamaan ng mga umaatake ang isang cloud platform, naaabot nila ang mga rekord ng bawat kliyenteng nagpadala ng nilalaman sa pamamagitan ng platform na iyon. Isang breach ang nagbibigay ng mga dokumento mula sa dose-dosenang o daan-daang kliyente nang sabay-sabay.
Ipinakita ng 9-minutong breach window -- oras mula sa unang access hanggang sa pagnanakaw ng rekord sa mga SaaS system, ayon sa mga rekord ng insidente ng Obsidian Security -- kung gaano kabilis ito gumagana. Sa loob ng isang shared platform, nakakakita ang mga umaatake ng nilalaman mula sa maraming kliyente nang sabay-sabay. Ang konsentrasyon ng halaga ay nagpapahusay ng kahusayan ng bawat atake.
Hindi naisasara ng mga kontrata ang agwat na ito. Nagtatakda ang GDPR Article 82 ng pinagsamang sisi sa mga processor para sa mga breach na kanilang naidulot. Ngunit ang pagpapatunay ng kasalanan ay tumatagal ng maraming buwan. Sa panahon na iyon, nawala na ang mga rekord. Tingnan ang aming pahina ng seguridad at pagsunod para sa kung paano binabago ng mga zero-knowledge tool ang resultang ito.
Hindi Pinoprotektahan ng DPA ang Inyong mga Rekord
Sinasabi ng GDPR Article 28 na ang mga organisasyon ay dapat gumamit lamang ng mga processor na nagbibigay ng "sapat na mga garantiya." Ang Data Processing Agreement ay ang nakasulat na patunay ng mga garantiyang iyon.
Tulad ng HIPAA Business Associate Agreement, sinasaklaw ng DPA ang legal na aspeto. Hindi nito sinasaklaw ang nangyayari sa inyong mga dokumento sa mga server ng provider.
Ang isang cloud tool na may ganap na GDPR-compliant na DPA ay maaari pa ring:
- Mag-imbak ng mga rekord ng customer gamit ang server-side encryption na may mga susi na hawak ng provider
- Patakbuhin ang impormasyon ng empleyado sa pamamagitan ng shared system na ginagamit ng maraming ibang kliyente
- Magtago ng mga log at cached na nilalaman nang lampas sa mga napagkasunduang paggamit
- Makaranas ng breach na naglalantad ng lahat ng nabanggit sa itaas
Itinatakda ng DPA ang mga legal na tungkulin. Hindi ito lumilikha ng teknikal na hadlang laban sa paglantad. Kapag nilabag ng mga umaatake ang platform sa loob ng 9 minuto, hindi pinipigilan ng DPA ang mga ito.
Para sa tulong sa simpleng wika tungkol sa mga tungkulin ng Article 28, tingnan ang GDPR glossary.
Bakit Istruktura ang 300% na Pagtaas
Nasasalamin sa 300% na pagtaas ang dalawang puwersang nagtatrabaho nang sabay-sabay.
Una, mabilis na lumago noong 2024 ang dami ng sensitibong impormasyon sa mga SaaS platform. Mas maraming organisasyon ang naglipat ng mas maraming trabaho sa mga cloud tool. Mas maraming dokumento ang napunta sa mga server ng ikatlong partido. Mas maraming nilalaman ay nangangahulugang mas maraming dahilan para atakihin ang mga server na iyon.
Ikalawa, nag-ayon ang mga umaatake. Nagpapadala na ngayon ang mga organisasyon ng mga rekord ng customer, mga log sa pananalapi, impormasyon ng HR, legal na nilalaman, at mga rekord ng kalusugan sa pamamagitan ng mga SaaS tool. Ang pag-atake sa isang platform ay nagbubunga ng mga rekord mula sa maraming kliyente. Ginagantimpalaan ng matematika ang pag-atake sa mga platform kaysa sa mga indibidwal na organisasyon.
Ang 300% na numero ay hindi isang pagtaas ng krimen. Nagtatanda ito ng istrukturang pagbabago sa kung saan nangyayari ang mga atake.
Zero-Knowledge Anonymization bilang Solusyon
Nagsisimula ang solusyon sa isang pagbabago sa pag-iisip. Kung ang anumang platform ay maaaring matamaan -- at pinapatunayan ng rekord ng 2024 na maaari -- kung gayon walang platform ang dapat tumanggap ng personal na impormasyon ng inyong mga customer sa isang nababasang anyo.
Ang zero-knowledge anonymization bago mag-upload ay ganap na nagbabago ng panganib ng breach. Kapag natamaan ang isang platform na humahawak ng zero-knowledge-processed na nilalaman:
- Naabot ng mga umaatake ang mga anonymized na rekord na walang nababasang mga identifier ng customer
- Hindi na kailangan ng abiso sa paksa dahil walang personal na impormasyong nalantad
- Hindi na kailangan ang kaso ng pinagsamang pananagutan ng GDPR Article 82
- Walang regulatory na follow-up na nagmumula sa breach
Tinatamaan ng atake ang platform. Hindi naaabot ang inyong mga customer. Ang kanilang personal na impormasyon ay hindi kailanman dumating sa mga server ng platform sa isang nababasang anyo.
Hindi ito teorya. Ito ay simpleng katotohanan: walang mga rekord na mananakaw dahil wala ni isang napadala sa nababasang anyo. Sinasaklaw ng FAQ ang mga karaniwang tanong tungkol sa zero-knowledge anonymization. Ipinapakita ng aming pahina ng pagpepresyo kung magkano ang gastos ng proteksyong ito sa sukat.
Binabago ng 300% na pagtaas ang matematika ng panganib. Ang pagsusuri ng postura ng seguridad ng isang supplier at mga tuntunin ng kontrata ay nangangahulugang pagtaya na ang inyong supplier ay hindi magiging susunod na headline. Inaalis ng zero-knowledge anonymization ang taya na iyon.
Mga Pinagkukunan
- Obsidian Security 2025 SaaS Security Threat Report -- 300% Surge -- VERIFIED-EXTERNAL
- BusinessWire: Obsidian Security Press Release -- 300% YoY Surge -- VERIFIED-EXTERNAL
- GDPR Article 28: Processor -- VERIFIED
- GDPR Article 82: Right to compensation -- VERIFIED