『どこまでやればいいのよ…🥲』SaaS時代のセキュリティで悩んだので、自分なりに整理してみた - uepon日々の備忘録

最近、情報漏洩のニュースをよく目にするようになりました。 目立つのは、自社の事故ではなく、業務委託先や、契約しているクラウドサービス側で起きた事故が、自社にも影響してくるというパターンにみえます。毎月のように、どこかで何かが起きているような印象…💧 これって、世の中の事故が急に増えたというよりは、法改正や開示義務の強化で、これまで水面下にあったものが表面化してきた側面が大きいのかも。 ただ、これをセキュリティ担当の立場で捉えると大きな頭痛の種になります。 自社で直接起きた事故じゃない領域に対して、どこまで、何をすればいいんだろう？ 自分は最近セキュリティ関連のこともやることになっちまった😣ので、こういった課題にずっとモヤモヤしていました。特に「業務委託」とは性質の違う「SaaSのような外部サービスの法人利用」になると、どうすればいいのか頭の中の整理がうまくつきません。 今回は、開発とい

[isrc]

管理できない前提で、自社をどう設計するか／認証を一箇所にまとめる／自社のデータがどこにあるかを把握する／漏れる前提で、検知と対応を整える守るべき境界は、ネットワークから「誰がアクセスするか」に移った