CASB vs DLP vs SSPM: co chroni co?

czym jest każde z nich, mówiąc wprost

Przed porównaniem warto zdefiniować każde z nich osobno, bez odwoływania się do pozostałych.

CASB: punkt kontrolny między użytkownikami a aplikacjami chmurowymi

CASB, czyli Cloud Access Security Broker, siedzi między twoimi użytkownikami a usługami chmurowymi, do których sięgają. Istnieje po to, żeby dać firmie widoczność i kontrolę nad tym, jak używane są aplikacje chmurowe. W trybie proxy działa inline, a ruch jest przez niego przekierowywany; w trybie API łączy się z zatwierdzonymi aplikacjami i czyta ich logi aktywności. Tak czy inaczej odpowiada na pytania o sposób użycia: które aplikacje są w użyciu, kto ma do nich dostęp, z jakiego urządzenia i lokalizacji, czy logowanie wygląda podejrzanie, i czy dane są przesyłane w górę lub w dół w sposób niezgodny z polityką.

Pierwotnym problemem, który rozwiązywał CASB, było rozróżnienie zatwierdzonego i niezatwierdzonego użycia. Firma chciała wiedzieć, jakie aplikacje chmurowe przyjęli pracownicy, i kontrolować lub blokować te ryzykowne. Ta rola odkrywcza wciąż ma znaczenie, a CASB to jedno z niewielu narzędzi, które widzi niezatwierdzone aplikacje otwierane przez użytkownika w przeglądarce. Jego naturalnym środowiskiem są dane w ruchu i zachowanie użytkownika w czasie rzeczywistym.

DLP: filtr dla wychodzących wrażliwych danych

DLP, Data Loss Prevention, to dyscyplina i zestaw narzędzi wykrywających wrażliwe dane i zatrzymujących je, zanim opuszczą miejsce, w którym powinny zostać. Działa przez sprawdzanie treści względem reguł: wzorców przypominających numery kart płatniczych, numery identyfikacyjne, dane medyczne, dane uwierzytelniające czy kod źródłowy, oraz klasyfikacji przypisanych do konkretnych dokumentów. Gdy transfer pasuje do reguły, DLP go blokuje, poddaje kwarantannie albo oznacza do przeglądu.

DLP to bardziej zdolność niż pojedynczy produkt. Pojawia się na kilku warstwach: na endpointach, w bramkach pocztowych, na ścieżce sieciowej i wewnątrz aplikacji chmurowych. W kontekście SaaS jest często funkcją CASB, a nie osobnym zakupem, co jest jednym z powodów, dla których te kategorie się zlewają. Kluczowe pytanie, na które odpowiada DLP, jest wąskie i konkretne: co jest w tych danych i czy wolno im trafić tam, dokąd zmierzają.

SSPM: inspektor konfiguracji SaaS

SSPM, SaaS Security Posture Management, monitoruje ustawienia bezpieczeństwa i konfigurację twoich aplikacji SaaS. Łączy się z każdą aplikacją przez jej API i czyta konfigurację tak, jak zrobiłby to audytor, tyle że w sposób ciągły, nie raz w roku. Gartner definiuje go jako narzędzie, które w sposób ciągły ocenia ryzyko bezpieczeństwa i zarządza postawą bezpieczeństwa aplikacji SaaS.

To, co sprawdza, znajduje się wewnątrz konsoli administracyjnej każdej aplikacji: czy MFA jest wymuszone i dla jakich ról, jak skonfigurowane jest udostępnianie na zewnątrz, którzy użytkownicy mają prawa administratora, jakim aplikacjom firm trzecich przyznano dostęp OAuth i w jakim scope'ie, oraz gdzie dane są wystawione szerzej, niż powinny. Nie siedzi na ścieżce ruchu sieciowego i nie sprawdza danych w ruchu. Ocenia, jak każda aplikacja jest skonfigurowana wewnętrznie, warstwę, której inspekcja ruchu nigdy nie widzi. Ryzyko integracji OAuth i SaaS-to-SaaS to część, z którą radzi sobie najlepiej, a jednocześnie ta, z którą ręczny przegląd radzi sobie najgorzej: Gartner przewiduje, że do 2027 roku ponad połowa poważnych naruszeń związanych z SaaS wykorzysta nadmiernie uprzywilejowane tokeny OAuth używane przez integracje maszyna-maszyna.

rozwiązują różne problemy i się pokrywają

Najczystszym sposobem, żeby ich nie mylić, jest przypisanie każdego z nich do warstwy i pytania.

• CASB działa na warstwie ruchu i dostępu. Jego pytanie brzmi: czy ten użytkownik powinien teraz korzystać z tej aplikacji w taki sposób, i czy w rezultacie dane przemieszczają się niewłaściwie.
• DLP działa na warstwie treści. Jego pytanie brzmi: czy w tym transferze są wrażliwe informacje, i czy wolno im wyjść.
• SSPM działa na warstwie konfiguracji. Jego pytanie brzmi: czy ta aplikacja jest skonfigurowana bezpiecznie, i czy coś w niej dryfowało.

To pokrywanie się jest realne i warto je nazwać, bo stąd bierze się zamieszanie. Cała trójka dotyka ekspozycji danych, z różnych kątów. Wyobraź sobie plik udostępniony każdemu, kto ma link, zawierający dane klientów. CASB może zobaczyć, że plik jest otwierany lub pobierany z zewnątrz. DLP może zobaczyć, że plik zawiera dane osobowe, i zadziałać na tej podstawie. SSPM może zobaczyć regułę udostępniania, która otworzyła plik na samym początku, zanim ktokolwiek go dotknął. Ten sam incydent, trzy różne punkty widzenia, i żadne pojedyncze narzędzie nie widzi wszystkich trzech naraz.

DLP i CASB pokrywają się tak mocno, że DLP jest często dostarczane jako funkcja CASB, a nie osobny zakup. SSPM pokrywa się z obydwoma wokół kwestii ekspozycji danych, ale mocno się od nich różni gdzie indziej: to jedyne z trzech narzędzi, które czyta wewnętrzną konfigurację aplikacji i inwentaryzuje jej granty OAuth, i jedyne, które działa w całości przez API, a nie siedzi na ścieżce ruchu. Uczciwe ujęcie jest takie, że są komplementarne, nie konkurencyjne. Żadne nie zastępuje pozostałych, a posiadanie jednego nie zamyka luk, do których adresowania istnieją pozostałe dwa.

Warto oddzielić całą trójkę od czwartego akronimu, który często dołącza do rozmowy. CSPM, Cloud Security Posture Management, robi tę samą robotę związaną z postawą bezpieczeństwa co SSPM, ale dla infrastruktury chmurowej, takiej jak AWS, Azure i GCP, a nie dla gotowych aplikacji SaaS. Jeśli twoim problemem jest konfiguracja serwerów i storage'u, które prowadzisz, to jest terytorium CSPM, nie żadnego z trzech omawianych tu narzędzi.

tabela porównawcza

• Definicja wprost · CASB: Punkt kontrolny między użytkownikami a aplikacjami chmurowymi · DLP: Filtr zatrzymujący wyciek wrażliwych danych · SSPM: Inspektor konfiguracji aplikacji SaaS
• Kluczowe pytanie · CASB: Czy ta aplikacja jest używana właściwie? · DLP: Czy wrażliwe dane wychodzą tam, gdzie powinny zostać? · SSPM: Czy ta aplikacja jest skonfigurowana bezpiecznie i czy dryfowała?
• Warstwa działania · CASB: Ruch i dostęp · DLP: Treść · SSPM: Konfiguracja
• Stan danych · CASB: W ruchu · DLP: W ruchu i w spoczynku · SSPM: W spoczynku, plus konfiguracja
• Jak się łączy · CASB: Proxy inline lub API · DLP: Inline, na endpoincie, w poczcie lub w aplikacji · SSPM: API do każdej aplikacji
• Wykrywanie niezatwierdzonych aplikacji · CASB: Tak, kluczowa mocna strona · DLP: Nie · SSPM: Częściowo (tylko podłączone integracje)
• Zapobieganie utracie danych · CASB: Tak, często przez wbudowany DLP · DLP: Tak, to jego cała rola · SSPM: Nie
• Widzi wnętrze konfiguracji aplikacji · CASB: Ograniczone · DLP: Nie · SSPM: Tak
• Ryzyko OAuth i integracji · CASB: Ograniczone · DLP: Nie · SSPM: Tak
• Pokrycie MFA i rozrost uprawnień administracyjnych wewnątrz aplikacji · CASB: Ograniczone · DLP: Nie · SSPM: Tak
• Zwykle sprzedawane jako · CASB: Osobno lub jako część SASE · DLP: Funkcja wewnątrz CASB, poczty lub narzędzi endpoint · SSPM: Osobno
• Typowy główny kupujący · CASB: Bezpieczeństwo sieci, CISO · DLP: Lider bezpieczeństwa lub compliance · SSPM: Inżynier bezpieczeństwa, lider bezpieczeństwa IT

Wzorzec w tabeli to użyteczny wniosek. CASB i DLP skupiają się wokół użycia i przemieszczania danych i często są dostarczane razem. SSPM stoi nieco osobno, patrząc do wewnątrz na to, jak zbudowana jest aplikacja, zamiast na zewnątrz, na to, jak jest używana. Wiersz dotyczący ekspozycji danych to jedyne miejsce, w którym cała trójka ma coś do powiedzenia, i dokładnie dlatego bywają mylone.

kiedy firma mid-market potrzebuje którego

Uczciwa odpowiedź dla większości firm mid-market na start jest taka, że pierwszym ruchem nie jest żadne z tej trójki. To nie jest wykręt. Wynika z tego, jak naprawdę rosną stany posiadania SaaS.

Narzędzie z którejkolwiek z tych kategorii zakłada, że już wiesz, co chronisz. CASB chroni użycie aplikacji, które umiesz nazwać, DLP chroni dane, które sklasyfikowałeś, a SSPM ocenia postawę aplikacji już wpisanych na listę. Problemem, jaki większość firm mid-market ma najpierw, jest to, że nie widzą swojego stanu posiadania. Przeciętna firma zarządza dużą i niedoszacowaną liczbą aplikacji SaaS, a szacunki rzeczywistej liczby są zwykle mocno chybione. AppOmni odkryło, że 49% częstych użytkowników Microsoft 365 sądziło, że ma mniej niż 10 podłączonych aplikacji, podczas gdy zagregowana średnia wynosiła ponad 1000. Kiedy punkt wyjścia jest tak bardzo błędny, narzędzie kupione na jego bazie dziedziczy tę martwą strefę.

Sekwencja, która działa dla mid-market, zaczyna się więc przed którymkolwiek z tych akronimów:

1. Zobacz stan posiadania. Wyciągnij listę aplikacji i grantów OAuth z identity providera, zestaw to z danymi finansowymi, danymi z endpointów i krótką ankietą wśród liderów działów, i przygotuj jeden inwentarz oznaczony według źródła. To kosztuje czas, nie pieniądze, i niemal zawsze ujawnia liczbę kilkukrotnie wyższą od zakładanej.
2. Zrób higienę konfiguracji ręcznie i porządnie. Przejdź przez ustawienia swoich najcenniejszych aplikacji względem checklisty: wymuszanie MFA, listy administratorów, domyślne ustawienia udostępniania na zewnątrz i granty OAuth podłączone do twojego katalogu. Użyj darmowych baseline'ów, które platformy już ci dają, takich jak Microsoft Secure Score czy checklista bezpieczeństwa Google Workspace. Większość oczywistej ekspozycji wychodzi na jaw właśnie tu, bez kosztu licencji.

Dopiero po tych dwóch krokach pytanie, którą kategorię kupić, staje się możliwe do odpowiedzenia, bo teraz widzisz, który problem jest u ciebie faktycznie największy.

Potem kategorie sortują się według problemu, który masz przed sobą:

• Sięgnij po SSPM, gdy największym problemem jest konfiguracja. Jeśli prowadzisz wiele zatwierdzonych aplikacji przechowujących wrażliwe dane, sieć OAuth i integracji urosła ponad to, co jedna osoba może śledzić ręcznie, i potrzebujesz ciągłego dowodu, że ustawienia nie dryfują, SSPM jest najbardziej bezpośrednim dopasowaniem. To też najbardziej bezpośrednia droga do dowodów kontroli dostępu pod SOC 2, ISO 27001, DORA i NIS2.
• Sięgnij po CASB, gdy największym problemem jest użycie i przemieszczanie danych. Jeśli twoim zmartwieniem jest to, do jakich aplikacji chmurowych pracownicy mają dostęp na firmowych urządzeniach, kontrola w czasie rzeczywistym nad użytkownikami wysokiego ryzyka, takimi jak kontraktorzy, i widoczność niezatwierdzonych aplikacji otwieranych w przeglądarce, CASB to właściwa warstwa.
• Traktuj DLP jako część tej decyzji, a nie osobną decyzję, w większości przypadków. Jeśli problemem jest konkretnie wyciek wrażliwych danych przez kanały chmurowe, DLP to zdolność, której potrzebujesz, i zwykle zdobędziesz ją jako funkcję CASB, a nie jako osobne narzędzie. Samodzielny DLP zwykle pasuje do firm z określonym programem klasyfikacji i regulowanymi typami danych, które uzasadniają dedykowaną inspekcję treści.

Kilka zastrzeżeń pasuje do każdej z tych decyzji. Narzędzie produkuje ustalenia, nie naprawy; bez właściciela, który je triażuje i naprawia, każde z trzech staje się kolejnym dashboardem generującym alerty, na które nikt nie reaguje. SSPM skłania się ku statycznym sprawdzeniom konfiguracji, a nie monitoringowi behawioralnemu, więc mówi ci, że ustawienie jest złe, ale nie zawsze, że ktoś to nadużywa. CASB i DLP mogą być trudne do dostrojenia, a agresywne reguły blokowania tworzą tarcie, które popycha użytkowników z powrotem do narzędzi cienia, które próbowałeś ujawnić. Żadne z nich nie jest jednorazowym zakupem, który zamyka problem; każde to praktyka z bieżącym kosztem.

Źródła

• What Is SaaS Security Posture Management? (Palo Alto Networks) · https://www.paloaltonetworks.com/cyberpedia/what-is-saas-security-posture-management (definicja SSPM i co monitoruje)
• CSPM vs SSE/SASE vs CASB vs SSPM: Who Secures What (AppOmni) · https://appomni.com/blog/cspm-vs-sase-vs-casb-vs-sspm-who-secures-what/ (podział zdolności między kategoriami i rozróżnienie CASB vs SSPM)
• The State of SaaS Security Report 2025 (AppOmni) · https://appomni.com/reports/state-of-saas-security/ (75% wskaźnik incydentów, 41% uprawnienia / 29% błędna konfiguracja; badanie na 803 liderach)
• The State of SaaS Security Report 2024 (AppOmni) · https://appomni.com/reports/state-of-saas-security/ (49% częstych użytkowników M365 sądziło, że ma mniej niż 10 podłączonych aplikacji, wobec średniej ponad 1000)
• What is CASB? (Microsoft Security) · https://www.microsoft.com/en-us/security/business/security-101/what-is-a-cloud-access-security-broker-casb (definicja CASB, tryb proxy vs API, widoczność i kontrola użycia)
• What is Data Loss Prevention (DLP)? (Cloudflare) · https://www.cloudflare.com/learning/access-management/what-is-dlp/ (definicja DLP, inspekcja treści, warstwy działania DLP)
• Gartner Analysis on SaaS Ecosystem Security Risk (via Vorlon) · https://vorlon.io/saas-security-blog/gartner-saas-ecosystem-security-analysis (prognoza Gartnera: do 2027 roku ponad 50% poważnych naruszeń SaaS wykorzysta nadmiernie uprzywilejowane tokeny OAuth w integracjach M2M)
• The Definitive Guide to SaaS Security Posture Management (Nudge Security) · https://www.nudgesecurity.com/post/the-definitive-guide-to-saas-security-posture-management (długi ogon shadow SaaS, ograniczenia ręcznego przeglądu, skala stanu posiadania mid-market)