全方位解讀SaaS的8個(gè)安全問(wèn)題

現(xiàn)在有很多企業(yè)都在使用SaaS軟件，SaaS軟件服務(wù)商也越來(lái)越多。我們?cè)谑褂密浖臅r(shí)候一是關(guān)注軟件本身能給我們帶來(lái)的功能性，二就是關(guān)注軟件的安全性。

什么樣的SaaS軟件才是安全的?SaaS的安全問(wèn)題包括哪些方面?今天1m筑造就來(lái)給我們?cè)敿?xì)的說(shuō)說(shuō)。

1、數(shù)據(jù)安全。在SaaS模式，企業(yè)數(shù)據(jù)存儲(chǔ)在SaaS供應(yīng)商的數(shù)據(jù)中心。因此，SaaS企業(yè)應(yīng)采取措施保障數(shù)據(jù)安全，防止由于應(yīng)用程序漏洞或者惡意特權(quán)用戶泄漏敏感信息。SaaS的解決方案應(yīng)該使用強(qiáng)大的密碼保護(hù)，以確保在數(shù)據(jù)訪問(wèn)上的控制。所有數(shù)據(jù)，包括有管理權(quán)限的訪問(wèn)，都應(yīng)該被記錄下來(lái)，并定期審計(jì)。這些檢查是至關(guān)重要的。

2、數(shù)據(jù)分離。在一個(gè)多租戶SaaS的部署中，多個(gè)企業(yè)的數(shù)據(jù)可能會(huì)保存在相同的數(shù)據(jù)存儲(chǔ)位置。因此要保證其中一個(gè)用戶在進(jìn)行數(shù)據(jù)訪問(wèn)時(shí)不能訪問(wèn)到其他用戶。泄漏敏感的業(yè)務(wù)計(jì)劃可能暴露競(jìng)爭(zhēng)對(duì)手的弱點(diǎn)，因?yàn)檫@類(lèi)數(shù)據(jù)可能會(huì)導(dǎo)致嚴(yán)重的經(jīng)濟(jì)損失。SaaS的應(yīng)用體系結(jié)構(gòu)和數(shù)據(jù)模型的設(shè)計(jì)應(yīng)確保正確的數(shù)據(jù)隔離。如果SaaS的應(yīng)用程序部署在一個(gè)公開(kāi)的云供應(yīng)商那里，則應(yīng)加強(qiáng)防范措施，以便通過(guò)一個(gè)應(yīng)用程序的數(shù)據(jù)不能訪問(wèn)到其他應(yīng)用程序。一個(gè)第三方SaaS的安全評(píng)估是至關(guān)重要的，隔離并查明這些數(shù)據(jù)的安全問(wèn)題和解決這些問(wèn)題之后，SaaS才可以更好地被應(yīng)用。

3、SaaS應(yīng)用程序的安全部署。用戶在選擇SaaS供應(yīng)商的解決方案后可以部署使用公共云供應(yīng)商或SaaS供應(yīng)商的私有云。然而，這些部署應(yīng)首先確保其安全性，采用托管SaaS的部署要求賣(mài)方提供相關(guān)服務(wù)(防火墻，入侵檢測(cè)系統(tǒng)等)來(lái)強(qiáng)化其安全性。第三方的SaaS應(yīng)用程序部署的安全審計(jì)也十分必要，這樣可以更好地識(shí)別任何安全問(wèn)題或威脅，以確保您的企業(yè)數(shù)據(jù)的安全。

4、網(wǎng)絡(luò)安全。在SaaS的部署模式中，企業(yè)和SaaS提供商之間的數(shù)據(jù)流在傳輸過(guò)程中必須得到保護(hù)，以防止敏感信息外泄。SaaS的供應(yīng)商應(yīng)使用諸如SSL確保數(shù)據(jù)在互聯(lián)網(wǎng)上流動(dòng)的安全性，或者在SaaS的部署網(wǎng)絡(luò)中采取加密技術(shù)。其他保障措施還包括MITM攻擊對(duì)網(wǎng)絡(luò)安全造成的問(wèn)題，IP欺騙，端口掃描，數(shù)據(jù)包嗅探等。

5、法規(guī)遵從風(fēng)險(xiǎn)和法規(guī)遵從。在SaaS應(yīng)用程序的審計(jì)中至關(guān)重要，通過(guò)對(duì)是否符合監(jiān)管標(biāo)準(zhǔn)的評(píng)估，有助于確定是否合規(guī)問(wèn)題，并確保正確的業(yè)務(wù)流程到位。

6、可用性。SaaS的應(yīng)用程序需要支持高可用性，以確保其能夠24*7地為企業(yè)服務(wù)。這涉及到架構(gòu)設(shè)計(jì)和基礎(chǔ)設(shè)施的應(yīng)用，以使他們能夠適應(yīng)硬件/軟件故障以及拒絕服務(wù)攻擊。此外，適當(dāng)?shù)臉I(yè)務(wù)連續(xù)性和災(zāi)后恢復(fù)計(jì)劃也需要制訂，以確保停機(jī)時(shí)間最短。

7、備份。SaaS企業(yè)應(yīng)確保服務(wù)水平協(xié)議涵蓋安全的備份和恢復(fù)服務(wù)，在SaaS應(yīng)用的備份需經(jīng)過(guò)驗(yàn)證，基礎(chǔ)設(shè)施和云級(jí)恢復(fù)服務(wù)的需要，以促進(jìn)災(zāi)后恢復(fù)和減輕對(duì)敏感數(shù)據(jù)的丟失，由于失敗的風(fēng)險(xiǎn)。備份的數(shù)據(jù)應(yīng)該得到嚴(yán)格保護(hù)，如業(yè)務(wù)數(shù)據(jù)等就需要使用強(qiáng)大的加密機(jī)制。這些檢查也是非常必要的，它可以減少未經(jīng)授權(quán)的訪問(wèn)和敏感數(shù)據(jù)泄漏的風(fēng)險(xiǎn)。

8、身份管理和登錄。安全身份管理(IDM)和簽署組件可以為用戶提供服務(wù)的帳戶處理、密碼管理和安全認(rèn)證。并且可以根據(jù)安全方面的挑戰(zhàn)不同對(duì)身份管理也進(jìn)行區(qū)別對(duì)待。一個(gè)SaaS供應(yīng)商可以提供完整的IDM和登錄服務(wù)。在這種情況下，用戶的信息、密碼等，都保留在SaaS供應(yīng)商的網(wǎng)站，因此應(yīng)該安全地存儲(chǔ)和處理。SaaS供應(yīng)商應(yīng)該能夠保障密碼的安全性和企業(yè)密碼過(guò)期政策，并遵守監(jiān)管要求。