SaaS應(yīng)用選型，必須考慮的10個(gè)安全問題

SaaS模式下，企業(yè)用戶無需維護(hù)系統(tǒng)，只需登錄就可以享受系統(tǒng)功能帶來的便利。但是SaaS服務(wù)和數(shù)據(jù)部署在云端而不是本地機(jī)房，可能存在不可控問題。

企業(yè)用戶最關(guān)注的是自己的數(shù)據(jù)能不能得到有效的保護(hù)。

本文整理了10個(gè)必問的SaaS安全問題，包括基礎(chǔ)安全，應(yīng)用安全，安全合規(guī)、數(shù)據(jù)安全、安全責(zé)任劃分等方面，可以快速了解SaaS廠商的安全能力。

1、SaaS軟件的部署方式？

A、是否支持私有化(本地)部署？

本地化的安全系數(shù)相較于SaaS會更高，如果是企業(yè)核心數(shù)據(jù)的系統(tǒng)，安全性要求較高，不希望這些核心數(shù)據(jù)由第三方來負(fù)責(zé)，可以選擇SaaS私有化部署。

B、SaaS平臺部署在私有云，還是公有云？

選擇SaaS平臺，需考慮托管平臺的基礎(chǔ)保障能力和安全防護(hù)能力甚至包括云平臺服務(wù)商的安全資質(zhì)。

公有云平臺與普通的IDC機(jī)房相比，具有高可用性、安全性和彈性的優(yōu)勢。

建議優(yōu)選AWS、阿里云、騰訊云和華為云等主流云平臺。

2、SaaS平臺有哪些資質(zhì)?

第三方資質(zhì)認(rèn)證作為一個(gè)參考指標(biāo)，應(yīng)包含云平臺服務(wù)商和云租戶SaaS廠商，云平臺的安全能力并不等同于SaaS應(yīng)用的安全能力，平臺提供的是基礎(chǔ)能力，系統(tǒng)自身需具備保障安全的能力。

比如：ISO27001體系認(rèn)證、等級保護(hù)認(rèn)證、GDPR認(rèn)證等。

通過了ISO27001的認(rèn)證，表示企業(yè)的信息安全管理已建立了一套科學(xué)有效的管理體系作為保障。

通過了等級保護(hù)備案測評，意味著系統(tǒng)已具備相應(yīng)等級的基本安全保護(hù)能力。

3、SaaS平臺現(xiàn)有的安全防護(hù)措施有哪些？

SaaS平臺應(yīng)具備一定的安全防護(hù)能力，需配備相應(yīng)的安全產(chǎn)品/服務(wù)。

比如運(yùn)維審計(jì)（堡壘機(jī)）、應(yīng)用防護(hù)（WAF）、訪問控制（防火墻）、入侵防御（HIDS/EDR）。

4、SaaS平臺是否會定期的進(jìn)行滲透測試？

定期滲透測試，并出具相關(guān)安全廠商/服務(wù)商的安全檢測報(bào)告。

比如：專業(yè)的安全公司的滲透檢測報(bào)告或可靠的眾測服務(wù)平臺的安全眾測報(bào)告。

5、數(shù)據(jù)在存儲和傳輸時(shí)是如何加密的，以及數(shù)據(jù)變現(xiàn)和數(shù)據(jù)銷毀問題?

傳輸加密：SSL加密

數(shù)據(jù)類型：數(shù)據(jù)庫、文件附件

相關(guān)方式，如：數(shù)據(jù)加解密/文件加密解密服務(wù)、圖片轉(zhuǎn)成二進(jìn)制流加密存儲、OSS服務(wù)端加密、RDS透明數(shù)據(jù)加密TDE、云盤加密、DLP、硬件加密機(jī)等

確認(rèn)數(shù)據(jù)變現(xiàn)和數(shù)據(jù)銷毀問題？

雖然SaaS用戶的數(shù)據(jù)存放在SaaS廠商的數(shù)據(jù)中心，但數(shù)據(jù)的所有權(quán)是歸用戶所有。SaaS廠商未經(jīng)用戶同意，不得對使用數(shù)據(jù)，更不得售賣數(shù)據(jù)。SaaS廠商有責(zé)任確保用戶的數(shù)據(jù)安全，并對數(shù)據(jù)泄露、數(shù)據(jù)丟失造成的用戶損失要進(jìn)行經(jīng)濟(jì)賠償。

需要確認(rèn)的兩點(diǎn)：不針對客戶數(shù)據(jù)變現(xiàn)、將沒有必要保存的歷史數(shù)據(jù)進(jìn)行銷毀。

6、SaaS多租戶數(shù)據(jù)如何隔離？

SaaS基于多租戶架構(gòu)，多個(gè)租戶共用一套實(shí)例，可能存在數(shù)據(jù)安全性問題；

SaaS多租戶在數(shù)據(jù)存儲上存在三種主要的方案，分別是：獨(dú)立數(shù)據(jù)庫、共享數(shù)據(jù)庫（邏輯數(shù)據(jù)隔離、共享數(shù)據(jù)）。

7、SaaS平臺如何實(shí)現(xiàn)系統(tǒng)容災(zāi)和高可用性？

高可用技術(shù)架構(gòu)、數(shù)據(jù)備份策略、容災(zāi)切換方案。

8.SaaS應(yīng)用可能涉及的安全合規(guī)問題？

重點(diǎn)關(guān)注，個(gè)人隱私保護(hù)、GDPR，以及爬蟲、AI等技術(shù)的應(yīng)用，可能帶來一定的風(fēng)險(xiǎn)。

9.SaaS平臺在身份驗(yàn)證、權(quán)限管理、日志審計(jì)方面分別是怎么做的？

身份驗(yàn)證機(jī)制，是否支持雙因子認(rèn)證，密碼復(fù)雜度/登錄失敗處理/驗(yàn)證碼/強(qiáng)制修改初始密碼。

權(quán)限管理，基于角色的用戶權(quán)限系統(tǒng)，對用戶和角色進(jìn)行授權(quán)。

日志審計(jì)，日志是否可以預(yù)警，敏感的業(yè)務(wù)操作日志，管理員無法刪除/修改日志。

10、一旦出現(xiàn)數(shù)據(jù)泄露事件，責(zé)任如何劃分？

目前，安全責(zé)任共擔(dān)模式在業(yè)界已經(jīng)達(dá)成共識，亞馬遜AWS、微軟Azure、阿里云、騰訊云均采用了與用戶共擔(dān)風(fēng)險(xiǎn)的安全策略。

用簡單例子來看責(zé)任的劃分：

    A、應(yīng)用系統(tǒng)的漏洞（應(yīng)用安全）帶來的安全事件

    - 租戶使用了SAAS服務(wù)，責(zé)任方在騰訊云平臺（SAAS業(yè)務(wù)由平臺方提供，由平臺方負(fù)責(zé)管理）

    B、用戶弱密碼，身份被盜用（數(shù)據(jù)安全），造成安全事件：

    - 不管用戶使用的是IASS,PAAS還是SAAS服務(wù)，用戶身份和數(shù)據(jù)安全都由租戶方管理負(fù)責(zé)