SaaS模式下,企業用戶無需維護系統,只需登錄就可以享受系統功能帶來的便利。但是SaaS服務和數據部署在雲端而不是本地機房,可能存在不可控問題。
企業用戶最關注的是自己的數據能不能得到有效的保護。
本文整理了10個必問的SaaS安全問題,包括基礎安全,應用安全,安全合規、數據安全、安全責任划分等方面,可以快速了解SaaS廠商的安全能力。
1、SaaS軟件的部署方式?
A、是否支持私有化(本地)部署?
本地化的安全系數相較於SaaS會更高,如果是企業核心數據的系統,安全性要求較高,不希望這些核心數據由第三方來負責,可以選擇SaaS私有化部署。
B、SaaS平台部署在私有雲,還是公有雲?
選擇SaaS平台,需考慮托管平台的基礎保障能力和安全防護能力甚至包括雲平台服務商的安全資質。
公有雲平台與普通的IDC機房相比,具有高可用性、安全性和彈性的優勢。
建議優選AWS、阿里雲、騰訊雲和華為雲等主流雲平台。
2、SaaS平台有哪些資質?
第三方資質認證作為一個參考指標,應包含雲平台服務商和雲租戶SaaS廠商,雲平台的安全能力並不等同於SaaS應用的安全能力,平台提供的是基礎能力,系統自身需具備保障安全的能力。
比如:ISO27001體系認證、等級保護認證、GDPR認證等。
通過了ISO27001的認證,表示企業的信息安全管理已建立了一套科學有效的管理體系作為保障。
通過了等級保護備案測評,意味着系統已具備相應等級的基本安全保護能力。
3、SaaS平台現有的安全防護措施有哪些?
SaaS平台應具備一定的安全防護能力,需配備相應的安全產品/服務。
比如運維審計(堡壘機)、應用防護(WAF)、訪問控制(防火牆)、入侵防御(HIDS/EDR)。
4、SaaS平台是否會定期的進行滲透測試?
定期滲透測試,並出具相關安全廠商/服務商的安全檢測報告。
比如:專業的安全公司的滲透檢測報告或可靠的眾測服務平台的安全眾測報告。
5、數據在存儲和傳輸時是如何加密的,以及數據變現和數據銷毀問題?
傳輸加密:SSL加密 數據類型:數據庫、文件附件 相關方式,如:數據加解密/文件加密解密服務、圖片轉成二進制流加密存儲、OSS服務端加密、RDS透明數據加密TDE、雲盤加密、DLP、硬件加密機等 確認數據變現和數據銷毀問題? 雖然SaaS用戶的數據存放在SaaS廠商的數據中心,但數據的所有權是歸用戶所有。SaaS廠商未經用戶同意,不得對使用數據,更不得售賣數據。SaaS廠商有責任確保用戶的數據安全,並對數據泄露、數據丟失造成的用戶損失要進行經濟賠償。 需要確認的兩點:不針對客戶數據變現、將沒有必要保存的歷史數據進行銷毀。
6、SaaS多租戶數據如何隔離?
SaaS基於多租戶架構,多個租戶共用一套實例,可能存在數據安全性問題;
SaaS多租戶在數據存儲上存在三種主要的方案,分別是:獨立數據庫、共享數據庫(邏輯數據隔離、共享數據)。
7、SaaS平台如何實現系統容災和高可用性?
高可用技術架構、數據備份策略、容災切換方案。
8.SaaS應用可能涉及的安全合規問題?
重點關注,個人隱私保護、GDPR,以及爬蟲、AI等技術的應用,可能帶來一定的風險。
9.SaaS平台在身份驗證、權限管理、日志審計方面分別是怎么做的?
身份驗證機制,是否支持雙因子認證,密碼復雜度/登錄失敗處理/驗證碼/強制修改初始密碼。
權限管理,基於角色的用戶權限系統,對用戶和角色進行授權。
日志審計,日志是否可以預警,敏感的業務操作日志,管理員無法刪除/修改日志。
10、一旦出現數據泄露事件,責任如何划分?
目前,安全責任共擔模式在業界已經達成共識,亞馬遜AWS、微軟Azure、阿里雲、騰訊雲均采用了與用戶共擔風險的安全策略。 用簡單例子來看責任的划分: A、應用系統的漏洞(應用安全)帶來的安全事件 - 租戶使用了SAAS服務,責任方在騰訊雲平台(SAAS業務由平台方提供,由平台方負責管理) B、用戶弱密碼,身份被盜用(數據安全),造成安全事件: - 不管用戶使用的是IASS,PAAS還是SAAS服務,用戶身份和數據安全都由租戶方管理負責