中小企业应用SaaS的安全风险与对策探究

　   SaaS是Software aa Service(软件即服务)的简称，是一种通过Internet提供软件服务的模式。

　　在这一模式下，SaaS提供商为企业搭建信息化所需要的所有网络基础设施及软件、硬件运作平台，并负责所有前期的实施、后期的维护等一系列服务，企业不需要购置额外的硬件设备、软件许可证，也不需要安装、维护软件系统和招聘IT人员。

　　1.运用SaaS的意义

　　按照现在SaaS的发展，可以认为SaaS是专门为中小公司而准备的一项技术，无论是从运行体制，还是费用收取，都非常适合中小公司。低廉的费用以及灵活的付费方式，减轻了中小企业的资金压力;日益完善的网络环境和技术保证了信息化的有效性和安全性;专业的服务提供商保证了服务的可靠性，同时又节省了中小企业在IT人员上的投入;将不擅长的信息化建设交给专业的软件服务商，降低了管理成本和研发风险，使得企业更加关注自己的核心业务。

　　2.SaaS应用的安全风险

　　SaaS应用的安全风险是指企业在开展SaaS应用过程中，由于人为或自然的威胁利用系统存在的脆弱性而导致机密数据丢失的可能性，或者在物理上、运行机制上以及资金财务上受到损害的可能性。

　　(1)数据安全风险。

　　SaaS应用中用户的数据保存在远端软件服务商的服务器中，用户对数据的直接控制能力有限，而且所有数据都是通过网络传输，然而网络的不成熟和病毒、黑客的恶意攻击使得企业数据面临丢失、泄漏风险。

　　①数据丢失的风险。由于SaaS软件在服务商和使用方物理上的隔离，软件和数据保存在SaaS服务商，存在企业用户对数据失去控制的可能，用于存放数据的服务器，由于各种原因而造成信息数据丢失给企业带来的风险。

　　②数据泄漏的风险。企业商业秘密或所有权信息泄漏给竞争对手或其他人，而给企业带来利益上的损失和影响的风险。

　　(2)网络安全风险。

　　由于网络线缆中断以及网络连接中窃听、病毒等因素造成服务中断或信息泄露而给企业带来损失的风险。

　　①网络的不稳定性风险。不同于传统软件运行在局域网或单机上，SaaS是实时应用在互联网上，其应用的在线化使得其对网络产生了严重依赖，离开了网络，企业就不能正常获得服务，严重影响企业的运营管理。

　　②信息传输风险。SaaS应用中所有与数据库的交互数据都是通过网络传输，而从技术上说，任何传输线路都是可能被窃听的，因此当数据通过网络在服务端与客户端之间通讯时，都有可能被截获、读取、篡改、删除而给企业带来损失。

　　③病毒入侵风险。由于SaaS使用的是公用通信线路，一些人可能出于各种目的，损坏网络设备，在网络上对系统进行黑客程序的测试运行等人侵活动，对系统造成较大破坏。

　　(3)系统安全风险。

　　由于目前的操作系统和浏览器漏洞较多，容易被病毒、木马感染攻击而使整个系统陷于瘫痪，使得系统的安全、稳定、持续的服务得不到保证，给企业带来不确定的风险。

　　(4)应用安全风险。

　　应用安全风险是指由于系统的使用受限或非法使用而给企业带来损失的风险，包括拒绝服务和非法使用。拒绝服务是指在一定时间内，网络系统或服务器服务系统的作用完全失效。非法使用是指黑客利用病毒或系统漏洞，获取用户口令而获取权限对系统进行非法使用。

　　(5)管理安全风险。

　　指由于系统管理、使用人员缺乏网络信息安全知识或不遵守相关的信息安全规则，造成数据损失、泄露以及系统软硬件损坏而带来的风险。

　　①人员管理风险。近年来我国计算机犯罪大都呈现内部犯罪的趋势，其原因主要是因工作人员职业道德修养不高，安全教育和管理松懈所致。

　　②服务商信誉风险。服务商不严格履行合同要求提供服务而给使用方利益受损的风险，例如实力与宣传不符，泄漏或出售用户数据以及升级要价等。

　　3.SaaS应用的安全风险对策

　　一个安全的SaaS应用具备五个层面的安全性，分别是物理安全、网络安全、系统安全、应用安全和管理安全。针对上文中提到的安全风险问题，提出一系列对策和建议，构成一个完整的解决方案。

　　(1)物理安全控制策略。

　　①建立硬件环境防范体系。服务商的系统硬件和运行环境是SaaS应用运行的最基本要素，要保证存放SaaS服务器、通信设备等场地的安全，确保计算机的正常运行。

　　②建立多层级备份机制。数据备份是为了防止系统操作错误或系统故障而导致数据丢失的防护手段，可以确保在出现重大问题时，用户数据能够迅速恢复且不被第三方截获，保证运营服务系统的安全。

　　(2)网络安全控制策略。

　　①肩用防火墙。作为不同网络或网络安全域之间信息的出入口，防火墙能根据网络系统的安全策略控制出入网络的信息流，且本身具有较强的抗攻击能力，有效地保证了内部网络的安全。

　　②启用入侵检测系统。这是防火墙之后的第二道安全闸门，能够有效地防止黑客攻击，在计算机网络上实时监控网络传输，分析来自网络外部和内部的入侵信号。在系统受到危害前发出警告，实时对攻击做出反应，并提供补救措施。

　　③实施网络监控。需要利用网络监控系统对网络设备的运行状况进行7×24小时实时监控，使得网络在出现故障的第一时间得到报警。

　　④数据传输控制。SaaS应用完全基于互联网，如果采用安全超文本协议HTTPS(Hypertext Transfer Protocol over Secure Socket Layer)。

　　⑤联手网络通信商。通信运营商在网络方面有排他性优势，可以提供软件服务、服务器托管、网络接入的一条龙服务，从而实现端到端的SEA(Service Level Agreement)保障，打消客户在网络稳定性方面的顾虑。

　　(3)系统安全控制策略。

　　①系统加固。服务器的安全是SaaS厂商实力在用户眼中最直观的体现。可以通过在SaaS应用服务器前端部署负载均衡设备，以实现多台应用服务器之间的负载均衡和高可用性。

　　②漏洞扫描修复。无论是操作系统、浏览器还是其他应用软件都存在各种各样的容易被黑客利用的漏洞，为此，要配置网站安全扫描平台，实时监测最新发现的漏洞和薄弱环节，并及时安装补丁修复程序。

　　③病毒防护。通盘考虑，制定多层次、全方位的防毒策略，通过应用网络防病毒产品、关闭系统中不必要的应用程序以及做好移动硬盘、u盘等没备使用前的扫描杀毒工作建立网络病毒防护体系。

　　(4)应用安全控制策略。

　　①数据隔离。软件提供商为了保证系统的实施成本最低，在数据隔离方案上通常选择共享数据库、共享数据模式方式，因此必须采用数据隔离的方法来保证用户数据仍然像使用独立数据库一样安全。

　　②数据加密。SaaS应用的数据库是由运营商管理，运营商及数据库管理员并不完全值得信任。对于一些敏感数据，例如公司的财务数据，可以考虑加密。

　　③权限控制。可采用访问控制列表(ALC)来界定访问权限，以及对数据操作，保证有效用户正常使用系统。

　　④身份认证。多数中小型用户目前没有自己专门的身份认证中心，因此用户级控制策略的认证适合采用集中式认证，防止非法用户使用系统。

　　(5)管理安全控制策略。

　　①选择合适的SaaS服务提供商。企业应根据SaaS模式业务特点需要、预定目标设定选择标准以及企业成本控制，慎重地保证了内部地选择供应商。相对于价格，安全性和服务保障更为重要。

　　②完善安全管理制度。企业应按照计算机信息安全的有关要求，按责、权、利相结合的原则，建立健全SaaS系统岗位责任制度、安全日志制度等，做到有章可循、有法可依。

　　③人员安全管理。提高安全意识是保证SaaS服务安全的重要前提，应加强对系统维护人员和技术支持人员的安全教育和技术培训。信息安全管理的根本立足点是规范企业员工的行为，增强操作人员的安全管理意识，培育提高人员的诚信和道德水平，以及应急事件处理能力。

　　④建立监弹监督制度。SaaS的用户可能对SaaS应用实施过程与标准不甚了解，可以利用第三方监理这种社会化、科学化、公平化和专业化的监督机制来辅助实施与管理，确保SaaS应用模式更合理、有效地运行和发展下去。