五个你必须问SaaS供应商的安全问题

addison_lin

虽然SaaS能够提供灵活和具有成本效益的应用使用环境来取代传统模式，但它并非没有风险。因为转移到托管平台，而不是留在自己内部，企业必然会牺牲许多对于营运环境的控制。特别是在SaaS里，你几乎只能选择要上传或不上传某些数据，而剩下的就不是你能掌控了。但是你还是得为自己的资料保护负起法律和监管责任。
SaaS环境下的风险有许多种，而且大多数都和它所提供的好处相关。正如前面提到的，你的供应商透过某些网络分析来了解你对服务平台的使用状况，他们也能够存取你所有的资料，这会产生未经授权存取或被内部员工监控的风险。
系统的集中化特质和多租户（Multi-tenanted）环境底下的单一设定模式意味着，如果有一个漏洞影响到一个客户，那麽很有可能会让其他客户也都受到相同的影响。弱点攻击可能牵涉的范围很广。如果没有正确地设计，开发和设定的话，多数SaaS供应商会使用的常见协定和软体堆叠，例如HTTP、XML / SOAP、JSON、CSS和JavaScript，都有现成并且常常会被利用的漏洞。如果服务平台提供更大的弹性来允许客制化和外部整合（一个SaaS厂商的重要卖点），就越有机会让一些客户产生出漏洞，而让其他厂商也承受被攻击的後果。这是多租户环境下的必然後果。
五个关键的安全问题要问你的SaaS供应商：
1 – 渗透测试 – 如何以及多常进行整个环境的渗透测试，是否有能力自己独立对部分环境进行渗透测试？如果没有常常进行深入的渗透测试，你就不能得知当前安全状况的全貌。
2 – 资料安全 – 在使用资源共享的SaaS供应商数据中心时，如何对储存和传输中的资料进行加密？谁可以拿到加密金钥？是否有做权责区分（separation of duties），并将加密金钥和资料维护分开负责？供应商是否能提供你SAS 70报告？
3 – 多租户 – 是否有提供单一租户托管的选项？还要确认单一租户是否只包括应用程式，还是也包括资料储存的部份？
4 – 灾难复原 – 当发生灾难性故障、受到外部入侵或资料遗失时，有准备备份和回复的程序吗？备份的资料储存在哪里（再次提醒，需要加密）以及如何有效地回复？
5 – 用户验证 – SaaS应用程式的登入程序为何？是否使用多因子认证？是否可以和客户正在使用中的认证机制做整合？
此文转载：中国IDC圈