SaaS供应商如何确保数据安全.docx

《SaaS供应商如何确保数据安全.docx》由会员分享，可在线阅读，更多相关《SaaS供应商如何确保数据安全.docx（6页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、SaaS ELN （电子实睑记录本）选型，必须考虑的7大安全问题一文说清SaaS供应商如何确保数据安全SaaS部署模式下，SaaS软件供应商将应用软件统一部署在云服务商的服务器上，用户 通过向SaaS软件供应商采购相应的软件许可（License ）来使用软件和获得相应的服务。 用户不需要在应用软件前对软件进行安装部署，也不需要进行定期的软件升级和日常维护， 只需登录系统即可获得系统功能带来的便利。由于SaaS模式中，服务和数据均部署在云端而不是本地机房,用户可能会存在一些顾 虑一自己的数据究竟能否得到有效保护？本文从用户最为关注的SaaS安全问题出发，从 基础安全、环境安全、应用安全、数据安全

2、、合规性以及安全责任划分等方面详细说明在SaaS ELN选型时,如何考察SaaS供应商的安全保障能力。1、SaaS平台部署在私有云还是公有云公有云平台与私有云平台相比，具有更高的可用性、安全性和弹性。公有云平台建议优 选微软Azure、AWS、阿里云、腾讯云和华为云等主流云平台。2、第三方供应商应具备的安全管理资质SaaS平台在选择时，需考查SaaS第三方供应商的基础保障能力、安全防护能力以及 安全资质等方面。应用中心APPWEB微信云网络防火墙接口与安全控制负载均衡CIMSELNPM&CMS接口代理J艮务管理框架文件管理 数据服务 缓存服务数据存储Azure MySql/Redis | Az

3、ure 分布式存储运营服务平台微软Azure IAAS平台创腾科技使用微软Azure云IAAS平台作为基础运行平台以微软Azure为例，微软Azure云是微软在中国大陆和世纪互联联合运营的云平台。微软Azure云已完成IS027001等全球顶级的安全认证，平台还同时获得公安部DJCP（信息系统安全等级保护定级）和国家标准GB18030认证。微软Azure云安全体系主要 包括物理和环境安全、基础安全、灾难恢复及业务连续性等方面，平台的安全性已得到专业 机构的广泛认可，是目前市场上最可信赖的云平台之一。创新云社区所有的业务平台部署在微软Azure云IAAS平台，使用微软Azure云提供 计算/网络

4、和存储等服务。创新云社区选择微软Azure云防火墙系统提供外围网络安全保 障，与微软中国Office365等平台享有相同的安全保障级别。3、SaaS应用的安全防护措施有哪些SaaS平台的安全能力并不等同于SaaS应用的安全能力，SaaS产品/服务自身还需具 备足够的安全保障能力。以iLabPower创新云社区为例，SaaS产品须具备网络级、数据库 系统级、环境级、职员级、操作系统级等全面的网络环境安全保证。具体措施如下：（1）用户访问访问接口安全采用更安全的https协议（基于SSL传输加密协议） URL经过算法加密。权限安全 登陆密码经过加密算法,每个账号与终端绑定 UC产品授权限制 基于员

5、工业务系统角色进行授权和访问访问控制 员工有唯一账号，禁止离职员工账号登陆 账户登录密码错误保护机制 审计：信息系统的日志和权限审核记录通过备份方式保存，以供需要时调取 审计。数据安全 读写分离，保障数据完整性与正常运行，减少宕机 高可用系统中的两台服务器热备 将数据库做成分布数据库，分担每台服务器资源承受瓶颈 轻量级分布式文件系统，解决大容量存储和负载均衡问题 采用IIS10 ,系统升级不会影响客户访问系统 定期安排系统和数据库巡检、数据备份和防路径篡改 现有网络结构提供的有效方法，扩展服务器带宽、吞吐量、处理能力，提高 灵活性和可用性(2)系统安全组织安全创新云社区团队由设计安全团队、研发

6、安全团队、维护安全团队组成。e人员安全员工行为符合所有法律、政策、流程以及创新云社区商业行为准则的要求；员工有履 行其职责必备的知识、技能和经验。令交付安全从设计、技术部署、支持及维护的产品全生命周期的安全防护，服务交付与公司核心 流程紧密关联。系统开发与维护由研发和维护团队共同负责，服务于创新云社区的系统底层架构、业务逻辑实现以及上 线的维护；协同为创新云社区客户打造安全的云服务环境。个研发流程与标准安全强健的研发流程对于生产高质量和安全的产品很重要，创新云社区团队将产品安全基 线纳入需求列表，并对客户使用场景进行威胁分析，从而实现产品的安全设计、安全 开发。灾难恢复;业务连续性为了减少由硬

7、件故障、自然灾害或者是其他的灾难带来的服务中断，创新云社区提供所 有数据的灾难恢复计划，包括降i氐任何单个节点失效风险的多个组件：高可用性、数 据保护、灾难恢复。4、SaaS平台是否会迸行定期的渗透测试SaaS平台须进行定期渗透测试，并出具相关安全厂商/服务商的安全检测报告。iLabPower创新云社区的渗透测试5、法规遵从以及相关隐私政策SaaS平台中所有数据包括有管理权限的访问，都应该被记录下来，并定期审计。通过 对是否符合监管标准的评估，有助于确定是否合规,并确保正确的业务流程到位。SaaS平台用户数据的所有权归用户所有,SaaS服务商未经用户同意，不得使用数据， 更不得售卖数据，应采取

8、合法手段及时销毁无必要保存的历史数据。SaaS服务商有责任确 保用户的数据安全，并对数据泄露、数据丢失造成的用户损失进行经济赔偿。iLabPower创新云社区的隐私政策中详细明确了如何收集、使用、存储和分享用户 信息以及为用户提供的访问、更新、控制和保护这些信息的方式。6、SaaS多租户数据如何隔离SaaS基于多租户架构，一个SaaS中会有多个用户的数据保存在同一个数据存储位置。 SaaS供应商应保证任何一个用户在访问数据时不能访问到其他用户的数据,因此供应商需 要在SaaS的应用体系和数据模型的设计上确保数据隔离。微软Azure为每个部署提供了网络隔离功能，通过使用input endpoin

9、t,可以控制哪 些端口能够从互联网访问。（1）虚拟机之间的通讯始终通过可信赖的数据包筛选器进行。a.地址解析协议（ARP ）和动态主机配置协议（DHCP ）等协议，以及来自虚拟机的其他OSI第二层通讯都可使用速率限制和反欺骗保护进行控制。b.虚拟机无法捕获任何目标地址非自己的网络通讯。(2 )客户的虚拟机无法将通讯发往Azure的私有接口或其他客户的虚拟机，也无法发往Azure基础架构服务。客户的虚拟机只能与相同客户所拥有或控制的虚拟机、以及用于公共通讯的Azure基础架构服务终结点通讯。(3)当客户将虚拟机放入虚拟私有网络后，这些虚拟机将获得自己的、完全不可见的地址 空间，此时将无法从部署或虚拟网络之外的虚拟机访问(除非通过公共IP地址配置为可见工 7、安全合规职责如何划分当前业界已达成共识，在SaaS模式下，安全合规职责是由SaaS供应商和客户共同承 担的。举例来说，如果是由于应用系统漏洞(应用安全)带来的安全事件，责任方为云平台方；如果是由于用户使用弱密码，身份被盗用安全)，造成安全事件，责任方为租户方。