搜索

[961] 2020-01-13_SaaS应用选型，必须考虑的10个安全问题

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-16
2020-01-13_SaaS应用选型，必须考虑的10个安全问题 S a a S 应 用 选 型 ， 必 须 考 虑 的 1 0 个 安 全 问 题 原 创   B y p a s s   B y p a s s   2 0 2 0 - 0 1 - 1 3 S a a S 模 式 下 ， 企 业 用 户 无 需 维 护 系 统 ， 只 需 登 录 就 可 以 享 受 系 统 功 能 带 来 的 便 利 。 但 是 S a a S 服 务 和 数 据 部 署 在 云 端 而 不 是 本 地 机 房 ， 可 能 存 在 不 可 控 问 题 。 企 业 用 户 最 关 注 的 是 自 己 的 数 据 能 不 能 得 到 有 效 的 保 护 。 本 文 整 理 了 1 0 个 必 问 的 S a a S 安 全 问 题 ， 包 括 基 础 安 全 ， 应 用 安 全 ， 安 全 合 规 、 数 据 安 全 、 安 全 责 任 划 分 等 方 面 ， 可 以 快 速 了 解 S a a S 厂 商 的 安 全 能 力 。 1 、 、 S a a S 软 件 的 部 署 方 式 ？ 软 件 的 部 署 方 式 ？ A 、 是 否 支 持 私 有 化 ( 本 地 ) 部 署 ？ 本 地 化 的 安 全 系 数 相 较 于 S a a S 会 更 高 ， 如 果 是 企 业 核 心 数 据 的 系 统 ， 安 全 性 要 求 较 高 ， 不 希 望 这 些 核 心 数 据 由 第 三 方 来 负 责 ， 可 以 选 择 S a a S 私 有 化 部 署 。 B 、 S a a S 平 台 部 署 在 私 有 云 ， 还 是 公 有 云 ？ 选 择 S a a S 平 台 ， 需 考 虑 托 管 平 台 的 基 础 保 障 能 力 和 安 全 防 护 能 力 甚 至 包 括 云 平 台 服 务 商 的 安 全 资 质 。 公 有 云 平 台 与 普 通 的 I D C 机 房 相 比 ， 具 有 高 可 用 性 、 安 全 性 和 弹 性 的 优 势 。 建 议 优 选 A W S 、 阿 里 云 、 腾 讯 云 和 华 为 云 等 主 流 云 平 台 。 2 、 、 S a a S 平 台 有 哪 些 资 质 平 台 有 哪 些 资 质 ? 第 三 方 资 质 认 证 作 为 一 个 参 考 指 标 ， 应 包 含 云 平 台 服 务 商 和 云 租 户 S a a S 厂 商 ， 云 平 台 的 安 全 能 力 并 不 等 同 于 S a a S 应 用 的 安 全 能 力 ， 平 台 提 供 的 是 基 础 能 力 ， 系 统 自 身 需 具 备 保 障 安 全 的 能 力 。 比 如 ： I S O 2 7 0 0 1 体 系 认 证 、 等 级 保 护 认 证 、 G D P R 认 证 等 。 通 过 了 I S O 2 7 0 0 1 的 认 证 ， 表 示 企 业 的 信 息 安 全 管 理 已 建 立 了 一 套 科 学 有 效 的 管 理 体 系 作 为 保 障 。 通 过 了 等 级 保 护 备 案 测 评 ， 意 味 着 系 统 已 具 备 相 应 等 级 的 基 本 安 全 保 护 能 力 。 3 、 、 S a a S 平 台 现 有 的 安 全 防 护 措 施 有 哪 些 ？ 平 台 现 有 的 安 全 防 护 措 施 有 哪 些 ？ S a a S 平 台 应 具 备 一 定 的 安 全 防 护 能 力 ， 需 配 备 相 应 的 安 全 产 品 / 服 务 。 比 如 运 维 审 计 （ 堡 垒 机 ） 、 应 用 防 护 （ W A F ） 、 访 问 控 制 （ 防 火 墙 ） 、 入 侵 防 御 （ H I D S / E D R ） 。 4 、 、 S a a S 平 台 是 否 会 定 期 的 进 行 渗 透 测 试 ？ 平 台 是 否 会 定 期 的 进 行 渗 透 测 试 ？ 定 期 渗 透 测 试 ， 并 出 具 相 关 安 全 厂 商 / 服 务 商 的 安 全 检 测 报 告 。 比 如 ： 专 业 的 安 全 公 司 的 渗 透 检 测 报 告 或 可 靠 的 众 测 服 务 平 台 的 安 全 众 测 报 告 。 5 、 数 据 在 存 储 和 传 输 时 是 如 何 加 密 的 ， 以 及 数 据 变 现 和 数 据 销 毁 问 题 、 数 据 在 存 储 和 传 输 时 是 如 何 加 密 的 ， 以 及 数 据 变 现 和 数 据 销 毁 问 题 ? 传 输 加 密 ： S S L 加 密 数 据 类 型 ： 数 据 库 、 文 件 附 件 相 关 方 式 ， 如 ： 数 据 加 解 密 / 文 件 加 密 解 密 服 务 、 图 片 转 成 二 进 制 流 加 密 存 储 、 O S S 服 务 端 加 密 、 R D S 透 明 数 据 加 密 T D E 、 云 盘 加 密 、 D L P 、 硬 件 加 密 机 等 确 认 数 据 变 现 和 数 据 销 毁 问 题 ？ 虽 然 S a a S 用 户 的 数 据 存 放 在 S a a S 厂 商 的 数 据 中 心 ， 但 数 据 的 所 有 权 是 归 用 户 所 有 。 S a a S 厂 商 未 经 用 户 同 意 ， 不 得 对 使 用 数 据 ， 更 不 得 售 卖 数 据 。 S a a S 厂 商 有 责 任 确 保 用 户 的 数 据 安 全 ， 并 对 数 据 泄 露 、 数 据 丢 失 造 成 的 用 户 损 失 要 进 行 经 济 赔 偿 。 需 要 确 认 的 两 点 ： 不 针 对 客 户 数 据 变 现 、 将 没 有 必 要 保 存 的 历 史 数 据 进 行 销 毁 。 6 、 、 S a a S 多 租 户 数 据 如 何 隔 离 ？ 多 租 户 数 据 如 何 隔 离 ？ S a a S 基 于 多 租 户 架 构 ， 多 个 租 户 共 用 一 套 实 例 ， 可 能 存 在 数 据 安 全 性 问 题 ； S a a S 多 租 户 在 数 据 存 储 上 存 在 三 种 主 要 的 方 案 ， 分 别 是 ： 独 立 数 据 库 、 共 享 数 据 库 （ 逻 辑 数 据 隔 离 、 共 享 数 据 ） 。 7 、 、 S a a S 平 台 如 何 实 现 系 统 容 灾 和 高 可 用 性 ？ 平 台 如 何 实 现 系 统 容 灾 和 高 可 用 性 ？ 8 . S a a S 应 用 可 能 涉 及 的 安 全 合 规 问 题 ？ 应 用 可 能 涉 及 的 安 全 合 规 问 题 ？ 9 . S a a S 平 台 在 身 份 验 证 、 权 限 管 理 、 日 志 审 计 方 面 分 别 是 怎 么 做 的 ？ 平 台 在 身 份 验 证 、 权 限 管 理 、 日 志 审 计 方 面 分 别 是 怎 么 做 的 ？ 1 0 、 一 旦 出 现 数 据 泄 露 事 件 ， 责 任 如 何 划 分 ？ 、 一 旦 出 现 数 据 泄 露 事 件 ， 责 任 如 何 划 分 ？ 高 可 用 技 术 架 构 、 数 据 备 份 策 略 、 容 灾 切 换 方 案 。 重 点 关 注 ， 个 人 隐 私 保 护 、 G D P R ， 以 及 爬 虫 、 A I 等 技 术 的 应 用 ， 可 能 带 来 一 定 的 风 险 。 身 份 验 证 机 制 ， 是 否 支 持 双 因 子 认 证 ， 密 码 复 杂 度 / 登 录 失 败 处 理 / 验 证 码 / 强 制 修 改 初 始 密 码 。 权 限 管 理 ， 基 于 角 色 的 用 户 权 限 系 统 ， 对 用 户 和 角 色 进 行 授 权 。 日 志 审 计 ， 日 志 是 否 可 以 预 警 ， 敏 感 的 业 务 操 作 日 志 ， 管 理 员 无 法 删 除 / 修 改 日 志 。
目 前 ， 安 全 责 任 共 担 模 式 在 业 界 已 经 达 成 共 识 ， 亚 马 逊 A W S 、 微 软 A z u r e 、 阿 里 云 、 腾 讯 云 均 采 用 了 与 用 户 共 担 风 险 的 安 全 策 略 。 用 简 单 例 子 来 看 责 任 的 划 分 ：         A 、 应 用 系 统 的 漏 洞 （ 应 用 安 全 ） 带 来 的 安 全 事 件         -   租 户 使 用 了 S A A S 服 务 ， 责 任 方 在 云 平 台 （ S A A S 业 务 由 平 台 方 提 供 ， 由 平 台 方 负 责 管 理 ）
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理