五大質問SaaS供應商的云安全問題
顯而易見地，軟件即服務(SaaS)正在持續成長中，也持續被企業和家庭用戶所接受。跟據Gartner在2011年7月所公布的消息，SaaS的營收規模在2010年達到100億美元，而且還在成長中。事實上，Gartner公司預估在2011年會成長20%以上，來到121億美元。
根據Gartner對SaaS的定義，軟件”被一個或多個供應商所擁有、提供和遠端管理。供應商透過通用的程序代碼和數據設定來提供應用程序，而且采取一對多的模式來提供給簽約客戶隨時取用。可以采取使用量計費，或者其他多種套餐訂閱模式”。而幾乎每個相關主題的文章或演講會舉的例子都是Salesforce.com，雖然他們是SaaS領域里主要的供應商，但是要知道，SaaS有多種不同的類型。客戶關系管理、人力資源管理、云端備份、協作平臺、會計審核平臺、服務支持中心管理、托管服務和網頁/電子郵件過濾等等，不勝枚舉。
對于供應商和客戶來說，可以明顯的看出經濟效益，用戶使用SaaS的成本，和自己購買軟件加上布署的成本比起來是吸引的多。因為集中化的特質，SaaS供應商可以更迅速和容易地去更新以及管理軟件和服務，可以直接觀察客戶使用模式來改善應用程序。而它的可擴展性和以量計價模式對于客戶和供應商來說都極具吸引力。另外，它也提供更有彈性的整合能力和開放界面，許多SaaS供應商開始提供社群媒體模式的協作功能或開放界面(APIs)。
雖然SaaS能夠提供靈活和具有成本效益的應用使用環境來取代傳統模式，但它并非沒有風險。因為轉移到托管平臺，而不是留在自己內部，企業必然會犧牲許多對于營運環境的控制。特別是在SaaS里，你幾乎只能選擇要上傳或不上傳某些數據，而剩下的就不是你能掌控了。但是你還是得為自己的數據保護負起法律和監管責任。
SaaS環境下的風險有許多種，而且大多數都和它所提供的好處相關。正如前面提到的，你的供應商透過某些網絡分析來了解你對服務平臺的使用狀況，他們也能夠存取你所有的數據，這會產生未經授權存取或被內部員工監控的風險。
系統的集中化特質和多租戶(Multi-tenanted)環境底下的單一設定模式意味著，如果有一個漏洞影響到一個客戶，那么很有可能會讓其他客戶也都受到相同的影響。EPSILON數據外泄事件就是一個最近的例子，而它也影響了許多使用同一個SaaS供應商的Fortune 500大公司。弱點攻擊可能牽涉的范圍很廣。如果沒有正確地設計，開發和設定的話，多數SaaS供應商會使用的常見協定和軟件堆疊，例如HTTP、XML / SOAP、JSON、CSS和JavaScript，都有現成并且常常會被利用的漏洞。如果服務平臺提供更大的彈性來允許客制化和外部整合(一個SaaS廠商的重要賣點)，就越有機會讓一些客戶產生出漏洞，而讓其他廠商也承受被攻擊的后果。這是多租戶環境下的必然后果。
五個關鍵的安全問題要問你的SaaS供應商：
1 - 滲透測試 - 如何以及多常進行整個環境的滲透測試，是否有能力自己獨立對部分環境進行滲透測試?如果沒有常常進行深入的滲透測試，你就不能得知當前安全狀況的全貌。
2 - 數據安全 - 在使用資源共享的SaaS供應商數據中心時，如何對儲存和傳輸中的數據進行加密?誰可以拿到加密金鑰?是否有做權責區分(separation of duties)，并將加密金鑰和數據維護分開負責?供應商是否能提供你SAS 70報告?
3 - 多租戶 - 是否有提供單一租戶托管的選項?還要確認單一租戶是否只包括應用程序，還是也包括數據儲存的部份?
4 - 災難復原 - 當發生災難性故障、受到外部入侵或數據遺失時，有準備備份和回復的程序嗎?備份的數據儲存在哪里(再次提醒，需要加密)以及如何有效地回復?
5 - 用戶驗證 - SaaS應用程序的登入程序為何?是否使用多因子認證?是否可以和客戶正在使用中的認證機制做整合?
【編輯推薦】
