SaaS的安全风险与对策探究

《SaaS的安全风险与对策探究》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、SaaS是SoftwareaaService(软件即服务)的简称，是种通过Internet提供软件服务的模式。在这一模式F,SaaS提供商为金业搭建信息化所需要的所有网络基础设施及软件、硬件运作平台，并负责所侑前期的实施、后期的维护等一系列服务，企业不需要购置额外的硬件设备、软件许可证，也不需要安装、维护软件系统和招聘IT人员。「运用SaaS的意义按照现在SaaS的发展，可以认为SaaS是专门为中小公司而准备的一项技术，无论是从运行体制，还是费用收収，都非常适合中小公司。低廉的费用以及灵活的付费方式，减轻了中小企业的资金压力；日益完善的网络环境和技术保证了信息化的有效性和安全性;专业的服

2、务提供商保证了服务的可靠性，同时乂节省了中小企业在IT人员上的投入;将不擅长的信息化建设交给专业的软件服务商，降低了管理成木和研发风险，使得企业更加关注自己的核心业务。2.SaaS应用的安全风险SaaS应用的安全风险是指企业在开展SaaS应用过程中，由于人为或自然的威胁利用系统存在的脆弱性而导致机密数据丢失的町能性，或者在物理上、运行机制上以及资金财务上受到损害的可能性。(1)数据安全风险。SaaS应用中用八的数据保存在远端软件服务商的服务器中，用八对数据的点接控制能力有限，而且所有数据都是通过网络传输，然而网络的不成熟和病寿、黑客的恶意攻击使得企业数据血临丢失、泄漏风险。①数据丢失的风

3、险。由于SaaS软件在服务商和使川方物理上的隔离，软件和数据保存在SaaS服务商，存在企业用户对数据失去控制的可能，用于存放数据的服务器，由于各种原因而造成信息数据丢失给企业带来的风险。②数据泄漏的风险。企业商业秘密或所冇权信息泄漏给竟争对手或英他人，而给企业带來利益上的损失和影响的风险。(2)网络安全风险。由于网络线缆中断以及网络连接中窃听、病毒等因素造成服务中断或信息泄銅而给企业带来损失的风险。①网络的不稳定性风险。不同于传统软件运行在局域网或单机上，SaaS是实吋应用在片•联网上，其应丿IJ的在线化使得其对网络产牛了严重依赖，离开了网络，企业就不能正常获得服务，严重影响企业的运营管

4、理。①信息传输风险。SaaS应用屮所有与数据库的交互数据都是通过网络传输，而从技术上说，任何传输线路都是可能被窃听的，因此当数据通过网络在服务端与客户端之间通讯时,都有对能被截获、读取、篡改、删除而给企业带来损失。②病毒入侵风险。由于SaaS使用的是公用通信线路，一些人可能出于各种目的，损坏网络设备，在网络上对系统进行黑客程序的测试运行等人侵活动，对系统造成较大破坏。(1)系统安全风险。山于目前的操作系统和浏览器漏洞较多，容易被病毒、木马感染攻击而使整个系统陷于瘫痪，使得系统的安全、稳定、持续的服务得不到保证，给企业带來不确定的风险。(2)应用安全风险。应用安全风险是指由于系统的使用受限

5、或非法使用而给企业带来损失的风险，包括拒绝服务和非法使用。拒绝服务是指在一定时间内，网络系统或服务器服务系统的作用完全失效。非法使用是指黑客利用病毒或系统漏洞，获取用户口令而获取权限对系统进行非法使用。(3)管理安全风险。指由于系统管理、使用人员缺乏网络信息安全知识或不遵守相关的信息安全规则，造成数据损失、泄露以及系统软硬件损坏而带来的风险。①人员管理风险。近年來我国计算机犯罪大都呈现内部犯罪的趋势，其原因主要是因工作人员职业道徳修养不高，安全教冇和管理松懈所致。②服务商信禅风险。服务商不严格履行介同要求提供服务而给使用方利益受损的风险,例如实力与宣传不符，泄•漏或出售用户数据以及升级耍

6、价等。3.SaaS应用的安全风险对策一个安全的SaaS应用具备五个层面的安全性，分别是物理安全、网络安全、系统安全、应用安全和管理安全。针对上文中提到的安全风险问题，提出一系列对策和建议，构成一个完整的解决方案。(1)物理安全控制策略。①建立硬件环境防范体系。服务商的系统硬件和运行环境是SaaS应用运行的最基本要索，要保证存放SaaS服务器、通信设备等场地的安全，确保计算机的正常运行。①建立多层级备份机制。数据备份是为了防•止系统操作错误或系统故障而导致数据丢失的防护手段，可以确保在出现重大问题时，川户数据能够迅速恢复且不被笫三方截获，保证运营服务系统的安全。(1)网络安全控制策略。①肩

7、用防火墙。作为不同网络或网络安全域Z间信息的出入口，防火墙能根据网络系统的安全策略控制出入网络的信息流，且木身具有较强的抗攻击能力，有效地保证了内部网络的安全。②启用入侵检测系统。这是防火墙之后的笫二道安全闸门，能够有效地防止黑客攻击,在计算机网络上实时监控网络传输，分析來H网络外部和内部的入侵信号。在系统受到危害前发出警告，实时对攻击做出反应，并捉供补救措施。③实施网络监控。需要利用网络监控系统对网络设备的运行状况进行7x24小时