12、SaaS服务的安全与应用指南

SaaS服务的安全与应用指南

1. SaaS服务概述

SaaS（软件即服务）服务涵盖了广泛的功能领域，包括计费、客户关系管理（CRM）、协作、内容管理等众多方面。常见的SaaS提供商有Salesforce.com、Sage、Intuit等。SaaS生态系统具有高度的多样性，这使得为所有类型的SaaS服务提供详细的安全指导变得不现实，不同类型的SaaS服务，如财务报告系统和协作系统，其安全要求差异明显。

2. 安全开发

在SaaS环境中，提供商对交付安全应用负有主要责任。由于SaaS市场竞争激烈，一系列安全事故不利于其长期发展。采用SaaS模式可避免软件开发和集成问题，以及昂贵的基础设施支持开销。但复杂的SaaS应用需要进行定制以满足特定需求，例如应用界面定制、用户及权限配置、数据转换和集成等。即使采用SaaS模式，仍需保留部分技术人员来配置和管理所选SaaS解决方案的技术和行政方面。从安全开发角度看，虽然内容有限，但仍需一套编码标准，并具备代码审查和单元测试准备工作的能力，不过应用本身的大部分交付责任仍由云服务提供商（CSP）承担。

3. 完整性

采用SaaS方法时，用户需依赖SaaS应用及其底层数据存储的完整性。用户能影响的完整性方面主要包括提供给CSP的数据完整性和SaaS应用中特定组织配置的完整性。用户还应通过检查从SaaS提供商获取的信息，确保本地数据存储的完整性。从不可否认性角度，SaaS用户受限于提供商提供的审计功能和不可否认性能力。用户在SaaS应用上的活动通常由提供商捕获，除非通过代理。云访问安全代理（CASB）可提供比简单流量日志更强大的功能。完整性服务组中的快照服务，在SaaS环境中可通过特定时间点的数据导出并安