安全牛点评：根据派拓网络2019年10月的调查报告，78%的中国企业完全依赖云供应商提供的安全措施，显著高于亚太地区的70%。而质疑云服务商安全服务不够充分的中国企业，仅有2%。相信随着企业数字化转型的深入，越来越多的企业用户将开始重视并独立思考SAAS选型/建设中的安全性问题，尤其是数据安全问题。本文安全牛有幸邀请到国科恒泰（北京）医疗科技股份有限公司信息安全主管刘凤宝，就关于建设安全可信SAAS服务展开了探讨与总结。

刘凤宝，目前就职于国科恒泰（北京）医疗科技股份有限公司，任信息安全主管，主要从事集团信息安全建设、规划工作。

提起SAAS服务，大家并不陌生，近些年SAAS服务很火，涉及各行各业，比如安全行业、生产制造业、医疗行业等都有不同的SAAS服务。企业通过购买SAAS服务免去了购买软硬件、建设机房、招聘IT人员等诸多工作，可以安心的专注在业务领域，不用再为底层的网络架构、信息系统建设、信息系统维护而烦恼。凡是有利就有弊，虽然SAAS服务有诸多好处，但对企业来说如何保证自己的数据安全一直是企业最担心的问题。

在进行SAAS服务项目推广时，一些企业用户会对SAAS服务数据安全性提出质疑，比如如何确保企业用户数据不被SAAS服务商看到、如何确保企业用户数据不被其它接入的企业用户看到、如何随时可以查看到数据库运维记录等，那面对这些问题，作为信息安全支撑部门如何去解决接入企业用户担心的数据安全问题呢？

要保证企业数据安全，基础的安全建设是必不可少的，比如下一代防火墙、DDOS防护、WAF等，这些基础安全建设先不展开分析。

笔者认为，如果要使企业安心的接入SAAS服务，避免接入企业用户对数据安全的担忧，主要要从以下三个方面去进行数据安全建设：

一般开发的SAAS服务需要有完善的权限管理功能，单独为接入的企业提供权限管理功能，接入企业可以根据实际需求给人员开放系统权限，同时SAAS服务需要具备权限功能修改、用户访问等审计功能，为接入企业提供系统操作日志查询功能，减少接入企业在数据安全方面的担忧。

除权限由接入企业用户自行掌握外，我们提供的SAAS服务需要通过专业渗透测试服务商完成渗透测试，避免垂直越权、水平越权等权限问题发生，由于接入企业都是同行业企业，如对外提供的SAAS服务有以上权限问题发生时，也可能会使接入的企业数据被其他接入竞争公司所看到，为避免此类安全事件发生，SAAS服务上线前需要经过严格的安全测试，尤其重要的是系统中各类权限的测试。

除了基本的在传输过程中通过https进行数据加密传输，防止被网络监听窃取数据，同时为了减少接入企业对数据安全的担忧，同时真正保护接入企业的数据安全，在我看来对数据进行数据加密是一个比较行之有效的数据安全解决方案。

针对SAAS服务进行数据加密，（云密码机需通过国家密码管理局检测认证）可以称得上最优的解决方案，云密码机天生就是为解决SAAS服务场景的数据加密而生的。基于完善的安全体系设计，用户的应用密钥具备完善的生命周期管理，除指定用户以外的任何人都无法访问。

SAAS服务商为接入SAAS服务的企业用户分配VSM（虚拟密码机，简称VSM，以下涉及虚拟密码机均用VSM代替），分配VSM的同时也会为接入企业用户提供管理ukey，通过管理ukey才有登录VSM及管理VSM的权限。

这样，通过VSM接入企业用户就可以自己设定数据加密秘钥，包括加密秘钥长度、加密秘钥算法（支持国密、国际算法）实现对企业用户自己的数据进行数据加密，整个数据加密的秘钥、密码机的管理完全由接入企业用户自己管理。在SAAS服务进行数据查询时，从数据库读取的数据加密数据，需要SAAS服务调用VSM解密接口，通过VSM实现对数据解密，通过SAAS服务前台展示给用户解密后的数据；在SAAS服务进行数据存储时，需要SAAS服务调用VSM加密接口，通过VSM实现对数据加密，数据加密后存储到数据库；所以即使是SAAS服务提供商也无法看到数据库中所存的数据的真实内容，这样不论是攻击业务系统的黑客、其它接入企业、SAAS服务提供商均不可能看到存在数据库真实数据是什么，因为数据库存放的数据都是接入企业通过自己设定的加密秘钥进行加密后的数据，秘钥只有接入企业自己才会有，也只有业务系统或者通过接入企业的秘钥才能看到数据库中存放的真实数据内容。这样不仅保证了接入企业用户的数据安全，同时也可以避免接入企业用户对数据安全性的担忧。

只有SAAS服务系统的严格权限管理、接入企业通过自己设定的加密秘钥对数据加密可能还不够，这时候接入企业同样会问，如何确保其他接入企业、SAAS服务商没有直连数据库操作我们的数据？该如何解决接入企业在这方面的担忧呢？

以上问题，需要构建完备的SAAS数据库审计服务。通过SAAS数据库审计服务，实现按接入企业进行数据库审计，通过预先设定的数据库审计规则（比如：指定的关键字、指定的数据库实例等都可以）对针对接入该企业的所有数据库库操作进行审计，不论是来自业务系统的增、删、改、查，还是直连数据库的增、删、改、查都会进行操作审计，所有的审计数据根据不同接入企业进行授权，每个接入企业可以随时查看对企业自身数据的所有操作记录。

通过SAAS数据库审计服务使接入企业可以随时掌握数据库的访问情况，不仅可以看到访问数据库使用的用户名、访问的源IP地址、执行的SQL语句、执行的操作对象等信息，同时也可以制定各类数据库访问情况分析报表推送到指定邮箱，便于接入企业进行数据访问情况分析及统计。

通过严格的SAAS服务系统的严格权限管理、接入企业通过自己设定的加密秘钥对数据加密、完备的SAAS数据库审计服务不仅可以保证医疗SAAS服务数据安全，同时也可以避免接入企业对数据安全的担忧，而且也利于医疗SAAS服务的推广。

相关阅读

评估SaaS服务商安全性的十个要点

2020年企业面临的20大数据安全风险

SaaS浪潮已成海啸 这里是管理其风险的8种方法