云安全耽誤國(guó)內(nèi)SaaS發(fā)展近十年?
日前，SaaS先鋒dayHR獲得國(guó)際安全行業(yè)領(lǐng)先企業(yè)賽門(mén)鐵克頒發(fā)的Symantec SSL認(rèn)證消息一出，隨即在業(yè)內(nèi)引起強(qiáng)烈反響，國(guó)內(nèi)超20家主流媒體紛紛轉(zhuǎn)載報(bào)道。一次安全認(rèn)證為何這么“引人注目”?有人歸結(jié)為國(guó)際權(quán)威認(rèn)證機(jī)構(gòu)的號(hào)召力，更多人則從中嗅到了網(wǎng)絡(luò)信息安全與隱私危機(jī)的敏感氣息。眼看著“偽基站短信詐騙”、“個(gè)人信息泄露”等甚囂塵上，企業(yè)云服務(wù)信息安全問(wèn)題也開(kāi)始“蠢蠢欲動(dòng)”。
僅憑云安全 耽誤國(guó)內(nèi)SaaS發(fā)展近10年?
有資料顯示：SaaS剛在國(guó)際上嶄露頭角，2003年，國(guó)內(nèi)就開(kāi)始了這方面的探索。對(duì)比中外在互聯(lián)網(wǎng)和移動(dòng)互聯(lián)網(wǎng)領(lǐng)域的發(fā)展速度，照理來(lái)說(shuō)，10年之內(nèi)在技術(shù)與服務(wù)上趕超國(guó)外絕對(duì)沒(méi)有懸念。可是現(xiàn)實(shí)卻骨感得很，幾年之間，Salesforce估值超450億美元，workday上市后市值破95億美元，云ERP廠商N(yùn)etSuite市值突破82.3億美元，連后來(lái)居上的“獨(dú)角獸”如Zenefits、slack等估值早已超數(shù)十億美元。反觀國(guó)內(nèi)，SaaS在歷經(jīng)一段不溫不火的發(fā)展后，還沒(méi)能誕生出一個(gè)可以與Salesforce、workday等匹敵的品牌，倒是零星誕生了理才網(wǎng)、北森、浪潮、東軟、今目標(biāo)、紛享銷(xiāo)客、銷(xiāo)售易、金柚網(wǎng)等SaaS 云服務(wù)廠商。究竟是什么耽誤了SaaS在國(guó)內(nèi)發(fā)展的黃金十年?是技術(shù)實(shí)力滯后?涵蓋面過(guò)少?收費(fèi)門(mén)檻高?還是市場(chǎng)需求過(guò)小?可惜都不是，致命的短板其實(shí)在云安全上。
“安全問(wèn)題是阻止企業(yè)選擇SaaS的首要原因”Forrester分析師曾如是表示。SaaS起步之初，國(guó)內(nèi)云主機(jī)資源匱乏，亞馬遜云縱然享譽(yù)全球，飄揚(yáng)過(guò)海，加上概率很低的服務(wù)中斷和“信息門(mén)”安全事故，不少用戶(hù)在選用SaaS軟件服務(wù)時(shí)難免心生疑竇。當(dāng)然，因?yàn)閲?guó)內(nèi)的互聯(lián)網(wǎng)信用監(jiān)管和法律不夠完善，企業(yè)對(duì)互聯(lián)網(wǎng)數(shù)據(jù)傳輸可能導(dǎo)致的商業(yè)機(jī)密泄露、黑客攻擊、信息截流等難免多一層擔(dān)憂。眼下阿里云、騰訊云、華為云、天翼云、搜狐云等云主機(jī)百花齊放，企業(yè)用戶(hù)對(duì)云安全的顧慮少了許多，可總覺(jué)得還缺點(diǎn)什么。到底還缺什么?對(duì)比國(guó)外熱門(mén)SaaS應(yīng)用的“安全盾”，不少人頓有所悟：原來(lái)是第三方安全認(rèn)證。以salesforces為例，在云安全上，salesforces早年便獲得歐盟安全港標(biāo)志的認(rèn)證許可，為了凸顯自己的國(guó)際化色彩，還因此遵循了美國(guó)- 歐盟和美國(guó) -瑞士的安全港框架，加上TRUSTe 網(wǎng)絡(luò)隱私標(biāo)志的認(rèn)證許可，等同于為用戶(hù)打了一針“興奮劑”。SaaS HR 領(lǐng)域，Workday在云安全上也沒(méi)少下功夫。除了照搬salesforces的兩重防護(hù)，Workday還獲得AICPC美國(guó)注冊(cè)會(huì)計(jì)師協(xié)會(huì)的服務(wù)組織控制(SOC)報(bào)告和ISO27001信息安全認(rèn)證，為開(kāi)拓中國(guó)市場(chǎng)提前鋪路。可惜實(shí)力過(guò)硬的它在免費(fèi)商業(yè)模式和“水土不服”綜合癥面前多次碰壁，目前在國(guó)內(nèi)的接受度依然不高。其他如IBM、甲骨文公司等也有相應(yīng)的部署。
實(shí)力過(guò)硬，為何還需要“認(rèn)證招牌”來(lái)說(shuō)話?除了行業(yè)缺乏統(tǒng)一的衡量標(biāo)準(zhǔn)和評(píng)判機(jī)制，認(rèn)證機(jī)構(gòu)的公信力和所能帶來(lái)的實(shí)質(zhì)性技術(shù)保障是重要原因。眾所周知，云安全無(wú)外乎技術(shù)和非技術(shù)兩大層面。眼下技術(shù)層面的安全防護(hù)快要觸及天花板，非技術(shù)層面的第三方認(rèn)證自然很快“上位”，成為完善企業(yè)信譽(yù)、產(chǎn)品評(píng)估、合約約束等的重要手段。
國(guó)內(nèi)開(kāi)展云服務(wù)安全認(rèn)證的歷史并不長(zhǎng)，可是認(rèn)可度與接受度頗高。以威瑞信(VeriSign SSL)為例，威瑞信目前屬賽門(mén)鐵克旗下，是較早進(jìn)入國(guó)內(nèi)市場(chǎng)的網(wǎng)絡(luò)安全認(rèn)證證書(shū)之一，在全球都具有頗高的知名度與公信力。據(jù)媒體報(bào)道：VeriSign SSL主打技術(shù)加密安全認(rèn)證，目前超93%的財(cái)富500強(qiáng)企業(yè)，97%的世界100大銀行以及全球50家最大電子商務(wù)網(wǎng)站中的47家都選擇了該公司的數(shù)字認(rèn)證服務(wù)，其震懾力可見(jiàn)一斑。2012年，在SaaS行業(yè)擁有7年資歷的北森獲得威瑞信認(rèn)證，在崇尚“技術(shù)為王”、“野蠻生長(zhǎng)”的業(yè)內(nèi)帶來(lái)一陣騷動(dòng)，對(duì)SaaS的安全質(zhì)疑也頓時(shí)瓦解不少。等到成立才1年多的理才網(wǎng)短時(shí)間內(nèi)突破200萬(wàn)用戶(hù)，還一舉囊括VeriSign SSL安全認(rèn)證，就不難理解為什么它能再次引起轟動(dòng)了。目前，安全認(rèn)證在行業(yè)興起一股熱潮。除了強(qiáng)化云安全的阿里云、華為云等，轉(zhuǎn)型SaaS云服務(wù)的金蝶、八百客等也積極加快了第三方認(rèn)證的步伐。隨著企業(yè)擁抱互聯(lián)網(wǎng)進(jìn)程的加快，專(zhuān)家紛紛預(yù)言“成本低、升級(jí)快、功能全、靈活化”的SaaS云服務(wù)將主導(dǎo)企業(yè)應(yīng)用的未來(lái)。不過(guò)在此之前，除了以上技術(shù)這等硬實(shí)力，安全指數(shù)的高級(jí)與否，或?qū)⒂瓉?lái)內(nèi)部競(jìng)爭(zhēng)的另一輪洗牌。畢竟，安全性素來(lái)都是企業(yè)重度決策的“終極參考”。
告別裸奔 SaaS云服務(wù)如何抵御內(nèi)外攻擊?
互聯(lián)網(wǎng)安全一直是廣大網(wǎng)民頭疼的問(wèn)題，即使有千萬(wàn)種殺毒軟件、防火墻、網(wǎng)盾、安全認(rèn)證輪番轟炸，很多人還是沒(méi)法高枕無(wú)憂。牽涉到個(gè)人，尚且“戰(zhàn)戰(zhàn)兢兢，如履薄冰”;牽涉到企業(yè)機(jī)密，等同于身系上千億資產(chǎn)，不用想，都知道高層們的決策得有多謹(jǐn)慎了。了解企業(yè)應(yīng)用發(fā)展軌跡的人或多或少都知道局域網(wǎng)、廣域網(wǎng)、互聯(lián)網(wǎng)以及現(xiàn)在熱門(mén)的SaaS、移動(dòng)辦公的那些事兒。幾代更迭，產(chǎn)品在技術(shù)、服務(wù)、安全性等方面不斷完善，不過(guò)某天看到信息安全事故頻發(fā)，有人不禁懷念起“局域網(wǎng)”的好處來(lái)：局域網(wǎng)盛行的年代，外面的進(jìn)不來(lái)，內(nèi)部交互無(wú)礙。“世外桃源”的構(gòu)想雖美，不過(guò)千萬(wàn)別因此將“封閉式網(wǎng)絡(luò)”和“沒(méi)風(fēng)險(xiǎn)”劃上等號(hào)。對(duì)于當(dāng)下的企業(yè)而言，“信息孤島”比相對(duì)安全的互聯(lián)網(wǎng)環(huán)境更為可怕，更何況內(nèi)部泄密的危機(jī)根本沒(méi)有解決。既想擁抱互聯(lián)網(wǎng)，享受SaaS服務(wù)的實(shí)在好處，又想根除“內(nèi)部安全危機(jī)”，兩者如何實(shí)現(xiàn)?目前時(shí)下最盛行的方法莫過(guò)于權(quán)限分派和責(zé)任到人。選擇滿(mǎn)足企業(yè)需求的應(yīng)用平臺(tái)，根據(jù)操作者在公司中扮演的職能進(jìn)行放權(quán)，操作歷史與負(fù)責(zé)數(shù)據(jù)皆有章可循，可以規(guī)避一定商業(yè)風(fēng)險(xiǎn)。(很多新生代SaaS開(kāi)發(fā)商都是這樣做的，dayHR的全員化理念就源于這一原理，避開(kāi)了傳統(tǒng)超級(jí)管理員的僵化格局。)目前大多數(shù)互聯(lián)網(wǎng)企業(yè)應(yīng)用產(chǎn)品皆可實(shí)現(xiàn)核心內(nèi)容加密、隱私密封、數(shù)據(jù)安全傳輸?shù)冗x項(xiàng)，加之平臺(tái)固有的隱私保密協(xié)議，暫時(shí)可以松口氣。基于物理、網(wǎng)絡(luò)、人員與流程管理、數(shù)據(jù)存儲(chǔ)處理等多方位防護(hù)，照理來(lái)說(shuō)，成本方面會(huì)是不小的負(fù)荷，不過(guò)互聯(lián)網(wǎng)的邊際成本遠(yuǎn)低于硬件布施的成本，眼下甚至還出現(xiàn)一批免費(fèi)實(shí)用的云平臺(tái)如美國(guó)Zenefits 、理才網(wǎng)dayHR、今目標(biāo)等，安全成本幾近于零，倒令不少企業(yè)“大喜過(guò)望”。
除了內(nèi)部危機(jī)，DDoS、CC攻擊、數(shù)據(jù)攔截、病毒等外部攻擊也是企業(yè)用戶(hù)普遍關(guān)注的話題。有數(shù)據(jù)顯示：早在2012年，歐洲企業(yè)采用SaaS模式進(jìn)行安全防護(hù)就已經(jīng)高達(dá)33.18%，三分之一的企業(yè)通過(guò)SaaS模式做郵件保護(hù)。不過(guò)同年中國(guó)云安全調(diào)查的結(jié)果卻顯示：SaaS依然被27%的受訪者認(rèn)為是不安全的云計(jì)算模式，兩者形成巨大反差。3年過(guò)后，SaaS迎來(lái)新一輪發(fā)展高潮，2015年間投融資金額穩(wěn)居榜首，云安全的話題再度被提上日程顯得并不意外。作為云安全的重要衡量指標(biāo)，安全認(rèn)證趁機(jī)火了一把。筆者了解到：目前主流信息安全認(rèn)證集中在ISO信息安全認(rèn)證、可信云服務(wù)認(rèn)證、威瑞信、云安全國(guó)際認(rèn)證、TRUSTe等上，其中威瑞信 SSL認(rèn)證在國(guó)內(nèi)備受推崇。SSL基于記錄協(xié)議，不僅提供數(shù)據(jù)封裝、壓縮、加密等基本功能，同時(shí)兼具身份認(rèn)證、數(shù)字簽名、隱私保護(hù)、多重加密機(jī)制等。通過(guò)認(rèn)證的域名呈淺綠色，瀏覽器顯示出“鎖”的安全標(biāo)志，持續(xù)保障客戶(hù)端和服務(wù)器間的安全通訊。據(jù)不完全統(tǒng)計(jì)：目前國(guó)內(nèi)幾大云主機(jī)廠商如阿里云、騰訊云、華為云等悉數(shù)加入了云安全認(rèn)證陣容，云服務(wù)“裸奔”的年代逐漸走遠(yuǎn)。隨著SaaS HR (如人才資本管理云平臺(tái)dayHR)、SaaS CRM (如銷(xiāo)售管理紛享銷(xiāo)客)、SaaS OA (比如阿里的釘釘)等陸續(xù)通過(guò)認(rèn)證，國(guó)內(nèi)外SaaS產(chǎn)業(yè)的發(fā)展差距也在逐漸縮小，而這將成為國(guó)內(nèi)誕生SaaS 巨頭的契機(jī)也未可知。
