建設安全可信SAAS服務的三個要點
提起SAAS服務，大家并不陌生，近些年SAAS服務很火，涉及各行各業，比如安全行業、生產制造業、醫療行業等都有不同的SAAS服務。企業通過購買SAAS服務免去了購買軟硬件、建設機房、招聘IT人員等諸多工作，可以安心的專注在業務領域，不用再為底層的網絡架構、信息系統建設、信息系統維護而煩惱。凡是有利就有弊，雖然SAAS服務有諸多好處，但對企業來說如何保證自己的數據安全一直是企業最擔心的問題。
在進行SAAS服務項目推廣時，一些企業用戶會對SAAS服務數據安全性提出質疑，比如如何確保企業用戶數據不被SAAS服務商看到、如何確保企業用戶數據不被其它接入的企業用戶看到、如何隨時可以查看到數據庫運維記錄等，那面對這些問題，作為信息安全支撐部門如何去解決接入企業用戶擔心的數據安全問題呢?
要保證企業數據安全，基礎的安全建設是必不可少的，比如下一代防火墻、DDOS防護、WAF等，這些基礎安全建設先不展開分析。
筆者認為，如果要使企業安心的接入SAAS服務，避免接入企業用戶對數據安全的擔憂，主要要從以下三個方面去進行數據安全建設：
一、權限分配由企業自己掌握
一般開發的SAAS服務需要有完善的權限管理功能，單獨為接入的企業提供權限管理功能，接入企業可以根據實際需求給人員開放系統權限，同時SAAS服務需要具備權限功能修改、用戶訪問等審計功能，為接入企業提供系統操作日志查詢功能，減少接入企業在數據安全方面的擔憂。
除權限由接入企業用戶自行掌握外，我們提供的SAAS服務需要通過專業滲透測試服務商完成滲透測試，避免垂直越權、水平越權等權限問題發生，由于接入企業都是同行業企業，如對外提供的SAAS服務有以上權限問題發生時，也可能會使接入的企業數據被其他接入競爭公司所看到，為避免此類安全事件發生，SAAS服務上線前需要經過嚴格的安全測試，尤其重要的是系統中各類權限的測試。
二、對數據進行數據加密
除了基本的在傳輸過程中通過https進行數據加密傳輸，防止被網絡監聽竊取數據，同時為了減少接入企業對數據安全的擔憂，同時真正保護接入企業的數據安全，在我看來對數據進行數據加密是一個比較行之有效的數據安全解決方案。
針對SAAS服務進行數據加密，(云密碼機需通過國家密碼管理局檢測認證)可以稱得上最優的解決方案，云密碼機天生就是為解決SAAS服務場景的數據加密而生的。基于完善的安全體系設計，用戶的應用密鑰具備完善的生命周期管理，除指定用戶以外的任何人都無法訪問。
SAAS服務商為接入SAAS服務的企業用戶分配VSM(虛擬密碼機，簡稱VSM，以下涉及虛擬密碼機均用VSM代替)，分配VSM的同時也會為接入企業用戶提供管理ukey，通過管理ukey才有登錄VSM及管理VSM的權限。
這樣，通過VSM接入企業用戶就可以自己設定數據加密秘鑰，包括加密秘鑰長度、加密秘鑰算法(支持國密、國際算法)實現對企業用戶自己的數據進行數據加密，整個數據加密的秘鑰、密碼機的管理完全由接入企業用戶自己管理。在SAAS服務進行數據查詢時，從數據庫讀取的數據加密數據，需要SAAS服務調用VSM解密接口，通過VSM實現對數據解密，通過SAAS服務前臺展示給用戶解密后的數據;在SAAS服務進行數據存儲時，需要SAAS服務調用VSM加密接口，通過VSM實現對數據加密，數據加密后存儲到數據庫;所以即使是SAAS服務提供商也無法看到數據庫中所存的數據的真實內容，這樣不論是攻擊業務系統的黑客、其它接入企業、SAAS服務提供商均不可能看到存在數據庫真實數據是什么，因為數據庫存放的數據都是接入企業通過自己設定的加密秘鑰進行加密后的數據，秘鑰只有接入企業自己才會有，也只有業務系統或者通過接入企業的秘鑰才能看到數據庫中存放的真實數據內容。這樣不僅保證了接入企業用戶的數據安全，同時也可以避免接入企業用戶對數據安全性的擔憂。
三、數據操作可審計
只有SAAS服務系統的嚴格權限管理、接入企業通過自己設定的加密秘鑰對數據加密可能還不夠，這時候接入企業同樣會問，如何確保其他接入企業、SAAS服務商沒有直連數據庫操作我們的數據?該如何解決接入企業在這方面的擔憂呢?
以上問題，需要構建完備的SAAS數據庫審計服務。通過SAAS數據庫審計服務，實現按接入企業進行數據庫審計，通過預先設定的數據庫審計規則(比如：指定的關鍵字、指定的數據庫實例等都可以)對針對接入該企業的所有數據庫庫操作進行審計，不論是來自業務系統的增、刪、改、查，還是直連數據庫的增、刪、改、查都會進行操作審計，所有的審計數據根據不同接入企業進行授權，每個接入企業可以隨時查看對企業自身數據的所有操作記錄。
通過SAAS數據庫審計服務使接入企業可以隨時掌握數據庫的訪問情況，不僅可以看到訪問數據庫使用的用戶名、訪問的源IP地址、執行的SQL語句、執行的操作對象等信息，同時也可以制定各類數據庫訪問情況分析報表推送到指定郵箱，便于接入企業進行數據訪問情況分析及統計。
通過嚴格的SAAS服務系統的嚴格權限管理、接入企業通過自己設定的加密秘鑰對數據加密、完備的SAAS數據庫審計服務不僅可以保證醫療SAAS服務數據安全，同時也可以避免接入企業對數據安全的擔憂，而且也利于醫療SAAS服務的推廣。
【本文是51CTO專欄作者“安全牛”的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】
