安全牛評(píng)
根據(jù)派拓網(wǎng)絡(luò)2019年10月的調(diào)查報(bào)告，78%的中國(guó)企業(yè)完全依賴(lài)云供應(yīng)商提供的安全措施，顯著高于亞太地區(qū)的70%。而質(zhì)疑云服務(wù)商安全服務(wù)不夠充分的中國(guó)企業(yè)，僅有2%。相信隨著企業(yè)數(shù)字化轉(zhuǎn)型的深入，越來(lái)越多的企業(yè)用戶(hù)將開(kāi)始重視并獨(dú)立思考SAAS選型/建設(shè)中的安全性問(wèn)題，尤其是數(shù)據(jù)安全問(wèn)題。本文安全牛有幸邀請(qǐng)到國(guó)科恒泰（北京）醫(yī)療科技股份有限公司信息安全主管劉鳳寶，就關(guān)于建設(shè)安全可信SAAS服務(wù)展開(kāi)了探討與總結(jié)。
劉鳳寶，目前就職于國(guó)科恒泰（北京）醫(yī)療科技股份有限公司，任信息安全主管，主要從事集團(tuán)信息安全建設(shè)、規(guī)劃工作。
提起SAAS服務(wù)，大家并不陌生，近些年SAAS服務(wù)很火，涉及各行各業(yè)，比如安全行業(yè)、生產(chǎn)制造業(yè)、醫(yī)療行業(yè)等都有不同的SAAS服務(wù)。企業(yè)通過(guò)購(gòu)買(mǎi)SAAS服務(wù)免去了購(gòu)買(mǎi)軟硬件、建設(shè)機(jī)房、招聘IT人員等諸多工作，可以安心的專(zhuān)注在業(yè)務(wù)領(lǐng)域，不用再為底層的網(wǎng)絡(luò)架構(gòu)、信息系統(tǒng)建設(shè)、信息系統(tǒng)維護(hù)而煩惱。凡是有利就有弊，雖然SAAS服務(wù)有諸多好處，但對(duì)企業(yè)來(lái)說(shuō)如何保證自己的數(shù)據(jù)安全一直是企業(yè)最擔(dān)心的問(wèn)題。
在進(jìn)行SAAS服務(wù)項(xiàng)目推廣時(shí)，一些企業(yè)用戶(hù)會(huì)對(duì)SAAS服務(wù)數(shù)據(jù)安全性提出質(zhì)疑，比如如何確保企業(yè)用戶(hù)數(shù)據(jù)不被SAAS服務(wù)商看到、如何確保企業(yè)用戶(hù)數(shù)據(jù)不被其它接入的企業(yè)用戶(hù)看到、如何隨時(shí)可以查看到數(shù)據(jù)庫(kù)運(yùn)維記錄等，那面對(duì)這些問(wèn)題，作為信息安全支撐部門(mén)如何去解決接入企業(yè)用戶(hù)擔(dān)心的數(shù)據(jù)安全問(wèn)題呢？
要保證企業(yè)數(shù)據(jù)安全，基礎(chǔ)的安全建設(shè)是必不可少的，比如下一代防火墻、DDOS防護(hù)、WAF等，這些基礎(chǔ)安全建設(shè)先不展開(kāi)分析。
筆者認(rèn)為，如果要使企業(yè)安心的接入SAAS服務(wù)，避免接入企業(yè)用戶(hù)對(duì)數(shù)據(jù)安全的擔(dān)憂(yōu)，主要要從以下三個(gè)方面去進(jìn)行數(shù)據(jù)安全建設(shè)：
一、權(quán)限分配由企業(yè)自己掌握
一般開(kāi)發(fā)的SAAS服務(wù)需要有完善的權(quán)限管理功能，單獨(dú)為接入的企業(yè)提供權(quán)限管理功能，接入企業(yè)可以根據(jù)實(shí)際需求給人員開(kāi)放系統(tǒng)權(quán)限，同時(shí)SAAS服務(wù)需要具備權(quán)限功能修改、用戶(hù)訪(fǎng)問(wèn)等審計(jì)功能，為接入企業(yè)提供系統(tǒng)操作日志查詢(xún)功能，減少接入企業(yè)在數(shù)據(jù)安全方面的擔(dān)憂(yōu)。
除權(quán)限由接入企業(yè)用戶(hù)自行掌握外，我們提供的SAAS服務(wù)需要通過(guò)專(zhuān)業(yè)滲透測(cè)試服務(wù)商完成滲透測(cè)試，避免垂直越權(quán)、水平越權(quán)等權(quán)限問(wèn)題發(fā)生，由于接入企業(yè)都是同行業(yè)企業(yè)，如對(duì)外提供的SAAS服務(wù)有以上權(quán)限問(wèn)題發(fā)生時(shí)，也可能會(huì)使接入的企業(yè)數(shù)據(jù)被其他接入競(jìng)爭(zhēng)公司所看到，為避免此類(lèi)安全事件發(fā)生，SAAS服務(wù)上線(xiàn)前需要經(jīng)過(guò)嚴(yán)格的安全測(cè)試，尤其重要的是系統(tǒng)中各類(lèi)權(quán)限的測(cè)試。
二、對(duì)數(shù)據(jù)進(jìn)行數(shù)據(jù)加密
除了基本的在傳輸過(guò)程中通過(guò)https進(jìn)行數(shù)據(jù)加密傳輸，防止被網(wǎng)絡(luò)監(jiān)聽(tīng)竊取數(shù)據(jù)，同時(shí)為了減少接入企業(yè)對(duì)數(shù)據(jù)安全的擔(dān)憂(yōu)，同時(shí)真正保護(hù)接入企業(yè)的數(shù)據(jù)安全，在我看來(lái)對(duì)數(shù)據(jù)進(jìn)行數(shù)據(jù)加密是一個(gè)比較行之有效的數(shù)據(jù)安全解決方案。
針對(duì)SAAS服務(wù)進(jìn)行數(shù)據(jù)加密，（云密碼機(jī)需通過(guò)國(guó)家密碼管理局檢測(cè)認(rèn)證）可以稱(chēng)得上最優(yōu)的解決方案，云密碼機(jī)天生就是為解決SAAS服務(wù)場(chǎng)景的數(shù)據(jù)加密而生的?；谕晟频陌踩w系設(shè)計(jì)，用戶(hù)的應(yīng)用密鑰具備完善的生命周期管理，除指定用戶(hù)以外的任何人都無(wú)法訪(fǎng)問(wèn)。
SAAS服務(wù)商為接入SAAS服務(wù)的企業(yè)用戶(hù)分配VSM（虛擬密碼機(jī)，簡(jiǎn)稱(chēng)VSM，以下涉及虛擬密碼機(jī)均用VSM代替），分配VSM的同時(shí)也會(huì)為接入企業(yè)用戶(hù)提供管理ukey，通過(guò)管理ukey才有登錄VSM及管理VSM的權(quán)限。
這樣，通過(guò)VSM接入企業(yè)用戶(hù)就可以自己設(shè)定數(shù)據(jù)加密秘鑰，包括加密秘鑰長(zhǎng)度、加密秘鑰算法（支持國(guó)密、國(guó)際算法）實(shí)現(xiàn)對(duì)企業(yè)用戶(hù)自己的數(shù)據(jù)進(jìn)行數(shù)據(jù)加密，整個(gè)數(shù)據(jù)加密的秘鑰、密碼機(jī)的管理完全由接入企業(yè)用戶(hù)自己管理。在SAAS服務(wù)進(jìn)行數(shù)據(jù)查詢(xún)時(shí)，從數(shù)據(jù)庫(kù)讀取的數(shù)據(jù)加密數(shù)據(jù)，需要SAAS服務(wù)調(diào)用VSM解密接口，通過(guò)VSM實(shí)現(xiàn)對(duì)數(shù)據(jù)解密，通過(guò)SAAS服務(wù)前臺(tái)展示給用戶(hù)解密后的數(shù)據(jù)；在SAAS服務(wù)進(jìn)行數(shù)據(jù)存儲(chǔ)時(shí)，需要SAAS服務(wù)調(diào)用VSM加密接口，通過(guò)VSM實(shí)現(xiàn)對(duì)數(shù)據(jù)加密，數(shù)據(jù)加密后存儲(chǔ)到數(shù)據(jù)庫(kù)；所以即使是SAAS服務(wù)提供商也無(wú)法看到數(shù)據(jù)庫(kù)中所存的數(shù)據(jù)的真實(shí)內(nèi)容，這樣不論是攻擊業(yè)務(wù)系統(tǒng)的黑客、其它接入企業(yè)、SAAS服務(wù)提供商均不可能看到存在數(shù)據(jù)庫(kù)真實(shí)數(shù)據(jù)是什么，因?yàn)閿?shù)據(jù)庫(kù)存放的數(shù)據(jù)都是接入企業(yè)通過(guò)自己設(shè)定的加密秘鑰進(jìn)行加密后的數(shù)據(jù)，秘鑰只有接入企業(yè)自己才會(huì)有，也只有業(yè)務(wù)系統(tǒng)或者通過(guò)接入企業(yè)的秘鑰才能看到數(shù)據(jù)庫(kù)中存放的真實(shí)數(shù)據(jù)內(nèi)容。這樣不僅保證了接入企業(yè)用戶(hù)的數(shù)據(jù)安全，同時(shí)也可以避免接入企業(yè)用戶(hù)對(duì)數(shù)據(jù)安全性的擔(dān)憂(yōu)。
三、數(shù)據(jù)操作可審計(jì)
只有SAAS服務(wù)系統(tǒng)的嚴(yán)格權(quán)限管理、接入企業(yè)通過(guò)自己設(shè)定的加密秘鑰對(duì)數(shù)據(jù)加密可能還不夠，這時(shí)候接入企業(yè)同樣會(huì)問(wèn)，如何確保其他接入企業(yè)、SAAS服務(wù)商沒(méi)有直連數(shù)據(jù)庫(kù)操作我們的數(shù)據(jù)？該如何解決接入企業(yè)在這方面的擔(dān)憂(yōu)呢？
以上問(wèn)題，需要構(gòu)建完備的SAAS數(shù)據(jù)庫(kù)審計(jì)服務(wù)。通過(guò)SAAS數(shù)據(jù)庫(kù)審計(jì)服務(wù)，實(shí)現(xiàn)按接入企業(yè)進(jìn)行數(shù)據(jù)庫(kù)審計(jì)，通過(guò)預(yù)先設(shè)定的數(shù)據(jù)庫(kù)審計(jì)規(guī)則（比如：指定的關(guān)鍵字、指定的數(shù)據(jù)庫(kù)實(shí)例等都可以）對(duì)針對(duì)接入該企業(yè)的所有數(shù)據(jù)庫(kù)庫(kù)操作進(jìn)行審計(jì)，不論是來(lái)自業(yè)務(wù)系統(tǒng)的增、刪、改、查，還是直連數(shù)據(jù)庫(kù)的增、刪、改、查都會(huì)進(jìn)行操作審計(jì)，所有的審計(jì)數(shù)據(jù)根據(jù)不同接入企業(yè)進(jìn)行授權(quán)，每個(gè)接入企業(yè)可以隨時(shí)查看對(duì)企業(yè)自身數(shù)據(jù)的所有操作記錄。
通過(guò)SAAS數(shù)據(jù)庫(kù)審計(jì)服務(wù)使接入企業(yè)可以隨時(shí)掌握數(shù)據(jù)庫(kù)的訪(fǎng)問(wèn)情況，不僅可以看到訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)使用的用戶(hù)名、訪(fǎng)問(wèn)的源IP地址、執(zhí)行的SQL語(yǔ)句、執(zhí)行的操作對(duì)象等信息，同時(shí)也可以制定各類(lèi)數(shù)據(jù)庫(kù)訪(fǎng)問(wèn)情況分析報(bào)表推送到指定郵箱，便于接入企業(yè)進(jìn)行數(shù)據(jù)訪(fǎng)問(wèn)情況分析及統(tǒng)計(jì)。
通過(guò)嚴(yán)格的SAAS服務(wù)系統(tǒng)的嚴(yán)格權(quán)限管理、接入企業(yè)通過(guò)自己設(shè)定的加密秘鑰對(duì)數(shù)據(jù)加密、完備的SAAS數(shù)據(jù)庫(kù)審計(jì)服務(wù)不僅可以保證醫(yī)療SAAS服務(wù)數(shù)據(jù)安全，同時(shí)也可以避免接入企業(yè)對(duì)數(shù)據(jù)安全的擔(dān)憂(yōu)，而且也利于醫(yī)療SAAS服務(wù)的推廣。
