你好,游客 登录 注册 发布搜索
背景:
阅读新闻

首席信息安全官们的SaaS安全标准清单

[日期:2014-08-03] 来源:CSDN  作者: [字体: ]

  

 

  在SaaS提供商提高安全标准(对客户可见并可控)之前,用户仍然需要控制潜在的合规风险。显然,将业务应用移出企业,安全是最大的问题。

  看不到用户活动、没有监控和限制访问控制,SaaS对首席信息安全官(CISO)来说很严峻,特别是合规责任。为了减少安全问题,安全团队(特别是企业)必须做很多工作,包括:

  积极参与采购,采取积极主动的态度并审核所有SaaS关系。

  充分意识到数据合规问题,它围绕着每个SaaS应用。

  拒绝不能提供足够可见度、活动监控或访问控制的供应商。

  SaaS安全标准清单

  SaaS还在起步阶段且发展迅速,提供商各不相同。因此,如果用户想评估第三方SaaS提供商的安全漏洞或能力,必须问对问题。例如:

  不同的访问控制是如何形成颗粒状的?

  显然,针对数据泄露,IT当前最大的问题是恶意或无意的误用用户凭据,特别是登录信息。因此,有效的数据保护需要了解用户活动,同样包括管理的变化。

  什么指标可用于报告?

  考虑下是否可以创建同时让首席信息主管、审计师以及董事会满意的报告呢?企业数据安全能否满足监管要求呢?它应该可以。

  问问自己,这样获取的数据能否方便的集成到内部监控工具以防止数据竖井。为了确保万无一失,必须同时监控企业内部和SaaS应用(从一个集中的管理面板)。

  最后,必须了解SaaS应用的业务,特别是涉及数据的。另外,必须知道应用是否处理客户的机密信息。这时就可以执行相关的合规清查。

  SaaS安全问题

  SaaS提供商需要保证用户不能查看彼此的数据。以下是SaaS的一些安全标准和措施:数据安全、数据局部性、网络安全、数据隔离、数据隐私、数据泄露、Web应用安全以及认证和授权。

  客户安全顾虑

  从行业角度来说,计算需要关注大量的属性,特别是安全方面的。起初,客户对安全期待非常高。他们不会允许数据被托管到共享环境。这意味着云提供商必须停止公有云方案,并专注于私有云。

  另外,客户都很关心遵从性和提供商是否符合审计标准(SAS 70、 SOC 2、SOC 3 和SSAE 16)。有时,他们希望能够检查物理设施,一些SaaS供应商不允许这样做。这是一个大忌。长远来说,让SaaS供应商控制的越多,风险就越大。但是,一旦你了解了需求,就可以和某个云提供商合作,使安全水平让人满意。

  SaaS安全维度

  云计算的安全性或许是如今最热门的话题之一。考虑到SaaS安全是多维的且关系复杂。因此,要着眼于更大、全局的环境(物理、应用、网络安全)。但是IaaS/PaaS连同扩展性、可用性、性能以及集成也需要考虑到。

  快速部署以及定制/回收/多租户是基于另一个维度,政策和程序则又是一个。因为基本上不可能在以上所有领域都做到最好,你可以根据用户的容忍程度来决定或定义安全。

  事实上,用户通常在全面考虑之后,选择适当的安全技术或机制,再定义自己的安全指标。因此,建议尽力尝试以提供云计算安全保障的最佳实践。

  云安全囊括了多个方面和工具。

  一些涉及的问题包括

  窃听设备(路由器、电脑、物联网设备等等);

  失败的变更管理;

  传输过程中的数据操纵和/或拦截;

  社会工程等

  内部人员的非法访问

  以上是一些(不是全部)领域。不像内部部署的应用和云,公有云又加入了两个安全点,即因特网和内部的(但外部管理)云。

  如今的第三方云供应商只向客户提供有限的信息。不幸的是,他们不能准确回答关于用户访问异常的问题。例如,SaaS供应商不能直接回答这个关键问题:“在组织里,谁可以修改权限?”然而,调查内部攻击时,这些信息很重要。

  另外,对于正确引导SaaS供应商简化客户报告,还缺乏行业标准。即使有日志数据,如果在格式上未达成一致,企业客户也面临着挑战以及高昂的集成过程。

  结论

  SaaS提供商任务艰巨,他们必须提高安全的可见性和可控性,使用户相信他们有能力管理潜在的合规风险。将业务应用移出企业,通常要损失安全。

  因此,首席信息安全官有责任减少安全问题。作为客户必须有一个安全清单,SaaS安全标准是如今的热门话题,SaaS供应商要赢得客户的信任必须解决这些问题。

收藏 推荐 打印 | 录入:574107552 | 阅读:
本文评论   查看全部评论 (0)
表情: 表情 姓名: 字数
点评:
       
评论声明
  • 尊重网上道德,遵守中华人民共和国的各项有关法律法规
  • 承担一切因您的行为而直接或间接导致的民事或刑事法律责任
  • 本站管理人员有权保留或删除其管辖留言中的任意内容
  • 本站有权在网站内转载或引用您的评论
  • 参与本评论即表明您已经阅读并接受上述条款