钟世敏，李 尧，高智伟，程广明

（广州赛宝认证中心服务有限公司，广东 广州 510610）

基于信息安全选择企业级云服务商研究—以SaaS为例

钟世敏，李 尧，高智伟，程广明

（广州赛宝认证中心服务有限公司，广东 广州 510610）

文章着重研究了企业在选择SaaS服务时如何评估服务提供商的安全管理能力，旨在为企业选择各种SaaS服务时提供参考和指引。

云服务；SaaS；安全评估；信息安全

随着云计算关键技术的不断突破，中国企业级软件服务化（Software as a Service，SaaS）服务市场百花齐放，企业对SaaS服务的认可度进入快速上升的轨道，应用规模迅速扩大。然而，由于我国云计算标准体系尚不完备，保护个人隐私数据的法律法规、市场监管方式有待完善，各公司的SaaS产品的安全性参差不齐，部分SaaS产品存在较大的安全隐患。据易观智库2014年度的调查，在影响用户选择企业级SaaS服务的因素当中，产品的安全性和可靠性排名第二，比例高达87.2%[1]。

为了消除企业对SaaS云服务存在的安全风险顾虑，本文着重研究评估SaaS云服务及提供商的安全管理能力的第二方评估方法，旨在为企业选择SaaS服务时提供参考和指引。

1 用户主要关注的SaaS服务安全问题

用户关注的SaaS服务安全问题主要可以分为3类。首先是数据泄露或丢失问题。信息是企业的核心资产，如果发生数据泄露，公司可能遭受巨大损失、巨额罚款，还可能面临民事诉讼。因此，SaaS软件中的数据会不会丢失、被窃，会不会发生泄露是企业主要关注的问题之一。其次是云服务中断问题。……