Bob Violino Charles

对于越来越多的企业来说，软件即服务（SaaS）已经成为使用重要业务应用程序的主要手段。从业务的角度来看，这种策略是可行的，因为它有潜在的好处：节约成本、提高了灵活性和更容易扩展，等等。

然而，任何基于云的产品都有安全风险。一家企业怎样确定其SaaS提供商的安全条款是否达到了自己的标准呢？

Gartner的副总裁兼分析师Patrick Hevesi解释说：“我们面临的挑战是怎样才能全面了解SaaS供应商为保护其基础设施、变更管理程序和事件响应过程所做的工作。”

据Gartner 2019年的一份报告，并非所有SaaS提供商都对其安全能力保持透明。报告称，企业应清楚地知道将重要的用户数据放到云服务中所要承担的风险，而且他们还不得不信任云服务提供商。

SaaS提供商很容易受到同样困扰着所有其他企业的很多恶意软件和黑客的攻击。这些威胁会影响使用这些服务的企业。把对你的SaaS提供商的评估过程集中在以下几个方面能够最大程度地降低这种风险。

1.检查SaaS补丁策略

高管们担心的一个问题是安全补丁。Asurion公司为智能手机、平板电脑和其他产品提供保险服务，该公司高级安全经理Bernie Pinto指出：“通常情况下，SaaS提供商在提供补丁方面会滞后，特别是如果他们是多租户的，而你的企业只是众多细分服务客户之一。”

2.检查SaaS与内部安全控制的一致性

通信设备公司西门子美国（Siemens USA）的首席网络安全官Kurt John认为，在评估SaaS提供商时，企业应了解的主要概念是安全控制职责的转变。使用SaaS产品要求安全部门把重点放在企业安全环境和SaaS提供商安全环境之间的接口上。……