SaaS ERP選型遭受六大安全問(wèn)題的拷問(wèn)

申請(qǐng)免費(fèi)試用、咨詢電話：400-8352-114

進(jìn)入2009年，經(jīng)濟(jì)危機(jī)風(fēng)暴席卷全球，企業(yè)倒閉、裁員之聲不絕于耳。許多中小企業(yè)為了節(jié)省開支不得不勒緊褲帶，但在精打細(xì)算的同時(shí)還必須尋求新的IT工具，以應(yīng)對(duì)這波及全球的經(jīng)濟(jì)寒冬。

據(jù) IDG預(yù)測(cè)顯示，2009年中將有10%的ERP軟件轉(zhuǎn)型為純SaaS。加上眾多媒體的熱烈討論，似乎SaaS ERP時(shí)代就快要到來(lái)了。但是在一路高歌猛進(jìn)的同時(shí)，在SaaS上方卻籠罩著一片烏云，就是讓人擔(dān)心的SaaS ERP安全問(wèn)題，也是SaaS ERP選型必須面對(duì)的第一關(guān)。

一、 安全性是進(jìn)入SaaS ERP時(shí)代的先決條件

SaaS ERP （軟件即服務(wù)）是一種通過(guò)互聯(lián)網(wǎng)提供ERP軟件的方式，是指由SaaS ERP提供商全權(quán)管理和維護(hù)軟件，客戶不再像傳統(tǒng)套裝ERP模式那樣需要花費(fèi)大量投資用于硬件、軟件、人員進(jìn)行系統(tǒng)維護(hù)，而只需支出一定的租賃服務(wù)費(fèi)用，通過(guò)互聯(lián)網(wǎng)便可以隨時(shí)隨地享受到ERP軟件使用、專業(yè)維護(hù)服務(wù)和后續(xù)升級(jí)。SaaS ERP徹底顛覆了傳統(tǒng)軟件的運(yùn)營(yíng)和交付模式，免除了中小企業(yè)購(gòu)買、構(gòu)建和維護(hù)基礎(chǔ)設(shè)施和應(yīng)用程序的巨大投資成本。在這個(gè)經(jīng)濟(jì)的冬天里，對(duì)于無(wú)力支付傳統(tǒng)套裝ERP高昂價(jià)格的中小企業(yè)來(lái)說(shuō)，SaaS ERP給了它們ERP應(yīng)用的新希望。

但勿庸諱言的是，SaaS ERP并不象有些服務(wù)商所說(shuō)的：“SaaS ERP應(yīng)用是和打開自來(lái)水龍頭就能用到水一樣方便”。SaaS ERP應(yīng)用在實(shí)施、服務(wù)和運(yùn)營(yíng)過(guò)程中遇到的問(wèn)題要比想象中的要復(fù)雜得多，而且它還可能會(huì)存在著較大的安全風(fēng)險(xiǎn)，如在可靠性、穩(wěn)定性、安全性上，尤其是在財(cái)務(wù)數(shù)據(jù)和隱私方面。因此，安全問(wèn)題是SaaS ERP選型時(shí)必須慎重考慮的一個(gè)大問(wèn)題。

簡(jiǎn)單的說(shuō)，SaaS ERP安全問(wèn)題實(shí)際上是SaaS模式能否完全滿足ERP應(yīng)用的安全和信任要求，包括安全、誠(chéng)信與穩(wěn)定性三個(gè)部分。這里的信任不僅僅只是數(shù)據(jù)安全和應(yīng)用安全，而且還包括能否隨時(shí)隨地的穩(wěn)定的訪問(wèn)，還有服務(wù)商的信譽(yù)與誠(chéng)信問(wèn)題。否則，企業(yè)是不會(huì)放心地把喻為企業(yè)生命線的ERP應(yīng)用構(gòu)建于SaaS模式之上的。因此，克服安全問(wèn)題是進(jìn)入SaaS ERP時(shí)代的先決條件之一。

二、 SaaS ERP選型必須考慮的六大安全問(wèn)題

隨著加入SaaS ERP陣營(yíng)的服務(wù)商越來(lái)越多，中小企業(yè)的選擇范圍也越來(lái)越大。然而，不管采用那種方法來(lái)選擇服務(wù)商，都不要忽略安全調(diào)查的重要性。IDG報(bào)告表示有2/3 以上參與調(diào)查的受訪者表示會(huì)把安全問(wèn)題作為SaaS ERP選型時(shí)重要的考慮因素，因?yàn)樵诎踩珕?wèn)題上，SaaS ERP的風(fēng)險(xiǎn)一般來(lái)說(shuō)會(huì)大于用戶在內(nèi)部自行架設(shè)軟件，而且對(duì)于企業(yè)內(nèi)部IT人員而言，外部式的SaaS ERP安全風(fēng)險(xiǎn)也頗難掌控。

（1）網(wǎng)絡(luò)傳輸安全和穩(wěn)定性問(wèn)題

目前SaaS ERP產(chǎn)品大都處于初級(jí)階段，產(chǎn)品的成熟度、穩(wěn)定性尚不足。許多SaaS ERP產(chǎn)品看起來(lái)很美，但有時(shí)中看不中用，并無(wú)想象中好。用戶在使用SaaS ERP軟件的過(guò)程中，是通過(guò)互聯(lián)網(wǎng)而非企業(yè)局域網(wǎng)來(lái)傳輸數(shù)據(jù)，這樣商業(yè)數(shù)據(jù)就會(huì)在互聯(lián)網(wǎng)上的客戶端瀏覽器和服務(wù)器端之間傳輸。因此，數(shù)據(jù)傳輸安全、客戶端安全和服務(wù)器端安全是三個(gè)大問(wèn)題。如何保證在網(wǎng)絡(luò)傳輸過(guò)程中數(shù)據(jù)的安全問(wèn)題，成為用戶關(guān)注的焦點(diǎn)。

同時(shí)，網(wǎng)絡(luò)的穩(wěn)定性也是另一個(gè)受到用戶關(guān)注的問(wèn)題，比如企業(yè)運(yùn)營(yíng)不能因?yàn)榫W(wǎng)絡(luò)的中斷或SaaS 主機(jī)被宕掉而停擺，網(wǎng)絡(luò)平臺(tái)必須保證網(wǎng)絡(luò)7*24小時(shí)安全可用。但網(wǎng)絡(luò)不穩(wěn)定性的變數(shù)很多，而且掌握在SaaS ERP服務(wù)商和網(wǎng)絡(luò)連接提供商手中，不能由企業(yè)用戶所能完全控制，存在風(fēng)險(xiǎn)高安全低。因此，網(wǎng)絡(luò)傳輸安全和穩(wěn)定性成了是SaaS ERP 選型第一個(gè)頭痛的問(wèn)題。

（2）災(zāi)難恢復(fù)時(shí)間和服務(wù)水準(zhǔn)問(wèn)題

說(shuō)到安全性問(wèn)題必然會(huì)涉及災(zāi)難恢復(fù)時(shí)間和服務(wù)水準(zhǔn)問(wèn)題。因?yàn)閷?duì)于大多數(shù)企業(yè)來(lái)說(shuō)，當(dāng)一個(gè)托管型SaaS ERP應(yīng)用出現(xiàn)了故障時(shí)，業(yè)務(wù)人員可能在幾分鐘或者幾小時(shí)內(nèi)無(wú)法工作，簡(jiǎn)單的損失還可以勉強(qiáng)接受。但是如果托管的SaaS ERP應(yīng)用系統(tǒng)突然崩潰了，一些對(duì)企業(yè)來(lái)說(shuō)至關(guān)重要的核心功能，比如制造或物流運(yùn)輸就有可能出現(xiàn)停頓。更嚴(yán)重的話，可能會(huì)對(duì)財(cái)務(wù)業(yè)績(jī)?cè)斐蓸O大的影響。因此，災(zāi)難性安全恢復(fù)時(shí)間就是一個(gè)大的核心問(wèn)題。

如果SaaS ERP服務(wù)商的銷售代表根本不知災(zāi)難恢復(fù)時(shí)間和服務(wù)水準(zhǔn)為何物的話，那么還是趕緊另尋別家吧。如果服務(wù)商聲稱其服務(wù)具有“五個(gè)九”（99.999%）的系統(tǒng)可用時(shí)間，那也不能輕信其一面之詞，必須看它的安全災(zāi)難恢復(fù)白皮書。當(dāng)然，企業(yè)最好還應(yīng)當(dāng)要求服務(wù)商對(duì)災(zāi)難恢復(fù)時(shí)間和災(zāi)難恢復(fù)水準(zhǔn)出具書面承諾。

（3）數(shù)據(jù)存儲(chǔ)保護(hù)和備份安全問(wèn)題

SaaS ERP服務(wù)商的數(shù)據(jù)安全采用什么存儲(chǔ)保護(hù)模型、采取了什么備份復(fù)制策略，也是企業(yè)在選型時(shí)應(yīng)最為關(guān)注的問(wèn)題，簡(jiǎn)單的說(shuō)就是數(shù)據(jù)存儲(chǔ)是否安全。例如，SaaS ERP服務(wù)商存儲(chǔ)數(shù)據(jù)的安全保護(hù)方案是否有能力抵御互聯(lián)網(wǎng)黑客和病毒的攻擊，因?yàn)樵谛侣劽襟w上時(shí)不時(shí)會(huì)聽說(shuō)到黑客可以隨時(shí)破解并進(jìn)入數(shù)據(jù)服務(wù)器獲取數(shù)據(jù)，或受到病毒攻擊而受到數(shù)據(jù)損壞或丟失，這些聽起來(lái)好像都很可怕，當(dāng)然也就更讓用戶擔(dān)心他們的商業(yè)數(shù)據(jù)安全問(wèn)題了。

另外，SaaS服務(wù)商提供了什么樣的數(shù)據(jù)備份機(jī)制也是選型的核心問(wèn)題之一。一旦出現(xiàn)重大問(wèn)題時(shí)是如何恢復(fù)數(shù)據(jù)的？有沒(méi)有業(yè)務(wù)連續(xù)和災(zāi)難恢復(fù)保障策略？有沒(méi)有實(shí)現(xiàn)災(zāi)難異地恢復(fù)方案？其中，在解決和處理數(shù)據(jù)恢復(fù)和備份時(shí)，是否需要用戶中斷業(yè)務(wù)操作等。有些SaaS ERP服務(wù)商在做好應(yīng)有的保護(hù)措施時(shí)，還能同時(shí)提供給用戶自行備份服務(wù)，這些服務(wù)能夠讓用戶對(duì)其數(shù)據(jù)進(jìn)行訪問(wèn)和操作，當(dāng)然也就讓用戶更為放心。

（4）防滲透保護(hù)和安全隔離問(wèn)題

根據(jù)SaaS ERP模式的定義和方案，我們知道SaaS ERP和傳統(tǒng)自建的套裝ERP之間有一個(gè)重要的區(qū)別，就是標(biāo)準(zhǔn)的SaaS erp系統(tǒng)是多重租賃的，也就是多個(gè)不同的企業(yè)共用一套軟件和數(shù)據(jù)庫(kù)平臺(tái)。雖然是經(jīng)過(guò)隔離及保密技術(shù)，但其特點(diǎn)是多個(gè)企業(yè)同時(shí)使用。因此，有沒(méi)有嚴(yán)格的防滲透保護(hù)安全技術(shù)很重要，也是選型的關(guān)注點(diǎn)之一。例如，SaaS ERP應(yīng)用程序和數(shù)據(jù)有沒(méi)有安全隔離和防滲透保護(hù)策略，還有所有涉及用戶機(jī)密數(shù)據(jù)部分是否采用密文保存，即便是系統(tǒng)管理人員也無(wú)法得到原文。

（5）服務(wù)商的安全誠(chéng)信問(wèn)題

把企業(yè)營(yíng)運(yùn)資料全盤委托給服務(wù)商保管，還會(huì)遇到一些非技術(shù)性的困境，就是誰(shuí)可以保證機(jī)密資料不會(huì)被泄露。換句話說(shuō)就是：SaaS ERP服務(wù)商能否值得信任和服務(wù)商的誠(chéng)信問(wèn)題。SaaS ERP的特點(diǎn)是由服務(wù)商完成所有的系統(tǒng)維護(hù)，如果當(dāng)服務(wù)商提供服務(wù)時(shí)，技術(shù)人員可以很方便接觸到用戶商業(yè)數(shù)據(jù)時(shí)，這時(shí)就存在著用戶對(duì)SaaS ERP服務(wù)商的信任問(wèn)題。畢竟，我們?cè)谛侣劽襟w上經(jīng)?？吹皆S多技術(shù)人員因?yàn)閷?duì)公司的不滿而造成損毀數(shù)據(jù)、泄漏數(shù)據(jù)、出賣數(shù)據(jù)的事件。

SaaS ERP服務(wù)商信譽(yù)問(wèn)題可從兩個(gè)方面考察：一是服務(wù)商的誠(chéng)信程度；二是服務(wù)商有沒(méi)有部署規(guī)范化的安全管理制度。但不幸的是，許多調(diào)查結(jié)果顯示規(guī)范化安全管理制度是許多SaaS ERP服務(wù)商的安全軟肋。因此，如何保證在沒(méi)有客戶的許可下，SaaS ERP服務(wù)商不會(huì)查看或更改數(shù)據(jù)，用戶數(shù)據(jù)不會(huì)被非法泄露，是選型時(shí)一個(gè)不容忽視的問(wèn)題。

（6）是否有第三方監(jiān)理或相關(guān)資質(zhì)認(rèn)證

目前許多SaaS ERP提供商尚缺乏第三方監(jiān)督和相關(guān)權(quán)威的資質(zhì)認(rèn)證，這是SaaS ERP在安全保障問(wèn)題上的重大欠缺之一。許多SaaS服務(wù)商的安全保證只是自家的說(shuō)法，都說(shuō)滿足相關(guān)的法律法規(guī)監(jiān)管，是王婆賣瓜，自賣自夸性質(zhì)。因此，在選型時(shí)考察和驗(yàn)證第三方資質(zhì)認(rèn)證是最基本的動(dòng)作之一。

三、 評(píng)估服務(wù)商是否有安全意識(shí)的對(duì)策

SaaS ERP應(yīng)用給許多中小企業(yè)帶來(lái)了新的機(jī)遇，但同時(shí)也帶來(lái)更多安全性問(wèn)題的挑戰(zhàn)。因此，面對(duì)眾多的SaaS ERP服務(wù)商，如何評(píng)估其是否有安全意識(shí)是選型的一個(gè)核心環(huán)節(jié)。一般可從以下幾個(gè)方面進(jìn)行。

（1）考察服務(wù)商是否投入足夠安全專項(xiàng)資金

安全保障技術(shù)是需要不斷投入大量的資金，因此考察服務(wù)商是否投入足夠安全專項(xiàng)資金是一個(gè)簡(jiǎn)單而有用的方式之一。例如，考察服務(wù)商是否把SaaS ERP作為主營(yíng)業(yè)務(wù)方向，或考察服務(wù)商在安全保障方面的技術(shù)實(shí)力。因?yàn)橹灰?wù)商不斷在安全上投入專項(xiàng)研發(fā)資金，就能保證其安全技術(shù)的先進(jìn)性。

（2）考察服務(wù)商的安全信譽(yù)和資質(zhì)認(rèn)證

專業(yè)的SaaS ERP服務(wù)商可能比用戶更加注重安全信譽(yù)，因?yàn)椤鞍踩抛u(yù)口碑”是服務(wù)商的“飯碗”。就像在網(wǎng)上買東西，用戶需要看的是廠商所獲得的用戶評(píng)價(jià)和媒體的口碑。一般來(lái)說(shuō)，SaaS ERP服務(wù)商對(duì)安全信譽(yù)越是重視，對(duì)安全的持續(xù)投入也會(huì)越多，也可能會(huì)擁有更豐富的安全保障經(jīng)驗(yàn)。

但也要注意的是，有些服務(wù)商僅僅把SaaS ERP產(chǎn)品作為炒作的噱頭，當(dāng)作一條生財(cái)之道，并沒(méi)有投入足夠的資金在安全技術(shù)上來(lái)。因此，獲得一個(gè)權(quán)威、資信力強(qiáng)的SaaS ERP第三方認(rèn)證監(jiān)督機(jī)構(gòu)頒發(fā)的資質(zhì)證書，不但是確保SaaS服務(wù)商在執(zhí)行安全活動(dòng)的一種國(guó)際通行慣例，也是服務(wù)商在安全投入的信心保證。

（3）考察服務(wù)商的安全管理制度

評(píng)估SaaS ERP服務(wù)商是否有安全意識(shí)的最關(guān)鍵一點(diǎn)，就是要加強(qiáng)對(duì)服務(wù)商安全管理制度的深入考察。因?yàn)榧词筍aaS ERP服務(wù)商投入大量資金在硬件安全和軟件系統(tǒng)建設(shè)上，如果缺乏有效的安全管理制度也是會(huì)錯(cuò)漏百出的。評(píng)估包括SaaS ERP服務(wù)商是否建立了嚴(yán)格、規(guī)范的安全質(zhì)量監(jiān)控體系，以及是否擁有高水準(zhǔn)、多層次的專業(yè)安全工程師隊(duì)伍等。這既是每一個(gè)SaaS ERP服務(wù)商自身需要重視的問(wèn)題，也是中小企業(yè)選型SaaS ERP服務(wù)時(shí)的必檢事項(xiàng)之一。（IT168）