論SaaS困境之數據安全

申請免費試用、咨詢電話：400-8352-114

    SaaS已經成為業(yè)界認同的一大趨勢。但是，幾年下來，SaaS在中國的發(fā)展仍然是舉步維艱。中國最大的管理型SaaS廠商的收入還沒有突破1000萬人民幣，與Salesforce的10億美元相比有著巨大的差距。這種差距產生的原因有很多，本報記者就當前用戶最為關注的數據安全性的問題采訪了SaaS自由評論人SaaS博士。以下為主要觀點。

    SaaS博士：無可否認，今天，任何一個SaaS廠家在尋找客戶的時候，最多和最先被質疑的問題是“客戶的數據如何被證明是安全的？”于是乎，聰明的SaaS們想出了種種說辭，證明用自己的服務器為客戶保管數據是多么的安全。最經典的說辭就是把自己的服務器安全與中國人民共和國******的安全相提并論。論據很簡單：******客戶的數據存在******的服務器是非常安全的，我們公司的服務器也可以做到同樣的安全，所以，用戶存放在我們這里的數據是安全的。說這些話的時候，SaaS廠家的代表的心臟一定加快了跳速，因為這是明顯的謊言，但他也不得不這樣說。明眼人一看就知道這是謊言。******是安全的，為什么？
    1、存款用戶到******開戶是需要本人持本人身份證現場辦理的，需要親筆簽名。
    2、******需要返還用戶防偽制作的存折，并讓用戶現場生成密碼。
    3、******是由國家正規(guī)武裝警察和軍隊守護的，出現問題要真槍實彈的抓人的。
    4、侵犯******數據的安全是有憲法規(guī)定的刑事重罪，以身試法代價高昂。
    5、用戶存入的現金實際是實物，數據只是實物的一種記錄，數據丟失并非實物丟失。
    6、******是國家貨幣發(fā)行的執(zhí)行單位，通過貨幣維持社會經濟秩序，數據安全不僅僅是******的事情。
    7、******有自己的機房和安全機制，任何外人無法接近。
然而，SaaS廠家的服務器怎不絕對安全，因為：
    1、用戶即使簽訂合同，也是與一個有限責任公司簽訂合同，如果出現嚴重問題，公司宣布倒閉也就一了百了了。公司法就是這么規(guī)定的，所以用戶的數據沒有法律的絕對保障。
    2、SaaS廠家實際采用的技術完全不是******通訊的技術，因為那樣的成本非常之高，例如發(fā)行CA認證證書。中國目前沒有任何一個SaaS廠家使用了CA證書。
    3、SaaS廠家的服務器一定只是租用商業(yè)IDC機構的機柜，有經驗的網管都知道，進入IDC機房很容易，能看到N多公司的服務器和把玩兒一下。 90%的SaaS廠家最多3臺PC服務器，還可能是DIY的。根本不可能備份或穩(wěn)定。 ******進入這些服務器易如反掌。
    4、用戶在SaaS廠家服務器的數據有N多的人可以很容易看到： 主程序員（一般2-3人，不可能只有一個人，公司老板不放心）；網管（一般2-3人，輪班），數據庫工程師（1-3人，這其中可能還有兼職維護員），SaaS廠家的CEO（他有看數據的一切權利）；業(yè)務部門（1-3人，他們需要研究用戶數據，分析用戶行為）；財務部門（1-2人，她們需要知道發(fā)出用戶帳戶和密碼，并以此計算公司收入）；WEB工程師（1-2人，用戶輸入帳號和密碼是要經過他們設計和制作的頁面程序，所以，他們隨時可以獲得任何用戶的帳號密碼）；
 客服人員（1-20人，他們有時需要幫助客戶進入帳號看看哪里出現問題），公司前臺（1人，他經手的信件可能是用戶合同，里面有帳號及密碼）。  什么樣的商業(yè)公司能夠教育他的如此眾多崗位的眾多員工保守這些數據秘密。
    5、更重要的是，這些數據即使被復制或泄漏，用戶和安全管理員完全無法察覺，因為并非實物的減少，也不會有任何統計數據的變化。 得到這些數據的人，可以銷售或利用這些數據獲得明顯的經濟回報，而非常不易被察覺，因為幾乎可以不留痕跡，也幾乎沒有針對性的法律條款約束，即使被發(fā)現并抓獲，也絕沒有像盜竊******數據那樣的罪名。犯罪成本并不高。

    6、有些不負責的SaaS廠家還會有地震、核爆炸、恐怖襲擊來恐嚇用戶要將數據異地備份，這顯然是唯恐天下不亂。用戶有必要為這些不確定因素承擔數據保管的成本嗎，即使發(fā)生類似事件，每個合同里都約定，這叫不可抗力，SaaS廠家同樣不承擔數據損害或消失的責任。 數據被盜和數據損害無法讀取或被誤刪不是一回事兒。
     7、SaaS廠家異口同聲說用戶自己的硬盤更不安全，這有點勉強。  安全與不安全是相對的，用戶自己的計算機也有不安全的可能，但相對將數據主動轉交到不安全的地方，那就是主動加大風險。

    結論是什么？結論就是SaaS廠家對客戶數據的保管和國家******在內容和形式上都完全沒有可比性，SaaS廠家無法提供客戶數據安全的保障，客戶數據安全隨時存在隱患。那么，是不是SaaS就無法存在了，就沒有數據安全解決方案了呢？當然有。解決SaaS業(yè)務需要的數據安全首先要看這些數據為什么一定要放在互聯網服務器內，因為不同用戶要在不同地理位置訪問這些數據，這是一些多用戶軟件的必要條件，大多情況下是管理軟件或多人游戲。 在有SaaS這個名詞前，人類一樣在遇到和解決這些問題，只要的手段是C/S軟件結合VPN實現。所以：
    1、如果是面向單個用戶的“單機版軟件”就不要限制用戶必須將數據通過或存儲在服務器上。這一點B/S架構是沒有希望了，S+S是很好的解決辦法之一。
    2、如果是協調工作的需求，那么可以將應用程序和數據分離。 也就是說，軟件負責計算和操作，而數據存放有網絡存儲商實現。軟件和數據存儲間沒有必然或固定的鏈接關系，例如，很多人都使用網盤，提供網盤的   公司并不知道用戶存儲的數據是用什么軟件編輯的，是用什么軟件加密的，是誰的數據，這數據是哪方面內容，等等。 至于技術上如何實現，那是架構師們研究的問題，據我的研究，已經有不少技術可以實現，只是他們并沒有以SaaS的名義炒作。
    3、SaaS廠家們還要談到一個數據交換和API接口的問題，那更是一個數據安全的大窟窿。   原本一個廠家掌握的數據，實現SOA和API后，就可能被N個廠商獲得，數據安全風險增加N的N次方，也就是幾乎沒有安全可言了。

    我建議那些那******例子來論證數據安全性的廠商就此收手，用戶不會認為你就是******。數據安全的問題更多的是人的問題，再沒有成熟的法律和市場環(huán)境下，很難得到徹底解決。在沒有更好的解決辦法之前，建議廠商多開發(fā)一些非敏感數據的SaaS應用，以避免損失。（德賽網）