SaaS爆发性增长拐点已至，如何构筑SaaS安全防线？

9月28日，由国际云安全联盟大中华区主办，上上签电子签约承办的“数字时代，SaaS安全护航企业合规经营”研讨会在线上召开。

本次研讨会邀请到CSA大中华区云应用安全工作组联席组长、公安三所检测中心副研究员陈妍，CSA大中华区专家陈皓，赢胜节能CIO&CMO&CDO张灏，上上签解决方案专家潘伟伟等专家解读CSA SaaS相关标准及报告，同时还将就标杆企业如何借助SaaS安全合规地开展业务、数据出境安全等热点问题进行分享。

云应用安全标准和测评

研讨会上，陈妍分别从云计算服务模式、云应用市场规模、云应用安全问题、云应用安全技术规范、云应用安全框架等维度解读了云应用的安全标准和测评。

目前，云应用安全主要面对数据泄露、删库跑路、非法访问等风险。为了使云应用厂商及租户面对安全问题时有参考依据，也帮助SaaS厂商提升产品的安全合规能力，2022年3月，CSA大中华区联合业内29家单位，31位专家，共同发布了业界第一个云应用安全类的标准——《云应用安全技术规范》（以下简称“标准”）。

该标准从云应用厂商及租户两个视角出发，对厂商研发安全的云应用、租户评估云应用的安全性具有指导价值，通过该标准认证可快速向租户证明云应用的安全性。标准重点关注租户的自助能力、差异化能力、定制化能力，以及云应用的实施安全、交付安全及服务安全，同时也将数据安全合规、隐私保护合规放在测评重要位置。

同时，CSA大中华区与公安三所联合发布基于《云应用安全技术规范》的CAST云应用安全可信认证，帮助SaaS厂商提升产品的安全合规能力，同时也可以节省SaaS客户选型时双方的安全评估成本，快速向云客户证明产品的安全性。

从云客户角度看2022年SaaS治理指南

陈皓在解读CSA《面向云客户的SaaS治理最佳实践》、《2022 SaaS 安全调查报告》两篇白皮书时分享的一组数据显示，SaaS的应用在近几年急剧上升，91%的组织在2019年使用了SaaS解决方案，SaaS应用程序将很快成为公共云服务的最大组成部分，许多业务应用程序正在过渡到仅使用SaaS的交付。

SaaS服务具备成本低、效率高等特点，采用SaaS对于企业的成功已经变得越来越重要，但目前SaaS安全还面对管理访问权限、数据丢失、错误配置等问题的挑战。

为此，他谈到对SaaS状态的期望，采用SaaS的组织必须采取必要的安全措施，包括建立健全的SaaS战略，制定和更新风险偏好声明，建立事件响应计划，并通过结构化的第三方风险管理程序进行彻底的尽职调查，以了解每个供应商的安全状况。SaaS提供商则必须考虑标准化安全流程，定义清晰的责任模型，对客户透明，并努力不断改进安全状况。

赢胜节能的产业探索

赢胜节能数字化转型及产业探索则是企业在云安全护航下实现经营变革与创新的最佳实践。张灏表示，从2010年上线数字化产品至今，公司已逐步搭建起了“智转数改”的赢胜数字宇宙。

他认为，SaaS应用及数字化转型是企业业务流程和商业模式的改变，在产融生态方面，赢胜节能提出了“一切业务数字化，一切数字业务化”的战略性理念，提出要重构产业链的模式，要做生态化的企业。同时，公司提出数字化的“三智战略”：智慧保温、智能制造和智慧产业。基于三智，公司制定出四化：要以客户经营个性化、研产销协同化、生产交付精益化以及管控服务集约化，来支撑整个三智战略的落地。

为了解决工业互联网的落地问题，赢胜节能提出两网融合：一是搭建了整个省级供应链平台，真正做到了产业上的产能开放共享；二是他们的定位不单单是卖保温材料，而是改变了整个保温领域的商业模式，未来有更多的可能。通过数字化转型及SaaS应用，张灏希望赢胜节能像东方雨虹一样，从制造商向行业服务商转型，成为全球性平台。

数智化签约的数据合规性探讨

契约是数字化转型的根基，潘伟伟表示，数字化社会遵循一切有数据、有记录、有事实基础上的实证。而电子签约则可通过把企业商业行为以合同签署为节点云化、数字化，从内部协同，升级到产业协同，进而实现社会化连接，形成跨组织的协同能力。

面对企业可能遭遇的合同管理数据风险，潘伟伟分享了个人信息处理方面的总体思路和个人信息处理规则两方面内容，他认为企业在处理个人信息方面的时候要建立全面性的思维。此外，潘伟伟在讲到个人信息保护的合规检查点和个人信息跨境提供规则中表明，企业需要进行合规检查主要有两点，必须点是用户的实名认证，而选择点则是档案采集，这两点对于个人信息保护的合规至关重要，其次就是个人信息跨境要满足“3+1” 的前提。潘伟伟还阐述了数据安全法是推动外部数据的储存保障，同时减少了对数据安全投入的成本。

潘伟伟还分享了合同数据生命周期安全管理的内容，从数据采集、数据传输、数据存储、数据处理、数据销毁这五点阐明了合同的循环生命周期。以好丽友电子合同为例，潘伟伟说明了未来电子合同的趋势是不可阻挡的，企业要适应时代的发展趋势，不断完善合同的签约方式，让企业有更多储存数据和处理数据的能力。

2025年中国企业软件市场规模有望达到1.1万亿元，企业级SaaS服务规模有望达到370亿美元。SaaS服务爆发性增长拐点已至，SaaS厂商及租户如何在研发与应用的过程中保障SaaS安全将是永恒的话题。研讨会从权威标准、云客户视角、云厂商视角以及企业客户最佳实践全面剖析了SaaS安全议题，为厂商及租户提供了宝贵的参考指南。