SAAS数据安全：国家标准与衍因智研云的领先实践丨附白皮书下载

2024-06-16 发布

近年来，随着云计算技术的快速发展，软件即服务（SaaS）在各行业的应用逐渐增多。为保障SaaS服务的安全性，国家制定了相关标准，以确保云计算服务的安全性和合规性。由中国通信标准化协会发布的T/CCSA 510-2024《云计算服务安全要求第2部分：SaaS安全能力要求》团体标准，已于6月1日正式实施，便是其中的重要举措之一。

作为首批入选信通院《数字医疗产品及服务高质量发展全景图》的平台，保护用户数据安全是衍因智研云的发展基石，在未来，衍因科技将继续致力于技术创新和安全管理，为客户提供更安全、更高效的SaaS服务，推动生物医药行业的发展与进步。

该标准的发布和实施，标志着国家对SaaS服务数据安全的高度重视，为SaaS服务商提供了明确的安全能力要求和实施指南。

标准解读

1.访问控制

SaaS平台根据用户身份、数据对象以及行为活动的特征对用户的访问进行严格控制，确保只有经过授权的用户才能访问相关数据和资源。

2.身份鉴别

SaaS平台通过用户身份标识进行有效验证，以确保用户能够以其授权权限进行安全访问，防止未经授权的访问行为。

3.数据保护

SaaS平台针对存储和传输数据的机密性和完整性提供保护措施，确保数据在传输和存储过程中的安全性。

4.安全审计

SaaS平台记录用户的访问和操作行为，并进行异常检测，以提供实时告警和事后追溯功能，确保平台的安全运行。

5.安全运行

SaaS平台利用云计算平台的基础安全功能，确保其自身安全运行，提供稳定可靠的服务。

6.安全策略管理

SaaS平台管理自身安全设置和安全属性，确保安全策略的有效实施和管理。

Q 我们为何选择SAAS而不是本地部署？

SAAS数据安全的优势

在企业数据管理方面，SaaS相较于本地部署具有明显的优势。通过探讨SaaS与本地部署在数据安全方面的不同，可以更好地理解SaaS的安全性。

1.存储位置的误区

许多人认为数据存储在本地更安全，然而这种观点并不全面。数据安全不仅取决于存储位置，还包括数据传输、使用、管理等多个环节的安全措施。例如，银行的数据安全措施非常严格，但仍然会有客户数据泄露的事件发生。这说明，数据泄露往往与存储位置无关，而是与数据管理的全过程有关。

2.SAAS的安全优势

SaaS产品通常具备更高的数据安全技术和管理机制。成熟的SaaS厂商会对用户数据进行全生命周期管理，包括数据生产、使用、传输、交换、存储和销毁等环节。通过专业的网络安全团队和技术团队，SaaS厂商能够提供更严格的加密措施和安全管理。

本地部署数据的局限性

企业自建本地机房的成本高昂，且在数据安全管理上存在诸多挑战。以下是本地部署数据安全管理的一些常见问题：

1.硬件成本

本地机房需要大量的硬件投入，包括服务器、路由器、防火墙、机柜、UPS电池等，这些硬件设备的采购和维护成本非常高昂。

2.软件成本

企业需要购买并持续更新数据管理软件、安全认证软件等，软件维护和升级费用也非常高。

3.员工成本

本地部署需要专业的运维工程师进行管理，这些员工的工资和培训费用也是一笔不小的开支。

4.其他成本

电费、网费、场地租金等日常运营费用，以及数据安全培训和认证费用，都是本地部署的额外负担。

对比来看，SaaS产品的数据安全管理费用通常包含在每年的账号费用中，企业无需额外支出。此外，SaaS产品由专业的服务商提供维护和升级，企业可以享受最新的安全技术和服务，避免了本地部署带来的高昂成本和管理难题。相较于担心企业数据存储在SaaS上的安全性，企业自身的技术能力和管理机制在业务场景中的数据安全管理反而更需要重视。企业需要关注数据安全的利益链条，制定严格的数据安全管理制度，确保数据在生产、使用、传输、存储等各个环节的安全性。

衍因科技在数据安全领域的优势

衍因科技致力于为生物医药领域提供人工智能科研协作平台和解决方案，在数据安全领域具有显著优势。依托阿里云底层系统，通过构建全面的信息安全体系，衍因智研云为客户提供了高水平的数据安全保障。

安全认证与技术实力

衍因科技通过了ISO27001信息安全管理体系认证，并部署了堡垒机、防火墙等设备，以保护系统程序及数据的安全。这些认证和技术措施确保了衍因科技在数据安全管理方面的领先地位。

数据分类与云端数据隔离

衍因科技建立了公共数据、企业数据、个人数据的分类分级确权授权制度，遵循“用户授权、安全合规、分类施策、最小够用、可用不可见”等原则，规范自身的数据采集、存储和使用行为。对于云端SaaS产品我们特别注意数据隔离的安全性，避免因代码缺陷导致数据泄露。

多租户技术规则

衍因科技的SaaS平台应用多租户技术规则，为普通客户提供共享数据库隔离数据架构，为定制客户提供独立数据库，确保不同公司客户的数据实现访问逻辑隔离，加强用户权限管理，合理配置用户权限，以保障平台内部数据安全。

数据共享与追踪管理

在大药企中，为了提高工作效率常常会数据共享，但效率与安全之间的平衡也需要把握，我们在内部的数据共享是有一定范围的，并且加强了追踪管理，实现效率与安全的平衡。

全面的数据安全管理

衍因科技在人员管理、公司制度、应急流程、日志审计等方面也进行了专业设计与管理，确保数据安全的全方位保障。由于数据存储多级加密，即使系统产品开发人员和运维人员也无法看到企业存储的明文数据。

分享一个冷知识

SaaS 产品厂商没有员工可以看到客户企业的真实数据,所以衍因科技的工作人员是无法看到任何客户的数据和隐私的。管理较成熟的 SaaS 厂商不仅对数据安全技术有非常严格的要求，比如有专业的网络安全团队和技术团队，有更加严格的加密措施等。除此之外，在人员管理、公司制度、应急流程、日志审计方面也有专业团队进行设计与管理。