转载：硅谷动力

　　【eNet硅谷动力专稿】来自国外网站的消息，市场研究组织Webroot公司正进一步融入软件即服务领域（SaaS）。该报道说，在未来几个月内，Webroot将在中小型企业（SMB）领域扩大其SaaS的努力，范围从从电子邮件到安全。通过网络传递给客户的数据将首先“绕道”进入Webroot公司，在那里进行病毒、间谍软件、网络钓鱼（phishing）扫描网络钓鱼以及URL过滤。

　　这是一项很有意义的举措，把SaaS与安全性完美的结合在一起。一般来说，SaaS给公司提供了他们所缺乏的专业知识。这给公司的安全部门带来了巨大的责任和压力。新的威胁和应对这些威胁的新方法正在以令人眼花缭乱的速度增长。专业的安全人员尚且很难跟得上这个发展步伐，更谈不上那些IT部门上人手不够并且超负荷工作甚至没有IT部门的公司了。

　　安全性问题正在被以越来越多的途径解决。反病毒业界三大巨头McAfee、Symantec、Trend Micro已经证实了SaaS安全性的概念。不过，SaaS并不是一个可以提供所有类型安全性的一个好办法。举例来说，入侵检测系统(IDS)从本质上讲始终需要一些现场设备。其它安全措施，比如安全漏洞防御（Exploit Prevention）和遵守监控(Compliance-Monitoring)，将越来越多地依靠局外人进行。

　　谷歌是软件行业的一个巨头，它已经看到了SaaS安全领域的巨大潜力。itwales.com表示，谷歌去年收购了Postini公司以后，已经具备了SaaS安全性方面的技术实力。现在，它已经推出了自己的SaaS工具，这些工具可以拦截垃圾邮件和病毒，防止数据泄露以及备份和归档电子邮件。

　　具有讽刺意味地是，虽然随着软件供应商日益将SaaS作为一个日益重要的发布安全性的方式，但是IT社区对于SaaS应用本身的安全性还是犹豫不决。或者换句话说，虽然厂商说SaaS是一个发布安全性的理想方式，IT界仍然怀疑非安全SaaS应用是否是安全的。这强烈暗示了SaaS社区必须采取两步走的策略：厂商必须肯定这种平台确实是安全的，并且他们必须培养潜在的客户并克服阻力。

　　Fairfax Business Research是一家市场调研机构，主要关注领域为环太平洋国家。最近，该公司对SaaS的安全性进行了一项调查，结果显示79％的受访者将安全性作为不使用SaaS的主要原因。几乎有一半受访者认为使用SaaS的话数据就有可能被窃取， 32％的人认为这些应用使用的数据太有价值因而不能通过非现场（off-site）方式装载，还有 35％的受访者担心在SaaS环境中，因特网的连通性问题可能对操作有干扰。Fairfax还提供了一些可以采取的步骤，以克服安全问题。

　　该调查还讨论了一些IT部门考虑SaaS时一般会问的问题，很大一部分是与安全性有关的。Rocket Matter公司是一家美国公司，SaaS厂商要求该公司采用128位的安全套接层（Secure Socket Layer）加密技术并且还要对密码进行加密。该公司还采用了威胁模型（Threat Modeling）和其它没有直接确定的措施。事实上，没有一个系统是完全安全的---无论是在互联网上还是在公司的数据中心里。但有一点是不变的，就是必须仔细询问厂商以确保他们重视安全问题，并且把这些东西设计到自己的产品中。

　　对于SaaS安全性来说，其潜力是无限的。虽然它不能满足所有类型的安全性问题，但至少对于很多安全性问题是一个很好的解决办法。不过，供应商们必须努力工作以消除目前普遍存在的观念：在网络上采取安全措施要比在企业内往里采取安全手段要不安全。