SaaS软件能保证数据安全吗？

时间：2023-04-02 18:06:01 | 来源：电子商务

时间：2023-04-02 18:06:01 来源：电子商务

这两年云办公、数据上云越来越火，确实很便捷，但是有很多人就像题主一样产生担忧：是否安全？尤其是一些个人隐私数据和商业数据！

坚果云作为一个专业的同步网盘，就从两个角度和大家谈谈“如何确保云存储数据安全”。

1. 选择安全级别高的云存储服务

可以从产品和技术，两个维度去考察和判断云存储服务商的安全性。

① 产品层面：是否有安全相关的功能设置？

• 个人账号的安全性

主要体现在我选择的云存储服务是否有二次验证？有没有异常登录提醒？

正是由于很多人的密码安全意识不强，密码设置过于简单或者所有平台都使用同一个账号密码，二次验证才显得格外重要。

我们知道，两个低概率事件同时发生的概率非常低。我们假设网盘密码被盗是一个低概率事件，二次验证码被盗是一个更低概率的事件，那么密码+验证码同时被盗的概率就是一个极低概率的事件了。这是一个非常简单的原理，也是二次验证在网银、电子支付等领域广泛应用的原因。

坚果云目前支持的二次验证方式有：微信验证码、谷歌身份验证器、短信验证码。

可以参考坚果云帮助中心：
如何开启和关闭手机身份验证？ | 坚果云帮助中心

• 团队数据的安全性：

对于企业用户来说，选择一款企业网盘产品时，需要考虑的角度是：是否可以帮助团队有效管理文件的权限？是否可以集中管理团队成员的权限？简单举几个例子：

（1） 权限管理：针对不同的员工设置不同的使用权限，如：此文件夹哪些员工可以有查看权限，哪些员工可以有编辑权限；当有员工离职时，可以进行离职人员文件交接等。

（2） 限制IP：如限制部分员工只能在公司IP地址登录云盘访问团队文件，以防止在异常地点登录，导致文件泄露。

（3） 远程擦除：管理员可以通过取消用户的权限，此时云端和本地的数据都会被删除。

以上只是举了3个例子来说明企业云盘服务的安全性产品设计，还有比如限制分享、禁止粉碎文件等。

具体可以参考坚果云官网的安全方案：
http://www.jianguoyun.com/s/team/security

② 技术层面：是否有安全相关的技术保障？

• 云存储服务商站点是http还是https

https则是http的安全升级版，由于使用http协议传输的文件都是未加密的，因此通过这种协议传输隐私信息是不安全的，而https则是通过ssl协议进行加密传输，就是说如果信息是通过https协议进行传输的，信息的内容就需要密钥来进行解读，即使有人在传输过程中劫持到了用户的信息，也会因为没有密钥而无法破解。但对于网盘服务商来说，采用https协议就显得尤为重要。使用网盘服务时，因为用户可能会使用其网站上传下载大量数据，采用https协议能有效防止用户数据和信息在上传时被恶意拦截或窃取。目前主流的网盘服务都是采用的https协议。

具体可以参考 @公子王停云 http 和 https 有何区别？如何灵活使用？

• SSL安全级别

SSL(Secure Sockets Layer 安全套接层),及其继任者传输层安全（Transport Layer Security，TLS）是为网络通信提供安全及数据完整性的一种安全协议。TLS与SSL在传输层对网络连接进行加密。（摘自：百度百科）

可以参考 @麦斯威尔 企业网盘哪个好？中的回答，参考Qualys SSL Labs的安全级别测评。

• AES加密和分块加密。

高级加密标准（英语：Advanced Encryption Standard，缩写：AES），在密码学中又称Rijndael加密法，是美国联邦政府采用的一种区块加密标准。（摘自：百度百科）AES加密算法是目前获得普遍认可的最安全的加密算法, 被军方和金融行业广泛使用。

有关分块加密，可以参考 @韩竹 在坚果云存储在服务器的文件（是否是分割的碎片？）是加密的吗 回答。

坚果云将文件打散成多个小块，再根据数据特征和用户身份，自动生成密钥，利用AES算法加密存储。加密密钥通过不可恢复的单向哈希计算得来，保证其他人无法访问用户数据。AES算法是目前获得普遍认可的最安全加密算法。

而且，坚果云通过了ISO27001信息安全管理体系认证以及等保三级！有能力保障数据安全：

https://www.zhihu.com/video/1399405339389845504

2. 养成安全的个人使用习惯

① 谨慎使用免费产品

国内大部分网盘运营商均宣传为广大用户提供免费的数据存储服务。但事实上，“免费的是最贵的”，缺乏良好的盈利模式和健康商业模式，投入安全性上的研发费用、维护费用也一定会受到影响。免费的空间对于用户的资料安全是相对没有保障的。

② 打开二次验证

每次登陆云盘，不仅需要输入登录密码，还需输入生成的一次性动态验证码。个人用户应该养成打开二次验证的习惯，企业用户管理员也可以强制每一个成员进行二次验证（强制验证）。可以参考：

[团队版]强制开启手机短信认证 | 坚果云帮助中心

③ 配合第三方加密软件

在 @冯伟知友的回答下，也有提到此方法。他所提到的偏向是将数据存储在云中，最好的方式是自己先加密后，再将加密文传到云上保存。但相较于这种方式，其实可靠的云盘服务商的技术都已具备当用户文件上传时即加密的功能，但多数的用户还是不放心。有这样的疑虑的用户可以再通过第三方加密软件再次的对于指定文件进行二次加密，文件通过两层的上锁，双层的加密保护。

可以参考坚果云和Boxcryptor的解决方案：
使用Boxcryptor加密坚果云文件 | 坚果云帮助中心

---

坚果云深知网络安全和隐私保护对云存储的重要性，离开了安全，再便捷的云存储也危机重重，对用户不具备价值。“便捷”和“安全”一直是坚果云追求的目标，我们也会一直努力实践和推进创新。