Shachaf Levi Intel IT 雲端與行動運算安全性工程師

Eran Birk Intel IT 首席工程師暨行動運算與雲端安全性架構設計師

Esteban Gutierrez Intel IT 資訊安全風險專家

Kenneth J. Logan Intel IT 資料保護工程師

Jac Noel Intel IT 安全性系統工程師

Nooshin Zand Intel IT 安全性系統工程師

Carlton Ashley Intel IT 企業安全性架構設計師

Thai Bui Intel IT 身分識別和存取工程師

Paul Matthews Intel IT 資料保護工程師

執行概覽Intel 各事業群對於軟體即服務 (SaaS) 應用程式的需求與日俱增，Intel IT 團隊

為因應這項需求，研擬了數項有助於提升 SaaS 安全性和保護 Intel 智慧財產權

的最佳實務。

SaaS 應用程式能提供效率和靈活度，還能節省成本及增強協同合作，尤其是

與供應商及客戶之間的合作。不過，SaaS 應用程式同時也帶來了安全性方面

的挑戰，因為這類應用程式通常是裝設於協力廠商基礎架構上，並且執行協力

廠商應用程式碼。

為將雲端風險降至最低，我們制訂了以下最佳實務：

• 研擬 SaaS 安全性策略並建置反映該策略的 SaaS 安全性參考架構。

• 在風險與生產力之間取得平衡。

• 實作 SaaS 安全性控制。

• 掌握技術發展。

根據我們的經驗，SaaS 安全性控制可分為以下幾種類別：

• 身分識別和存取管理控制。這類控制有助於確保只有具適當權限的使用者和

經過核准的裝置才能存取 SaaS 應用程式。

• 應用程式和資料控制。應用程式是連接資料的介面，必須經過註冊和評估，

才能判斷其是否合乎安全性規定。資料加密、Token 化和資料防漏技術能保

護資料，並協助偵測機密資訊的儲存或傳輸。資料控制可即時套用到雲端流

量或已儲存至雲端的內容。

• 記錄與監視控制。這類控制可協助我們偵測資訊安全違規事件、傳送警示給

負責的 IT 人員、啟動適當的回應，並修正違規狀況。

我們的 SaaS 安全性最佳實務能加強 Intel 的安全性、隱私防護和法規遵循。這

些最佳實務也能幫助各事業群迅速採用新的 SaaS 解決方案。

SaaS 安全性最佳實務：將雲端風險降到最低

白皮書

2015 年 10 月

IT@Intel

我們讓各事業群在採用

新 SaaS 解決方案時都能 「快速運作」，同時確保

安全無虞。

第 2 頁，共 11 頁IT@Intel 白皮書：SaaS 安全性最佳實務：將雲端風險降到最低

分享：

目錄

1 執行概覽

2 商業挑戰 3 解決方案

最佳實務 #1：研擬 SaaS 安全性策略並建置對應的參考架構

最佳實務 #2：在風險與生產力之間取得平衡

最佳實務 #3：實作 SaaS 安全性控制

最佳實務 #4：掌握技術發展

11 待探索的部分

11 結語

撰稿者

Jerzy Rub / Intel IT 資訊安全風險管理經理

Deanne Smith / Intel IT SaaS 安全性專案經理

Tarun Viswanathan / Intel IT 企業安全性架構設計師

英文字母縮寫

DLP 資料防漏

OTP 一次性密碼

SaaS 軟體即服務

SBI 資安商業智慧

SCIM 跨網域身分管理系統

SMACI 社交、行動、分析、雲端與物聯網

商業挑戰 以公有雲為基礎的軟體即服務 (SaaS) 已成為 Intel 使用的眾多商務應用程式 (包括辦公室應用程式及業務和行銷軟體) 共通的提供模式。1 因此，Intel 各事

業群、外部合作夥伴與客戶都需要 Intel IT 團隊提供雲端式 SaaS 應用程式的

支援。

SaaS 最適合用來因應有以下需求的情況：2

• 效率、速度和靈活度。各事業群希望能迅速採用新應用程式，還希望能快速

地更換服務供應商。

• 符合成本效益。採用短期授權，就有機會節省成本。

• 更完善的協同合作。各事業群希望能與外部客戶、供應商、原始設備製造

商、子公司和併購的公司協同合作。

採用 SaaS 是 Intel 社交、行動、分析、雲端與物聯網 (SMACI) 策略的一部分，

主要是依下列基柱而建立：

• 促使將各式各樣的資訊傳送到更多地方。

• 因應各種裝置與網際網路接觸點的增長，提供各種存取方法。

• 支援更多企業內部的自訂行動應用程式和服務。

• 在公有雲採用 SaaS 的標準應用程式。

1 雖然 SaaS 應用程式也有可能以私有雲為基礎，但本文接下來所提到的「SaaS」指的都是以公有雲為基礎的 SaaS。

2 軟體即服務不適用於某些使用案例，如處理最高機密文件。

第 3 頁，共 11 頁IT@Intel 白皮書：SaaS 安全性最佳實務：將雲端風險降到最低

分享：

解決方案Intel IT 團隊發現企業對於 SaaS 解決方案的需求日益增加，同時也確定了 SaaS 解決方案的商業價值。由於 SaaS 解決方案是裝設於協力廠商基礎架

構上，並且執行協力廠商應用程式碼 (二者都不在 Intel IT 團隊的掌控中)，因此會帶來資訊安全方面的挑戰。

本公司目前供應 250 個 SaaS 應用程式給 139,000 名使用者使用。我們根

據本身對於這些應用程式的使用經驗，研擬了一套最佳實務，希望能夠將企

業因使用 SaaS 應用程式而帶來的風險降到最低。

首先，我們針對 SaaS 的採用定義了一項策略，然後建置反映該策略的參考

架構，並判定該以何種方式評估風險和實作控制，藉以提升 SaaS 解決方案

的安全性，並且保護 Intel 的智慧財產。本公司致力於掌握技術發展，以確

保我們的參考架構擁有最優異的 SaaS 安全性。這些最佳實務能讓各事業群

「快速運作」，同時符合安全性原則及隱私權和法規要求。

最佳實務 #1：研擬 SaaS 安全性策略並建置對應的參考架構為了在企業中以安全的方式順利採用雲端式 SaaS 應用程式，我們先擬定了

一項 SaaS 安全性策略，這項策略可引導其他 SaaS 活動的進行。策略本身

包含五大步驟：

• 針對 SaaS、其使用案例及功能，為 IT 安全小組提供相關教育訓練。

• 識別供應商、租用戶和企業安全性控制、判斷殘餘風險，及取得業務單位

的認同。

• 瞭解如何計算及減緩風險。請參閱「最佳實務 #2：在風險與生產力之間

取得平衡」。

• 定義 SaaS 安全性控制的負責人員，然後再進行實作。請參閱「最佳實務 #3：實作 SaaS 安全性控制」。

• 在 SaaS 的生命週期執行安全性審查。請參閱「最佳實務 #4：掌握技術發

展」。

我們瞭解 Intel 內部對於 SaaS 解決方案的需求日益增長。因此，如表 1 所示，我們已建立 SaaS 實作標準。這些標準包含四種特性：靈活度、彈性、

安全性和可用性。

表 1. Intel IT 團隊對於軟體即服務 (SaaS) 的資訊安全支援策略特性

特性 詳細資料

靈活度 • 支援多種 SaaS 解決方案，大幅縮減採用其他 SaaS 解決方案所需花費的心力

彈性 • 支援大型 SaaS 部署

• 支援涉及 Intel 員工和外部人員及受管理與不受管理裝置的使用案例

安全性 • 建立控制與風險承擔之間的平衡

可用性 • 避免對重要的功能需求造成負面影響

• 無論使用者是從什麼位置使用何種裝置，都能提供簡易的整合式體驗

• 通用、可重複使用、設定簡單

四項最佳實務：充分降低採用 SaaS 做為企業商務應用程式提供模式時所面臨的風險1. 研擬 SaaS 安全性策略並建置對應的參

考架構

2. 在風險與生產力之間取得平衡

3. 實作 SaaS 安全性控制

4. 掌握技術發展

第 4 頁，共 11 頁IT@Intel 白皮書：SaaS 安全性最佳實務：將雲端風險降到最低

分享：

Intel 的 SaaS 安全性參考架構 如圖 1 所示，我們的 SaaS 安全性參考架構使用以下建構元件類別：

• 應用程式和資料安全性。透過各種技術和工具來協助保護企業和員工資料。

• 身份辨識和存取。身分管理、單一登入和多重要素驗證只是我們的驗證機制的一部分，我們透過驗

證機制來確認適當的人員可存取適當的 SaaS 應用程式。

• 法規遵循與控管。我們使用數種方法來符合法規要求，包括教導員工如何安全地使用雲端。此外，

企業控管的控制也會確保 SaaS 部署符合安全性原則和隱私權要求。我們也會對 SaaS 雲端服務供

應商進行審查，確認雲端服務的安全保障，及供應商能否證明自己符合業界標準。

• 裝置安全性。我們針對裝置管理建立了安全架構，其中包括裝置註冊與安全性控制。這些控制是以

裝置屬性與安全法規遵循 (也稱為裝置狀態) 為依據。

• 資安商業智慧平台 (SBI) 與安全性作業。此平台是我們資訊安全工作的基礎，支援記錄、監視、事

件回應和進階分析。

應用程式安全性

資料管理

資料防漏

金鑰管理

以政策為基礎的Token 化

傳輸加密

靜態加密

內容識別和分類

應用程式和資料安全性

安全 API

身分同盟

Saas 的單一登入

SaaS 授權

使用者驗證

SaaS 存取控管

身分生命週期管理

身分識別和存取管理

自動化架構

使用者行為

電子資料鑑識與蒐證 (eDiscovery)

管理控制

法規遵循與控管

裝置狀態

裝置註冊

裝置控制和保護

裝置安全性

資安商業智慧平台與安全作業

SaaS 安全性參考架構

圖 1. 我們的 SaaS 安全性參考架構包含以下類別的建構元件：應用程式和資料安全性、身分識別和存取管理、

法規遵循與控管、裝置安全性，及資安商業智慧平台與作業。

第 5 頁，共 11 頁IT@Intel 白皮書：SaaS 安全性最佳實務：將雲端風險降到最低

分享：

SaaS 安全性參考架構的優點

SaaS 安全性參考架構提供的安全性、隱私權和法規遵循是大型企業所需的

等級。

• 安全性。我們透過實作的控制提供較為安全的方式，能讓企業能夠順利使用 SaaS。從現在起，Intel 在採用 SaaS 解決方案的同時也能「快速運作」。我

們也降低了 SaaS 解決方案未經核准的使用、資料外漏或未經授權存取等風

險(請參閱「評估幽靈 IT 的風險」專欄說明)。

• 隱私權。我們的控制可保護員工的個人識別資訊，降低 SaaS 供應商和攻擊

者取得這類資訊的可能性。

• 法規遵循。我們的控管、風險管理和法規遵循措施皆有助於確保 Intel 符合法

規要求。

維持參考架構的靈活度

我們在建置 SaaS 安全性參考架構的過程中學到的重點之一，就是 SaaS 技術會

持續不斷地改變。可靠的 SaaS 安全性參考架構必須經常調整，以及能針對全

新和改良版解決方案持續發展的市場。安全性功能因供應商而異，不同的供應

商可能會針對檔案加密、驗證、記錄和修復工作流程等方面採取不同的策略。

因此，我們必須採用靈活的實作方法，並且在必要時修改架構。

最佳實務 #2：在風險與生產力之間取得平衡Intel IT 團隊致力於保護 Intel 的智慧財產和員工的個人識別資訊。舉例來說，

我們設立控制來對抗已知的惡意軟體、網路釣魚網站和軟體，並防止智慧財

產的損失。然而，我們並不想任意地封鎖服務和移動資料。我們也想要鼓勵

大家負擔個人責任，教育員工，讓員工瞭解相關風險及如何透過安全雲端行

為來減輕風險。我們希望讓使用者能夠瞭解風險，同時還能保持創新和維持

生產力。

我們就風險與生產力的平衡制定了一套方法，希望能夠達到適當的風險承受等

級。雖然風險似乎難以量化，但 Intel 已根據業界標準擬定方法，根據風險情

境下威脅、弱點和後果的影響來計算資訊安全風險。風險情境是由我們和主題

專家及資訊安全專家共同研擬而成。這些風險情境能讓我們衡量特定威脅代理

程式利用弱點或引發負面企業衝擊的機率。

評估幽靈 IT 的風險幽靈 IT 是企業中未受組織中央 IT 部門支援的硬體或軟體。在 SaaS 的範疇中，幽靈 IT 指的是員工在公司使用的私人技術，或是符合特定事業群獨特需求的專門技術，但該技術是由協力廠商服務供應商支援，而非企業的 IT 團隊。

幽靈 IT (亦稱為雲端亂象) 會造成效率不彰、功能重複，及業務相關決策未按組織正式控管程序制定，這可能會造成組織的法規遵循與控制出現缺口，同時也可能造成智慧財產與資料外洩。

Intel IT 團隊正致力於找出幽靈 IT SaaS 服務並給予適當的回應。我們的優先要務就是驗證資料並瞭解環境、掌控資料，及落實控管與法規遵循。為此，我們部署了幽靈 IT 偵測工具，這項工具可分析雲端 Proxy 和離線儲存庫掃描記錄、偵測整個企業的雲端應用程式使用狀況、為所有發現的雲端應用程式提供風險等級，及提供使用狀況分析。

我們減少 Intel 內部對於幽靈 IT SaaS 的使用，進而能找出透過供應商整合來節省成本的機會，並且以更完善的方式保護 Intel 的智慧財產。

第 6 頁，共 11 頁IT@Intel 白皮書：SaaS 安全性最佳實務：將雲端風險降到最低

分享：

例如，某個特定風險情境可能涉及重大威脅 (如已知的活躍惡意軟體傳播到整個網路上)，鎖定處理

重要個人資訊但容易遭受攻擊的應用程式和系統 (如未修補的傳輸層安全性)。如果攻擊者入侵成

功，這些資訊可能就會外洩 (後果嚴重性高)。這類情境就會被判定為高風險等級。如果在某個情境

下，威脅利用弱點的機率較低 (例如透過主動執行修補程式或實施嚴密的存取控制，進而縮減攻擊

面的情況下)，則風險可能就會屬於較低的等級。3

對於風險等級高的威脅，我們可能會徹底封鎖相關服務，或者併用多重控制來減緩風險。

最佳實務 #3：實作 SaaS 安全性控制若要以安全的方式在企業環境中支援 SaaS，就必須實作安全性控制。根據我們的經驗，大部分的 SaaS 安全性控制都和三大風險範圍中的其中一項有所關聯，如圖 2 所示：

• 身分識別和存取管理控制。透過結合數項控制來協助確保 SaaS 應用程式是由適當使用者在適當

的運算環境中存取。

• 應用程式和資料控制。資料加密和 Token 化有助於我們保護資料，而資料防漏 (DLP) 技術則有助

於確保機密資訊不會從 Intel 流出。對於某些使用案例，我們會併用加密和 DLP 技術來提升安全

防護等級。應用程式控制著重於註冊應用程式，及透過供應商評估或協力廠商驗證來模擬程式碼

稽核。在程式碼中使用 SaaS API 的 Intel 事業群應用程式也會受到審查。

• 記錄與監視控制。我們建置控制功能來偵測是否發生資訊安全違規行為 (也稱為異常狀況或事件)， 偵測到就會傳送警示給負責的 IT 人員、啟動適當回應，並修正狀況。

3 如需有關 Intel 資訊安全和風險評估的詳細資訊，請參閱下列白皮書：「掌控商務營運和資訊安全性風險的評估作業」、「使用資安代理程

式的風險評估功能來依序分析與過濾資安風險」及「瞭解網路威脅背後的動機以改善防禦機制」。

圖 2. 我們著重於三個面向的 SaaS 安全性控制：身分識別和存取管理、資料，和記錄與監視。

用戶端裝置 身分識別和存取管理控制

資料和應用程式控制

資安商業智慧平台

記錄與監視

身分提供者

使用者

密碼

雲端服務

雲端檢查

存取記錄

資料和存取事件

裝置流量 裝置流量

裝置流量

雲端 Proxy

第 7 頁，共 11 頁IT@Intel 白皮書：SaaS 安全性最佳實務：將雲端風險降到最低

分享：

以下三小節將提供 SaaS 安全控制各面向的詳細資料。最後一節將說明我們如何按照最佳實務 #3 根據風險等級來搭配控制。

身分識別和存取管理控制

控制的第一層就是管理身分。我們利用單一登入來改進使用者體驗。使用者登入後，我們會利用數

項服務供應商的工具來強制執行存取控制和多重要素驗證控制，藉此進行存取管理。這些控制遵循 Intel 離職前和最低權限控制，以維持可靠的運算環境。我們的整體目標就是讓 Intel 員工及其協同

合作夥伴能夠以簡單而安全的方式存取 SaaS 應用程式。

身分。最基本的 SaaS 安全性控制就是身分管理。如果 Intel 員工要存取 SaaS 應用程式，就必須在

自己的裝置上開啟瀏覽器視窗，然後以其企業身分登入。每位 Intel 員工都有一個身分 (使用者名

稱/密碼的組合)，他們可以用這個身分透過單一登入來存取多個應用程式。單一登入可提升安全性

與使用者體驗，由於員工不必記錄多組密碼，因此就不用透過書寫的方式將所有密碼記下來。

身分會由身分提供者來負責管理，身分可以是內部專用 (適用於 Intel 員工)，也可以是外部專用 (適用於存取相同 SaaS 應用程式的非 Intel 員工)。我們正著手開發一個混合模型，這個模型能讓我們

在 Intel 內部管理身分帳戶，然後再與外部身分提供者進行同步處理。

Intel IT 管理 SaaS 應用程式使用者帳戶生命週期的方式，和我們管理在企業網路上運作的所有企業

應用程式所用的方式一樣。Intel 實作整合式帳戶佈建架構，在 SaaS 應用程式中建立、更新和停用

帳戶。Intel 全面採用 SCIM (跨網域身分管理系統) 帳戶佈建標準，但這是以 SaaS 應用程式供應商

提供支援為前提。

存取控制和多重要素驗證。雖然管理身分非常重要，但若要提升 SaaS 安全性，也必須實作存取控

制。我們是透過註冊和授權工作流程來管理存取控制。我們運用申請/核准、以任務為基礎和以屬

性為基礎的程序來管理 SaaS 應用程式的存取。情境感知存取控制架構能將使用者群組成員資格以

外的要素列入考量，然後再授予 SaaS 應用程式的存取權限。

例如，我們可以經由網路位置來決定是否允許存取。在某些情況下，可能必須在使用者連線到企業

網路的情況下才授予存取權限；如果偵測到使用者不在網路上，則可要求進行多重要素驗證，進一

步確定身分。視 SaaS 應用程式而定，我們會使用各種不同的驗證工具；驗證程序會因使用的裝置

而異。

對於某些 SaaS 應用程式，使用筆記型電腦的員工可存取整合式 Microsoft Windows* 驗證，而使用

小尺寸規格裝置的員工則必須完成一次性的表單驗證。對於我們的線上辦公室、儲存和協同合作環

境，筆記型電腦使用者只有在其筆記型電腦可存取內部網路的情況下才能存取整合式 Windows 驗證；小尺寸規格裝置使用者則必須透過 VPN 來完成初次驗證。

第 8 頁，共 11 頁IT@Intel 白皮書：SaaS 安全性最佳實務：將雲端風險降到最低

分享：

我們的多重要素驗證相關作業還在進行中，而我們瞭解可用性是影響多重要素

驗證部署成功與否的重要關鍵。因此，我們考慮了許多能配合使用者運算偏好

和連線能力的選項(我們確定不會使用硬體 Token)。這些選項如下所示：

• 智慧型手機推播訊息一次性密碼 (OTP)• 智慧型手機和桌上型電腦 OTP 產生器 • 簡訊式 OTP 產生器 • 音訊回撥使用者驗證

我們打算持續調整多重要素驗證架構，隨著功能的演變進化，充分融合所需的

可用性與安全性。

應用程式和資料控制

雖然身分識別和存取控制能提供一定程度的安全性，但我們還是需要應用程

式和資料控制。應用程式安全性控制有助於確認使用 SaaS API 並支援企業的 SaaS 應用程式整合的程式碼是以安全的方式進行開發，而且遵循最佳實務。

使用者登入 SaaS 應用程式後，我們用來保護資料的方法便取決於該應用程式

的實作方式。不過，在所有的情況下，資料流量都會流經強制執行 IT 政策的雲

端 Proxy。該政策的存在是為了保護特定類型的資料及偵測未經核准的資料。

資料加密和 Token 化。有一種資料控制包含資料加密與 Token 化。資料會透過

加密金鑰進行加密，而資料會儲存在 Intel 內部。我們可以同時加密結構化資

料 (如資料庫中的特定欄位) 和非結構化資料 (如整體檔案)。我們採用的是混合

式的加密模型，部分加密作業是在內部進行，部分則是在外部完成。系統會根

據指定的時間間隔將加密金鑰推送到雲端 Proxy。金鑰只會儲存在 Proxy 環境

的記憶體中，而且會經過簽署，只有適當的租用戶可以使用。

如果需要 Token 化，某些欄位或資料元素的資料才能常駐，系統便會將這些項

目傳送到 SaaS 應用程式，做為實際資料的替換內容。Token 化的使用需要搭

配內部資料庫，因為系統會建立未加密的索引。Intel IT 團隊正針對 Token 化進行研究調查，確認日後是否可實際應用。

資料防漏。DLP 是另一種類型的資料控制，可協助我們防止傳輸包含特定資訊

類型的文件。DLP 有兩個層面：偵測和動作。偵測是指我們會尋找特定關鍵字

或詞語 (視 IT 政策而定)，如「最高機密」。如果我們偵測到禁用字詞，就會引

發適當動作，如通知使用者安全性原則和加密、隔離、刪除或取消共用文件。

多重要素驗證傳送至行動電話的驗證碼有助於提升 SaaS 安全性。

資料防漏的兩大層面

請查看您的行動電話

是否收到驗證碼：

代碼

您的 代碼：55555

動作

偵測

第 9 頁，共 11 頁IT@Intel 白皮書：SaaS 安全性最佳實務：將雲端風險降到最低

分享：

我們使用兩種 DLP 控制：

• 以 Proxy 為基礎的即時偵測。當資訊從 Intel 網路經由雲端 Proxy 傳至雲端

時，就會引發偵測和動作。

• 離線儲存庫檢查。這項工具是利用 SaaS API 來存取存放在雲端的資料。SaaS 供應端提供 API，讓我們能夠掌握誰開啟了檔案、對方是否變更檔案的任何

內容及其他活動。這個離線掃描引擎也能尋找關鍵字、個人識別資訊 (如身分

證字號和生日) 及內容標記 (如可識別專案名稱和資料分類的中繼資料)。

依據不同的使用案例，我們可使用其中一種 DLP 控制，或者同時併用兩種。

所有的 DLP 事件都會記錄到我們的 SBI 平台 (如需詳細資料，請參閱「記錄與

監視控制」)。使用任一種控制時，如果找到某個關鍵字，SBI 平台就會收到警

示，並對 SaaS 管理小組開立服務單，該小組隨即可判斷該做出什麼回應比較

適當。例如，您可以代替使用者移除檔案，如有需要，也可以加密、隔離或取

消共用該檔案。除了在有不當內容傳送至 SaaS 應用程式時對 SBI 平台發出警

示，DLP 控制也會傳送警示訊息給使用者，類似圖 3 所示。

根據風險等級搭配適當的控制

我們根據安全性評估和風險等級來搭配 SaaS 安全性控制，而不會在每個 SaaS 應用程式或每種使用案例都使用所有控制。圖 4 說明的就是這個概念。在此圖

中，員工透過用戶端裝置 (智慧型手機、平板電腦、二合一裝置或筆記型電腦) 存取兩種 SaaS 應用程式，分別為線上辦公室、儲存和協同合作環境，及業務

和行銷客戶關係管理工具。我們利用雲端 Proxy 搭配適當的控制，將使用者流

量透過路由至正確的 SaaS 應用程式。

圖 3. 離線掃描引擎如偵測到有不當資料傳送至 SaaS 應用程式，便可能傳送警示給使用者。

圖 4. 各個 SaaS 應用程式的風險等級皆不相同。某種應用程式可能僅使用身分識別和存取控制搭配離線資料防漏檢查；另一種應用

程式則可能同時併用身分識別和存取控制與資料控制，如加密和資料防漏技術。

寄件者：DLP SaaS Alerts寄件日期：2015 年 8 月 7 日星期五 21:38收件者：主旨：需立即處理：移除機密內容

<由系統產生>

需立即處理：請將您的 <SaaS 應用程式帳戶> 中的機密內容移除

資訊技術

請立即移除檔案，以免對 Intel 造成影響。

應用程式的存取安全性控制 解除限制區

用戶端

安全 BI 平台

加密金鑰

離線資料防漏檢查

SaaS 應用程式 2業務和行銷客戶關係管理工具

身分識別和存取控制

資料和應用程式控制

雲端Proxy

SaaS 應用程式 1線上辦公室、儲存和協同合作環境

身分提供者

使用者

密碼

多重要素驗證與單一登入

加密和資料防漏

身分識別和存取控制

身分提供者

使用者

密碼

多重要素驗證與單一登入

第 10 頁，共 11 頁IT@Intel 白皮書：SaaS 安全性最佳實務：將雲端風險降到最低

分享：

例如，對於線上辦公室、儲存和協同合作環境，我們在前端可能只會使用身分

識別和存取控制，在後端則使用離線 DLP 檢查。然而，對於客戶關係管理工

具，我們可能會加入加密和即時 DLP 控制來協助保護資料。

記錄與監視控制

我們所著重的第三個 SaaS 安全性控制面向就是記錄與監視。我們將 SBI 平台當成一個重點，透過這個平台進行記錄、監視、警示、回應資訊安全違規事

件，及使用進階分析來改善我們的資訊安全環境。系統會從雲端收集安全性記

錄和警示，然後將其饋送至該平台。可據以行動的警示會立即傳送給我們的 IT 安全性資訊與事件管理系統，以便進行事件回應和修復。系統會找出安全性資

料的關聯並加以監視，以偵測異常狀況。

我們運用偵測性的控制機制，針對多種異常狀況監視雲端流量，其中包括以下

項目：

• 使用者上傳或下載的資料量異常 (相較於其正常使用狀況)。 • 使用者在不合理的時間範圍內從兩個地區登入。

• 使用者試著執行某項工作，但其使用者權限無法執行該工作。

SBI 平台入口網站能讓相關人員輕鬆存取報告功能、自動化工作流程，及安全

性與事件管理系統。

最佳實務 #4：掌握技術發展我們已瞭解，正如同企業應用程式和資料正移至 SaaS，SaaS 安全性控制也正

移轉到 SaaS 模型。也就是說，有許多安全服務供應商目前是透過雲端主控其

服務，而我們希望能大幅擴充以 SaaS 形式提供的企業安全性功能。因此，我

們必須決定哪些 SaaS 安全性控制須繼續設置在內部，並在內部進行管理，而

哪些則須設置於外部並在外部管理。審慎進行 SaaS 供應商的評估，可協助我

們根據特定供應商的控制措施成熟度來制定這些決策。

不過，一次性的評估是不夠的，我們必須經常對供應商及控制措施進行評估，

因為公有雲 (尤其是 SaaS 價值鏈體系) 會持續不斷地變動與進化。我們認為

這樣的技術發展會維持一段相當長的時間。因此，我們會就安全性解決方案，

針對 SaaS 環境進行持續但週期較短的審查，以加強存取控制、資料保護和加

密，及裝置狀態。

報告

安全性資訊與事件管理

工作流程自動化

SBI 功能

第 11 頁，共 11 頁IT@Intel 白皮書：SaaS 安全性最佳實務：將雲端風險降到最低

Intel 技術的功能與優勢取決於系統組態，而且可能需要支援的硬體、軟體或服務啟動。效能會依系統組態而有所不同。任何電腦系統都不可能保證絕對安全。請洽詢您的系統製造商或零售商，或造訪 intel.com 深入了解。

本報告中提供的資訊為一般準則而非特定指示。其中提供的建議 (包括可能節省的成本) 是以 INTEL 的經驗為根據，並僅供評估之用。Intel 不保證其他公司會取得類似結果。

本文件提供的資訊與 INTEL 產品和服務有關。本文件並未透過禁止翻供或任何其他方式，授予任何有關智慧財產權的明示或暗示授權。除了 INTEL 在這類產品的銷售條款與細則所提供的內容之外，INTEL 不需負任何責任，此外，INTEL 無需提供關於銷售及/或使用 INTEL 產品與服務之任何明示或暗示的擔保，包括有關特定用途的適合性、適銷性，或是侵犯任何專利、版權或其他智慧財產權的責任或保證。

Intel、Intel 標誌是 Intel 公司在美國與其他國家/地區的商標。

*其他名稱與品牌可能業經宣告為他人之財產。

著作權 2016 Intel 公司。版權所有。印製於美國 請回收資源 0116/ERAI/KC/PDF

待探索的部分雖然我們針對企業使用 SaaS 應用程式制定了支援的最佳實務和安全性控制，

但我們也打算探索以下風險管理挑戰，這些挑戰的複雜度與日俱增：

• 整合：包括 SaaS 對 SaaS 的整合，及 SaaS 與企業應用程式的整合。

• 隱私權考量：尤其是在 SaaS 對 SaaS 系統上共用的個人資訊的法律複雜性。

• SaaS 對 SaaS 系統中高度機密資料 (Intel 最高機密或 Intel 限制機密) 與機密

性較低的資料 (Intel 機密或公開資訊) 的混合

• 安全性控制和使用者體驗的一致性 (無論應用程式裝設於何處)

由於 SaaS 價值鏈體系會持續成長茁壯，我們會開發控制功能及其他最佳實務

來解決這些方面的考量。

結語在許多企業使用案例中，企業應用程式的 SaaS 提供模式具有效率、速度、靈

活度、成本效益及協同合作方面的好處。Intel 內部對於 SaaS 解決方案的需求

與日俱增，Intel IT 團隊為因應這項需求，研擬了數項最佳實務，希望能將雲端

風險降到最低：

• 研擬 SaaS 安全性策略並建置反映該策略的 SaaS 安全性參考架構。

• 在風險與生產力之間取得平衡。

• 實作 SaaS 安全性控制。

• 掌握技術發展。

我們的 SaaS 安全性控制提升了 Intel 內部的安全性、隱私防護和法規遵循，

我們讓各事業群在採用新 SaaS 解決方案時都能「快速運作」，同時確保安全

無虞。

如需關於 Intel IT 最佳實務的詳細資訊，請造訪 intel.com/IT。

如需向公正客觀的專業人員請益，取得客觀且符合個人需求的建議，請造訪 advisors.intel.com。請填妥簡易表單，我們經驗豐富的專家就會在 5 個工作天內與您聯繫。

IT@Intel我們讓 IT 專業人士與 Intel 的 IT 同儕連結交流。我們的 IT 部門負責解決部分當下最為棘手又複雜的技術問題，所以我們希望與其他 IT 專業人士共同分享所獲經驗，透過開放式對等 (Peer-to-Peer) 論壇進行交流。

我們的目標很簡單：改善組織內部的效率，同時強化 IT 投資的商業價值。

請關注我們，並加入對話討論：• Twitter• #IntelIT• LinkedIn• IT 中心社群

請立即瀏覽 intel.com/IT 或與您當地的 Intel 代表聯絡，以取得更多資訊。

相關內容

請瀏覽 intel.com/IT 以尋找相關主題的 內容：

安全性

• 「利用巨量資料資安商業智慧快速偵測威脅」報告

• 「SaaS 安全性規則書」投影片分享

雲端運算

• 「雲端運算成本：利用混合模型實現節約」報告

• 「開發高可用性、動態混合雲環境」 報告

• 「運用資料匿名化 (Data Anonymization) 技術增強雲端安全性」報告

• 「邁向混合雲的私有雲和公有雲決策」報告

• 「規劃雲端中的電子資料鑑識與蒐證 (eDiscovery)」報告