选择SaaS模式产品的中大型企业，核心数据有风险吗？

如果你是中大型企业，如果你的数据是核心机密、重要数据（如人才数据、薪酬数据、研发数据），请你务必保持以下警醒：

数据利益诱惑大，商家承诺不可靠，自我保护是王道！

为什么这么说？接下来我们从以下四个方面透过现象看“本质”。

一、SaaS的本质是什么？

首先，我们先思考一个根本性问题，SaaS模式的本质为了什么？

——帮客户节省成本吗？

——让客户更方便吗？

或许多少都有点。但你再反过来想想，为什么商家又要给你方便又要给你省钱？天下有那么好的事吗？

商家为了什么呢？当然是为了大数据。

所以，SaaS真正的本质是数据！

大数据的本质又是什么？价值，数据产生的巨大商业价值。

那么，SaaS厂商怎么获取数据？数据价值又怎么产生呢？这个问题想象空间很大，但也不难想明白，相信聪明的你不用指点也清楚内在的逻辑。大家想想，为什么目前中国的投资机构热衷于投资SaaS厂商？原因可能是多方面的，但核心原因是：因为数据能产生巨大的商业价值，因为SaaS厂商才能获取大量数据，因为资本是嗜血的。

使用过SaaS产品的细心用户会发现，很多SaaS商家会问你是否愿意共享数据？你肯定是回答“不愿意”，但是，请你想想，你真的有选择权吗？实际上，自从你把数据放在“他家”的那一刻，你就放弃了选择权。商家这样做只是给你制造一种安全的假象，让你感觉到你还是数据的主人。

使用SaaS的产品模式，如同是把自家的数据放在一栋别人家的私家别墅中，看起来漂亮、安全、方便、舒适，自我感觉还不错。但其实你对自己的这些数据没有监视力，没有控制权，没有选择权，没有发言权，更重要的是没有取证权（目前没有任何途径和方法可以取证，有人在窃用你的机密数据）。这样看来，你对你的这些数据还放心吗？

你的数据在他家，他想怎么用就怎么用，这是公开的秘密。就好比你把钱存银行，银行也会挪用你的钱，只是银行给了你利息，合法挪用。钱你可以选择社会共享提高利用率，对于你企业的机密数据，你愿意进行共享吗？企业经营是你死我活的残酷商业战场，企业数据一旦被竞争对手掌握，你还有制胜的余地吗？

这里引用一则新闻说明一个现象，你认为的隐私其实不再隐私：

2020年7月16日，《央视315点名50余款手机软件涉嫌窃取用户隐私》。

这只是冰山一角，99.9%的窃用行为你是查不出来的，国家也没那么多时间和精力去查。而假如你选择的产品是SaaS，那么你自己（企业本身）就完全没有取证权，没办法发现数据被他人窃用并获取利益的任何痕迹。因为这些数据的主动权完全控制在SaaS厂商的手中！

二、企业人才数据、薪酬数据对你重要吗？

现代企业的竞争，归根到底是企业人才的竞争，人才数据和薪酬数据是企业的核心机密数据，小微企业可能无所谓，但中大型企业呢？被竞争对手挖走一个关键人才，你会损失多少？最致命的是，你这个关键人才的所有详细信息已经完全暴露在外，而你浑然不知！

目前，SaaS厂商对数据价值的产生主要来源于两个方面：

一是单一高价值数据直接窃用（可能是企业行为也可能是个人行为，主要看数据价值有多大，诱惑力有多强，这基于一个前提，你根本无法证明这数据是从我SaaS厂商这里拿出去的，除非是大规模公开泄露），比如，把你企业一核心人才信息提供给你的竞争对手，你怎么发现？怎么取证？

二是对某类型数据综合分析窃用（这类行为你更加无法取证），比如，对你企业的销售岗位分析平均工资，然后，卖给你的同行或其它需要的企业，甚至是你自己（你不是也在买薪酬报告吗）。国内最知名的某HR SaaS厂商在它的招股说明书中清楚呈现，其卖数据报告的收入已经占了总收入的三分之一，这个你怎么发现？怎么取证？

企业如此重要的数据，一旦被泄露或者被竞争对手获取，对公司的损失不可估量，我们经常会看到，平台报道某些SaaS厂商由于内部管理不善而被员工破坏数据，或内部员工故意窃取数据，贩卖给有需要的人或者同行公司的事件。

三、其它可能的风险会发生吗？

3.1倒闭风险，中国SaaS行业发展不尽如人意

大部分人都认为，中国最终也会成长出像Sales Force一样的SaaS供应企业。但是，经过这么多年的发展，其现状结果可能并不尽如人意。Sales Force的当前市值是2000亿美元，与传统ERP软件龙头Oracle的市值不相上下，只是略低一点。而反观中国的SaaS企业中，广某达当前市值850亿元，某蝶国际当前市值850亿港元。两相比较，可以说是天差地别。更何况其他的SaaS企业依然挣扎在生死线上，可想而知，该行业能够做起来的寥寥无几。

当年堪称SaaS企业楷模的某客，坚持到2016年年中就崩塌了。先是停止免费，再是大规模裁员，而后是长达18个月的沉寂。等到它再度复出的时候，业内人士说得最多的一句话便是：“xxx客还活着啊”。兜兜转转7年后，它又站在了起始点。这一次，又做起了聚合OA、通讯等多样化功能的大CRM产品，但还是绕不开大厂的威胁，试问，它还能坚持多久？

某客的坎坷不是个例，只是中国原生SaaS厂商的缩影。

做了10年HR SaaS的某森，一直在融资，但从未真正盈利，核心战略几乎是每年调整一次，亏损却越滚越大，招股书显示，2019-2021财年，某森分别亏损为6.9亿元、12.7亿元以及9.4亿元，而从2021年4月1日至2021年9月30日的六个月内，它的亏损幅度进一步扩大，达到8.2亿元。经调整后亏损金额为1.69亿元、2.42亿元、1.08亿元和0.83亿元。

同样做CRM的某易历经了8年8轮融资，并模仿Salesforce栽到谷底后，发誓“不做Salesforce的中国翻版”；

而Salesforce最忠实的学徒某百客，最新一次的大新闻是2011年获Salesforce注资，此后在江湖甚少露面。

再比如近两天网传很热的、有关钉钉费用策略调整的事件：

虽然后续有钉钉官方回应此为不实消息，实际是钉钉内的一款项目管理功能把免费使用人数上限调整为10人，但也侧面说明，就算是SaaS大厂也在为了收入而不断调整经营策略。在官方阿里巴巴披露的财报显示，截至3月31日为止的2022财年，包含钉钉在内的阿里云增长速度同比放缓至21%，而在2021财年，阿里云的收入同比增长幅度为50.24%。

事实上，经营亏损本身也是SaaS企业的常态，大多数看起来风光无限、市值（估值）颇高的SaaS企业，要么一度陷入高亏损，要么如今仍未扭亏为盈。

SaaS服务厂商倒闭，并非不可能发生，一旦倒闭，除了不能提供服务、影响正常工作外，之前的重要数据将面临全部丢失的风险。

3.2宕机风险，企业陷入瘫痪状态

SaaS服务商承诺的停机率、服务恢复率以及处理问题的时间与实际情况会有很大出入。

SaaS行业充满了不确定性， 由于种种原因，如果SaaS供应商突然停止了服务，那么企业立刻就会陷入瘫痪状态。

3.3  质量监控体系缺失，SaaS模式当前在中国法律保护还不成熟

我国还缺少对SaaS服务供应商资信的评估。评估内容包括SaaS服务供应商能否建立严格、规范的SaaS服务管理体系，是否拥有高水准、多层次的专业服务工程师队伍，能否提供完整、专业的配套业务体系，以及能否建立及时、准确的服务质量监控体系。

我国还缺少建立SaaS电子政务项目第三方监理制度。这是规范我国电子政务外包行为和市场秩序，确保电子政务SaaS模式建设绩效的一种国行通行惯例。

我国还缺少制定实施SaaS模式的行政许可制度。对承租SaaS模式之下的电子政务工程和服务的企业实行行政许可，从而让那些经济、技术实力雄厚、信誉好、保密管理严格的企业获得资质而承包电子政务外包工程和服务。这样的服务商才能给企业带来保障，但要等到什么时候才能有这种保障政策，似乎看起来依然遥遥无期！

3.4  部署结构风险，网络依赖引起安全隐患

当然，以下这些风险除非你像国家某些重要部门一样，采取内外网结合的部署方式，否则，无法绝对防范：

外部网络不稳定性：不同于传统软件允许在局域网或单机上，SaaS是实时应用在互联网上，其应用的在线化特征使其对网络产生了严重依赖，一旦离开了外部网络，企业就不能正常获得服务，严重影响企业的运营管理。

系统集成：SaaS系统部署在企业外部，当需要与内部系统进行信息交互时，必须通过互联网才能实现，大大提高了对接风险；SaaS平台的开放性导致在对接时完全依赖云厂商的服务能力，对企业个性化的对接带来很大的限制。

病毒入侵风险：由于SaaS使用的是公用通信线路，一些人可能出于各种目的，而损坏网络设备，在网络上对系统进行黑客程序的测试、运行等入侵活动，对系统造成较大破坏。

平台漏洞：操作系统漏洞、公共组件漏洞每天都在发生，由于SaaS平台互联网地址是公开透明的，数据量大，影响的企业多。所谓“树大招风”，从便利性、投入产出价值比来说，黑客更加愿意第一时间攻击这些平台。

3.5数据控制力不足，数据可随意分享

SaaS应用中用户的数据保存在远端软件服务商的服务器中，用户对数据的直接控制能力有限，而且所有数据都是通过网络传输，信息数据随意分享风险大，由于权限控制不当，前员工可使用数据，数据链接随意分享、不受用户控制等现象时有发生。

研究显示，内部威胁是一个重大问题，平均有400个加密密钥通过内部人员共享的方式发给了任何收到链接的人。有1/5的SaaS资产通过内部共享连接被公开，很多员工甚至可以获取他们没有权限使用的数据。大约有8%的员工通过他们的个人账号对外分享了公司资产，让很多前员工也可以持续使用公司的数据。

研究发现：SaaS产品有1000-15000个外部合作者(包括供应商、承包商、客户、合作伙伴、潜在客户、媒体和分析师)可以访问企业数据。200-3000家外部公司，特别是第三方公司，可以访问企业敏感资产情况。而且，有18%的SaaS应用对外进行了分享，即使在删除用户后仍然能保持公开分享的状态。这些风险对企业来说，都是致命的。

《CIO杂志》就对此发出明确的警告：“SaaS模式看起来确实有很多便利，有些时候这些好处甚至会掩盖它自身的一些缺陷不足，比如在数据融合上面存在着巨大的挑战，无论是跟其他企业级应用的接口上，还是在数据源的接口上，这种挑战同时都存在。”

3.6互联网环境下应对能力弱，大规模泄密风险

由于互联网环境至今尚不完全成熟，给基于互联网平台的SaaS模式带来了安全性的大问题。

据IDC调研统计表明，时下全球大约四分之一的互联网应用服务提供商的网络安全和病毒防护措施达不到标准，同时存在着失信问题，IT服务公司人员不可避免会接触到重要数据、机密。所以，使用户对SaaS所谓的“数据大中心”应用模式的担心是不无道理的。

四、为什么西方国家的企业已经在“自建”数据中心呢？

　对于用户而言，租用SaaS主机上的软件、由服务商来管理，并把普通资料放在主机上，不会有什么忧虑，但对一些重要机密及数据，都会非常敏感。没有哪个SaaS商敢百分之百保证资料不会在传输过程中丢失或被入侵主机的黑客篡改、窃取，为病毒和破坏，或者因为程序的Bug 而不小心被其他使用者看到。众所周知，在网络环境中传播和存储，极易受到黑客、病毒攻击，造成公文失密、信息被盗、被删除或被改写等严重后果。其次，SaaS服务商的内部人员可能存有诚信、职业道德等问题，造成内部滥用，发生操作失误、人为破坏、内部作案等重大问题。

基于以上风险，虽然在美国虽然一些小微企业在软件采购上仍然采用租赁、外包模式（SaaS），但大多数美国中大型企业已正逐渐把数据中心拿回“家”来，自建数据中心，把软件部署在“自家的云服务器”（包含私有云和公有云）上。 这样既能保证企业重要秘密、数据的安全；又可以享受云和B/S部署的经济实惠，以及用户操作、升级、维护简单方便。

那么我们国内的中大型企业呢？在选择产品部署模式的时候，也应该将数据安全放在第一位，将自身核心利益放在第一位，参考最新的“美国模式”，美国企业走过的弯路、掉过的坑，我们完全可以绕开。

最后，以下几个案例事实，希望给正在用或正想用SaaS软件的中大型企业进行参考，引以重视。

HubSpot泄密事件：员工信息被泄露

2022年3月21日，HubSpot报告了发生在3月18日的泄密事件。恶意分子窃取了HubSpot一名员工用于支持客户的帐户信息，进而访问了HubSpot的多个权限帐户，并导出联系人数据。此前对有关事件的信息披露很少，因此对这类攻击的防范颇具挑战性。

注释：

HubSpot 是一家 B2B 的 SaaS 公司，成立于 2006 年，创始人是 Brian Halligan 和 Dharmesh Shah。在 8 年的时间里，它从零起步，成长为一家收入超过 1 亿美金的大公司，并且于 2014 年成功上市。在数字营销领域，HubSpot的网站在全世界的流量排名是第五位，在 SMB（中小企业）SaaS 市场上，它确实做到了主宰一方。

Kronos Private Cloud（KPC）saas服务公司遭勒索攻击事件

美国专门提供劳动力与人力资本管理解决方案的Kronos宣称其Kronos Private Cloud（KPC）saas服务发生故障，被黑客攻击当时劳务解决方案公司 Kronos 预计将面临持续数周的业务中断。过去了一个多月时间， Kronos公司saas平台仍未恢复正常运转，混乱仍在数百万人中蔓延。美国纽约城区超过两万名公共交通从业人员、克里夫兰市公共服务部门工作人员、联邦快递和全食超市员工以及全美各地大量医疗人员等均未能逃脱。

Kronos 的saas产品严重依赖于 Java，这也是 log4j 所基于的软件框架。据悉， log4j 漏洞使得黑客能够通过提升系统权限的方式执行恶意代码，但通常情况下，攻击者更倾向于从浏览器访问页面入手，因为此处用户代理中包含了纯文本命令。

震惊业界的 Log4j 漏洞

2021年12月初， Log4j 日志框架中一个严重的远程代码执行漏洞震惊了整个行业，可以说，近年来很少有其他漏洞具备如此震慑力。这种担忧源于这样一个事实，即该工具在企业运营（ OT ）、软件即服务（ SaaS ）和云服务提供商（ CSP ）环境中普遍存在。

1.4 跟踪178万亿次！“全球最大隐私泄露行为”曝光！

21世纪经济报道记者5月19日从爱尔兰ICCL官网获悉，在RTB系统中，欧洲和美国互联网用户的私人数据被发送到全球各地，且目前没有任何手段能够控制这些数据的处理方式。

有记录以来最大的数据泄漏

实时竞价系统Real-Time Bidding （以下简称“RTB”）通过在网站和应用程序进行幕后运作，跟踪互联网用户正在查看的内容，并记录用户接下来将会查看哪些网站。

科技公司在拿到这些隐私数据以后，能够建立相应的用户画像，以此来了解用户需要什么，正在了解什么，并推给相应的广告商以实现精准的广告投放。令人担忧的是，这种广告跟踪模式可能会暴露个人数据并用于识别个人信息，造成隐私泄漏。2021年，RTB产业在美国和欧洲创造了1170多亿美元的收入。

ICCL发布的报告显示，在欧洲，RTB每天公开376次人们的数据；平均而言，美国一个人的在线活动和位置每天被RTB行业曝光747 次。RTB跟踪和分享美国和欧盟居民在网上留下的数据，包括用户在查看什么以及用户上网时的真实位置，合计共跟踪分享178万亿次。