Black Hat USA 2000 - The truth about ASPs

這場會議由資深安全顧問Diana Kelly（Lockstar Developer）和Ian Pointer（JBOA Incorporated）主講，探討企業在外包業務數據給應用服務提供者時面臨的安全挑戰。ASP模式本身並無罪過，問題在於業務盈利目標優先於安全考量。

與傳統外包（如薪資外包給ADP、文件簽署給Verasign）不同，ASP將整個業務核心數據託管於第三方網路，用戶完全依賴陌生人。講者通過實例說明：詢問聯絡人管理服務商Jillian的安全措施，對方僅提出6個月前的審計證書。然而網路產業瞬息萬變，6個月已足以讓系統、軟體、安全模型發生巨大改變。審計員簽署報告後隨即失效，無法反映現狀。這說明僅依賴認證是不夠的。

應用程式架構設計最容易被忽視卻影響最深遠。許多ASP聲稱擁有防火牆、SSL連接就已足夠，實際上這只是表面安全。若應用程式代碼存在缺陷——如緩衝區溢出、明文儲存管理員密碼、直接數據庫登入——再堅固的作業系統也無法彌補。共享服務器模式帶來額外風險：競爾對手若使用同一ASP，可能通過篡改URL存取彼此資料。講者以房屋類比：水電煤應在建造時安裝，建成後再改造會造成混亂和高額成本。安全亦然。

物理安全往往被忽視。機房需要多層防護——生物識別、訪問記錄、雙因素認證、監控。但即使如此，若天花板延伸至真實天花板，攻擊者仍可爬過進入。敏感數據應進行物理審計。

員工與承包商構成重大風險。客戶需了解誰能存取數據、是否進行背景調查、員工是否在競爭對手兼職。許多急於擴張的ASP甚至不進行背景調查，甚至某律師事務所客戶發現ASP員工在競爭律所兼職。

灾難恢復與事件應變同樣關鍵。客戶需知道備份頻率、是否進行異地備份、業務中斷能恢復多久。更重要的是事件應變程序——發生安全漏洞時ASP會否主動通知？許多ASP隱瞞安全事件以保留客戶，故須在書面合約中明確要求通知義務。歷史案例如Eoys公司破產後出售客戶名單，違反隱私政策，遭FTC處罰。

政策執行常流於形式。許多公司制定安全策略卻完全不執行，如前空軍安全策略官所言，政策文件厚到可當門檔。政策需量化、可測、有監督機制。講者強調「權力分立」重要性——需有獨立第三方驗證ASP是否真正遵守承諾。

對ASP而言，購買責任保險表示認真態度。完美安全不存在，缺陷在所難免，但應以可控方式發生並有保險保障。同時應聘請外部安全專家進行代碼審查，將安全作為競爭差異化優勢進行行銷。信用卡公司已示範此模式，透過強調不出售客戶資訊進行行銷。

對客戶而言，應不間張提出尖銳問題、要求書面合約記錄所有承諾（可用性、覆蓋範圍、服務等級協議）、購買自身保險、定期進行第三方審計、驗證實際執行情況。聯邦貿易委員會對Eoys案例的處罰表明，政府開始重視此領域。講者強調，業務數據極為寶貴，若無法完全確保安全，寧可不外包。