托管的安全服务越来越被看作是一种切实可行的安全管理选择，其中部分原因是它们能减少安全部门的压力。通过软件即服务（SaaS）的方式，企业可以把维护安全技术的许多工作外包给服务提供商，还可以顺利引进一些新的特性和功能，并可在几乎任何地方进行配置和管理。

　　如果这听起来像管理领域的巨大变化，那么安全工作人员可能需要退一步仔细考虑采用SaaS模型对安全技术带来的全面影响。在本文中，我们将探讨一下为什么实际涉及的内容可能会比看起来的多，以及怎样评估和管理安全SaaS转变对IT基础设施和管理过程产生的影响。

　　SaaS评估：对转变进行管理

　　安全SaaS的优点很多，但是像各种新型管理方法一样，它们需要一定的成本。潜在消费者有几种方法可以最大限度地利用SaaS：理解转变到基于服务的模型所带来的影响，知道怎样识别一个成功的服务选项并且知道如何利用新兴技术的优势：

• 了解采用这种服务所带来的影响，包括最初的以及持续产生的影响。为了理解这种服务是如何影响正常业务过程的，你需要让服务提供商指导你的团队对整个服务采用过程进行全面的认识，并在签订协议之前进行试用。如果服务看起来很有前途，那么你还需要详细查明最初采购的详细过程，从开始一直到结束。如果可能的话，请通过参考其他消费者来验证供应商的描述，并向他们询问服务是否像预期的那样。如果不是这样，或者在服务失败、不按计划进行时，供应商没有指明应该采取哪些行动，那么请认真研究可能会出问题的地方，以及企业应该采取的应对措施是什么。你应该询问供应商（如果可能的话还应该参考其他消费者的意见），他们是如何处理变化来更新服务的。如果因为维护而需要中断服务，那么在SaaS服务级协议（SLA）中还应该定义“可接受的提前通知”等类似的条款。
• 知道如何衡量安全SaaS的优势。对于任何管理策略来说，如果不了解它可能造成的影响，那么就很难有充分的理由进行重大的改变。一旦这种服务被采纳，你如何知道自己能否从中获益？了解维护本地（on-premises）安全管理的总成本可以回答这个问题。你需要权衡“采用SaaS服务的成本”与“购买、维护以及对最终用户进行培训对实施本地安全技术所造成的影响”。请记住，这种衡量应该持续进行。在本地实施安全技术还意味着内部安全工作人员必须尽快了解最新的威胁，或者监管要求，这样做才能保证本地安全工具的有效性。而服务提供商可以替你做到这种程度，这通常也是SaaS模型的最大优势所在。 　　
• 重新审视供应商的稳定性。大家在选择供应商时都差不多，所以供应商的稳定性一直是一个需要考虑的因素。然而，有时我们还需要折衷考虑。尽管消费者喜欢有可信跟踪记录的稳定供应商，但是创新技术（通常有风险资金支持）也经常出现，因为它们可以满足市场需要，而稍微稳定的供应商则不愿去采用这种技术。对于瞬息万变的安全领域尤为如此。还有，消费者不该忽视这一点：新兴的供应商为了赢得市场并保持他们的业务，他们会更加积极地为个人消费者进行技术改进。这给SaaS带来了一个很明显的优势：当服务供应商做出一项改进，并给某位消费者带来好处之后，所有的消费者都会从中受益。然而，如果某个变化并没有多大价值，那么也可能会出现负面影响。在你做决定时，了解供应商对进行服务改进的态度，以及当变化出现负面结果时供应商会如何应对，如果再次咨询其他的消费者，将对你有较大的帮助。

　　SaaS评估：对SaaS服务级协议的几点思考（下）