面對(duì)當(dāng)前日益復(fù)雜和瞬息萬(wàn)變的業(yè)務(wù)環(huán)境，掌控不確定性成了新的競(jìng)爭(zhēng)優(yōu)勢(shì)。敏捷性和前瞻性是未來(lái)成功的秘訣，只有智慧企業(yè)才能實(shí)現(xiàn)長(zhǎng)足發(fā)展。RISE with SAP乘云而上是一款全新的、綜合的數(shù)字化轉(zhuǎn)型加速包，幫助企業(yè)實(shí)現(xiàn)加速上云，向數(shù)字化智慧企業(yè)轉(zhuǎn)型。
本文將帶您全面了解SAP如何構(gòu)建多層次的網(wǎng)絡(luò)安全及數(shù)據(jù)隱私保護(hù)體系，確?？蛻?hù)云端數(shù)據(jù)的機(jī)密性、完整性、可用性；確保云服務(wù)網(wǎng)絡(luò)訪問(wèn)的安全性；確保SAP運(yùn)維服務(wù)的安全合規(guī)性。

S/4HANA Cloud, Private Edition（私有云版本）作為RISE with SAP解決方案包中的數(shù)字化核心組件，擁有On Premise本地版本的全部功能，覆蓋25個(gè)行業(yè)、 64個(gè)國(guó)家和地區(qū)及39種語(yǔ)言；支持客制化開(kāi)發(fā)和專(zhuān)家配置，具備足夠的擴(kuò)展性和靈活性，滿(mǎn)足企業(yè)的個(gè)性化需求。S/4HANA Cloud, Private Edition（私有云版本）采用單租戶(hù)模式，部署在Hyper Scaler（IaaS服務(wù)商，國(guó)內(nèi)使用Azure中國(guó)的數(shù)據(jù)中心）提供的公有云基礎(chǔ)設(shè)施上，由SAP提供一站式服務(wù)，用云運(yùn)營(yíng)快速實(shí)現(xiàn)價(jià)值、保障業(yè)務(wù)連續(xù)性，確保安全與合規(guī)的優(yōu)勢(shì)的同時(shí)，幫助企業(yè)以輕資產(chǎn)、低成本的模式發(fā)展和創(chuàng)新。

SAP安全政策及安全標(biāo)準(zhǔn)：SAP制定了跨組織跨業(yè)務(wù)線，全球統(tǒng)一的安全政策和標(biāo)準(zhǔn)，覆蓋安全的方方面面，這些政策和可落地的安全標(biāo)準(zhǔn)構(gòu)成了安全體系的“基石”。SAP以最高的隱私和數(shù)據(jù)安全標(biāo)準(zhǔn)構(gòu)建全方位，多層次的安全防護(hù)體系，為企業(yè)上云保駕護(hù)航。

1、數(shù)據(jù)安全

S/4HANA Cloud, Private Edition（私有云版本）具備以下數(shù)據(jù)安全特性：

• 單租戶(hù)架構(gòu)：每個(gè)租戶(hù)使用獨(dú)立的IaaS訂閱號(hào)，獨(dú)立的虛擬機(jī)，獨(dú)立的應(yīng)用服務(wù)器和數(shù)據(jù)庫(kù)，獨(dú)立的虛擬網(wǎng)絡(luò)，確保應(yīng)用和數(shù)據(jù)完全隔離，這也是S/4HANA Cloud稱(chēng)之為私有云版本的重要原因。同時(shí)每個(gè)客戶(hù)會(huì)默認(rèn)配置獨(dú)立的開(kāi)發(fā)環(huán)境，測(cè)試環(huán)境，生產(chǎn)環(huán)境三套系統(tǒng)環(huán)境，也可以按需增購(gòu)額外的系統(tǒng)環(huán)境。
• 數(shù)據(jù)加密：SAP HANA數(shù)據(jù)庫(kù)加密使用AES-256-CBC算法（256 位密鑰長(zhǎng)度）。各種加密根密鑰（數(shù)據(jù)卷、日志卷、備份、應(yīng)用程序）存儲(chǔ)在 HANA數(shù)據(jù)庫(kù)實(shí)例內(nèi)的實(shí)例安全存儲(chǔ)文件系統(tǒng) (SSFS) 中。加密使用的 SAP Cryptolib加密庫(kù)通過(guò)FIPS 140-2認(rèn)證。SSFS的內(nèi)容受SSFS主密鑰保護(hù)。
• 密鑰管理：在HANA初始安裝和版本更新期間生成唯一的加密根密鑰和主密鑰。主鑰匙也可以根據(jù)要求定期更換。密鑰管理遵循SOD權(quán)責(zé)分離原則。
• 傳輸加密：所有HTTP流量都受到TLS 1.2傳輸層加密和AES-256-GCM加密保護(hù)。
• 數(shù)據(jù)備份：生產(chǎn)環(huán)境每天進(jìn)行全備份，備份數(shù)據(jù)保留30天，每隔10分鐘還進(jìn)行日志備份。備份數(shù)據(jù)以加密的方式復(fù)制到異地?cái)?shù)據(jù)中心，即便主數(shù)據(jù)中心完全損毀，也同樣能保證數(shù)據(jù)安全。同時(shí)運(yùn)維團(tuán)隊(duì)定期開(kāi)展數(shù)據(jù)備份恢復(fù)演練，確保數(shù)據(jù)的可恢復(fù)性。SAP業(yè)務(wù)連續(xù)性管理通過(guò)ISO22301體系認(rèn)證。

2、應(yīng)用安全

• S/4HANA Cloud, Private Edition（私有云版本）應(yīng)用安全特性：
• 通過(guò)WAF防火墻，應(yīng)用網(wǎng)關(guān)，負(fù)載均衡器保護(hù)來(lái)自Internet的入站訪問(wèn)流量。
• 數(shù)據(jù)傳輸端到端的加密（2或SNC加密）。
• 提供SAP Cloud Connector云連接器，將SAP S/4HANA系統(tǒng)與其他SAP SaaS應(yīng)用安全的集成在一起（所有傳輸通過(guò)SSL安全隧道）。
• 使用SAP Web Dispatcher反向代理保護(hù)后端應(yīng)用，避免直接訪問(wèn)后端系統(tǒng)。
• 支持通過(guò)SAML、Kerberos/SPNEGO、X.509證書(shū)進(jìn)行身份驗(yàn)證，支持多因素訪問(wèn)認(rèn)證。

SAP應(yīng)用設(shè)計(jì)，原生就具備“多租戶(hù)”的特點(diǎn)，使用過(guò)SAP的用戶(hù)都知道，在登錄SAP的時(shí)候有個(gè)入口選擇即Client集團(tuán)。在SAP系統(tǒng)內(nèi)部，每個(gè)Client的用戶(hù)賬號(hào)和權(quán)限，業(yè)務(wù)規(guī)則及流程配置，業(yè)務(wù)數(shù)據(jù)都是相互隔離的。不同的Client的用戶(hù)完全看不到另外Client的信息。而底層和業(yè)務(wù)無(wú)關(guān)的技術(shù)配置，程序代碼等信息則是跨Client共享的。這樣的設(shè)計(jì)機(jī)制，就使得SAP運(yùn)維人員，只需要登錄000 Client就可以做運(yùn)維支持，而看不到客戶(hù)其他Cleint的任何業(yè)務(wù)數(shù)據(jù)。包含業(yè)務(wù)數(shù)據(jù)的Client100，由客戶(hù)掌管超級(jí)管理員賬號(hào)，并負(fù)責(zé)應(yīng)用相關(guān)的用戶(hù)及權(quán)限管理。客戶(hù)管理員用戶(hù)可以通過(guò)事物代碼SM20查看SAP審計(jì)信息，可以查看包括終端用戶(hù)以及SAP管理員賬號(hào)何時(shí)從哪個(gè)終端登錄系統(tǒng)，執(zhí)行了何種操作。通過(guò)這樣的職責(zé)分工，使得客戶(hù)可以監(jiān)督SAP的運(yùn)維行為，進(jìn)一步保障應(yīng)用安全。

3、網(wǎng)絡(luò)安全

• SAP在IaaS環(huán)境為客戶(hù)部署系統(tǒng)時(shí)候，為每個(gè)客戶(hù)創(chuàng)建多個(gè)獨(dú)立的IaaS訂閱號(hào)，用于部署專(zhuān)屬的SAP實(shí)例。在每個(gè)訂閱號(hào)內(nèi)創(chuàng)建客戶(hù)特定的虛擬私有云 (VPC) 或虛擬網(wǎng)絡(luò) (VNET)，以滿(mǎn)足系統(tǒng)/數(shù)據(jù)隔離的要求。在每個(gè)VPC/VNET中，將創(chuàng)建多個(gè)子網(wǎng)來(lái)隔離環(huán)境。
• 每個(gè)子網(wǎng)都配置有安全組或防火墻，并通過(guò)規(guī)則控制網(wǎng)絡(luò)流量。
• 客戶(hù)對(duì)VPC或VNET的訪問(wèn)只能通過(guò)專(zhuān)用的連接進(jìn)行（Site to Site VPN或MPLS專(zhuān)線）。默認(rèn)不允許從Internet訪問(wèn)。
• VNET/VPC和SAP管理網(wǎng)絡(luò)之間的網(wǎng)絡(luò)流量始終通過(guò)加密的 VPN 隧道傳輸，所有管理數(shù)據(jù)交換都通過(guò)TLS 1.2標(biāo)準(zhǔn)進(jìn)行加密。

從客戶(hù)網(wǎng)絡(luò)環(huán)境訪問(wèn)S/4HANA私有云環(huán)境，默認(rèn)只能通過(guò)安全的專(zhuān)用私有連接進(jìn)行。專(zhuān)用連接可以是Azure Express Route專(zhuān)線連接，或者Site to Site的 IPsec VPN連接。如果確有需要從Internet 訪問(wèn)，由客戶(hù)主動(dòng)申請(qǐng)之后，SAP可以啟用HTTPS公網(wǎng)訪問(wèn)，所有入站流量經(jīng)過(guò) WAF防火墻保護(hù)，并通過(guò)反向代理，確保后端應(yīng)用和數(shù)據(jù)庫(kù)不直接暴露到公網(wǎng)，保障網(wǎng)絡(luò)安全性。

4、運(yùn)維安全

為了應(yīng)對(duì)內(nèi)外部安全威脅，SAP構(gòu)建了多層次的網(wǎng)絡(luò)防御體系。Internet接入?yún)^(qū)部署了入侵檢測(cè)系統(tǒng)，配合WAF防火墻，網(wǎng)絡(luò)安全組，訪問(wèn)控制列表，以及DDOS清洗措施，可以有效抵御外部的黑客入侵。
SAP所有對(duì)客戶(hù)環(huán)境的運(yùn)維管理活動(dòng)，必須通過(guò)統(tǒng)一集中的賬號(hào)管理系統(tǒng)Central Cloud Access Manager (CAM)審批，并遵循最小化權(quán)限原則。運(yùn)維賬號(hào)強(qiáng)制使用多因素認(rèn)證，確保訪問(wèn)安全。運(yùn)維行為都要經(jīng)過(guò)特定的安全堡壘機(jī)，并與SAP企業(yè)網(wǎng)絡(luò)隔離，運(yùn)維活動(dòng)會(huì)留下完整的訪問(wèn)操作日志。獨(dú)立于運(yùn)維團(tuán)隊(duì)之外的專(zhuān)職安全審計(jì)團(tuán)隊(duì)，對(duì)運(yùn)維行為開(kāi)展獨(dú)立的審計(jì)檢查，以確保運(yùn)維安全合規(guī)。
SAP內(nèi)部安全團(tuán)隊(duì)定期對(duì)系統(tǒng)進(jìn)行漏洞掃描，同時(shí)SAP還聘請(qǐng)了第三方安全團(tuán)隊(duì)，定期進(jìn)行滲透測(cè)試，排除安全隱患。SAP制定了嚴(yán)謹(jǐn)?shù)陌踩a(bǔ)丁管理流程，并在實(shí)施補(bǔ)丁前和客戶(hù)進(jìn)一步溝通確認(rèn)，保證系統(tǒng)安全可控。

安全體系和安全架構(gòu)是基礎(chǔ)，持續(xù)專(zhuān)業(yè)的安全運(yùn)維和監(jiān)控是云安全的重要保障。SAP擁有專(zhuān)職的安全監(jiān)控團(tuán)隊(duì)，7*24小時(shí)不間斷運(yùn)行。SAP搭建了統(tǒng)一的中央安全日志系統(tǒng)，該系統(tǒng)可以實(shí)時(shí)收集各類(lèi)系統(tǒng)日志，安全日志，以及運(yùn)維人員的管理活動(dòng)日志。安全監(jiān)控系統(tǒng)具備預(yù)設(shè)的模式匹配和識(shí)別能力，并基于歷史數(shù)據(jù)進(jìn)行持續(xù)不斷的機(jī)器學(xué)習(xí)，能夠關(guān)聯(lián)分析不同系統(tǒng)的安全日志，并自動(dòng)化的識(shí)別攻擊場(chǎng)景，一旦確認(rèn)攻擊場(chǎng)景，立即發(fā)出警報(bào)。對(duì)于一些系統(tǒng)不能自動(dòng)判斷的可疑行為，將會(huì)執(zhí)行人工擴(kuò)展分析，以識(shí)別一些特別復(fù)雜的攻擊場(chǎng)景。收到報(bào)警之后，監(jiān)控團(tuán)隊(duì)通過(guò)評(píng)估和分析，按需觸發(fā)相應(yīng)的安全任務(wù)，例如通知安全運(yùn)維團(tuán)隊(duì)，對(duì)攻擊行為采取針對(duì)性的防護(hù)措施，比如說(shuō)凍結(jié)受攻擊的賬號(hào)，臨時(shí)停止部分服務(wù)等措施，從而保障系統(tǒng)安全。

5、合規(guī)審計(jì)

在SAP，我們根據(jù)行業(yè)標(biāo)準(zhǔn)以及合規(guī)性監(jiān)管要求建立安全體系，從而緊跟不斷增長(zhǎng)的安全需求。? S/4HANA Cloud, Private Edition（私有云版本）通過(guò)了多項(xiàng)安全認(rèn)證， 您可以訪問(wèn)SAP信任中心網(wǎng)站(點(diǎn)擊閱讀原文)，了解我們最新的安全認(rèn)證和報(bào)告。

6、總結(jié)

S/4HANA Cloud, Private Edition（私有云版本）為客戶(hù)提供單租戶(hù)環(huán)境，具備高度的擴(kuò)展性和靈活性。由SAP負(fù)責(zé)安全架構(gòu)，在機(jī)密性、完整性和安全性方面保護(hù)客戶(hù)核心信息資產(chǎn)。SAP一站式服務(wù)確保了系統(tǒng)端到端的可用性。SAP負(fù)責(zé)各層級(jí)的補(bǔ)丁及技術(shù)升級(jí)，確保了版本持續(xù)升級(jí)迭代，使得客戶(hù)能夠快速享受版本更新帶來(lái)的創(chuàng)新成果。許多安全任務(wù)，例如安全監(jiān)控、安全事件管理、獨(dú)立的第 三 方安全審計(jì)、24×7網(wǎng)絡(luò)防護(hù)等，都交給了 專(zhuān)業(yè)的SAP運(yùn)營(yíng)管理人員。從而使客戶(hù)能更專(zhuān)注于他們的核心業(yè)務(wù)流程，更快速的支持業(yè)務(wù)創(chuàng)新，在轉(zhuǎn)型為“智慧企業(yè)”的同時(shí)，降低總擁有成本。