选型 · 测评
SaaS 安全合规 checklist
采购 SaaS 时安全审查不是走形式——数据一旦进了对方系统，删除按钮就不在你手里。这份 checklist 覆盖采购前必须确认的五个方面。
1. 账号与访问控制
- SSO 支持：SAML / OIDC 单点登录，员工离职一键回收
- 角色权限：管理员、普通成员、只读角色的边界是否清晰
- 审计日志：谁在什么时候改了什么，日志保留多久
2. 数据归属与导出
| 检查项 | 为什么重要 |
|---|---|
| 全量导出格式与频率 | 换供应商时能不能带走全部数据 |
| 删除机制 | 合同结束后数据是否真正删除、多久删除 |
| 数据驻留选项 | 数据存在哪个 region，是否满足监管要求 |
3. 合规资质
- SOC 2 Type II：流程性安全审计的基本门槛
- ISO 27001：国际通用信息安全管理体系
- 行业要求：医疗（HIPAA）、金融、教育另有各自要求
- GDPR / 个保法：涉及欧盟用户或个人信息处理时的合法性基础
4. 供应链透明度
- 子处理器清单：对方把数据交给哪些第三方处理，变更是否通知
- 渗透测试：是否定期做、报告是否可签 NDA 查看
- 漏洞响应：安全事件的通报时限承诺（常见为 72 小时内）
5. 实际验证动作
- 用测试账号走一遍「注册—授权—导出—注销」全流程
- 检查导出文件的实际内容是否完整（很多工具导出会丢附件/评论）
- 问清备份策略：RPO（能接受丢多久的数据）与 RTO（多久恢复）
分级建议
- 一般内部工具：确认 SSO + 导出 + 子处理器清单即可
- 涉及客户数据：全套 checklist 逐项过
- 核心生产数据：加上数据驻留与渗透测试报告审查
常见错误
- 拿过期报告当现状：SOC 2 Type II 报告有效期通常一年，过期报告不等于当前合规
- 只审安全不审可用性：SLA、数据恢复演练（RTO/RPO）是另一半，宕机损失不比泄露小
- 合同里没有子处理器变更通知义务：供应商换下游处理方你毫不知情
- 上线前从不测试导出：真要搬家时才发现导出丢字段、丢附件
结论：安全审查的重点不是对方的证书墙，而是「你能不能随时安全地离开」。签约前把导出与删除条款写进合同。