部署SaaS對(duì)TOC的影響分析

　　我們是如何得出數(shù)字的呢？我們不是簡(jiǎn)單引用廠商的營(yíng)銷(xiāo)白皮書(shū)或者分析師撰寫(xiě)的調(diào)查報(bào)告，而是使用來(lái)自四個(gè)來(lái)源的數(shù)據(jù)，算出了一家虛構(gòu)的中型公司HealthPlex Software的成本。我們還得到了經(jīng)驗(yàn)豐富的軟件集成商Bluewolf集團(tuán)的幫助，它幫助許多公司部署了SaaS和內(nèi)部部署軟件。Bluewolf為客戶(hù)部署的SaaS軟件超過(guò)1000套，它幫助我們深入研究部署基于服務(wù)的應(yīng)用軟件到底需要哪些成本。我們還提供了實(shí)際研究以及針對(duì)366名IT專(zhuān)業(yè)人員的深入調(diào)查。
　　概括地說(shuō)，部署許可CRM應(yīng)用軟件的資本成本和維持軟件運(yùn)行的費(fèi)用都大大高于服務(wù)模式。在部署后的第一年里，供105個(gè)用戶(hù)使用的許可CRM軟件包其成本比服務(wù)模式高出14萬(wàn)到17萬(wàn)美元。三年下來(lái)，成本高出9.5萬(wàn)到13.5萬(wàn)美元。
　　考慮到接受雜志調(diào)查的對(duì)象絕大部分提到較低成本是決定是否采用SaaS方案的最普遍的因素，這一結(jié)果具有特別重要的意義。但成本僅僅是評(píng)估軟件采購(gòu)的因素之一。正如讀者調(diào)查顯示的那樣，IT專(zhuān)業(yè)人員還沒(méi)有準(zhǔn)備全身心地?fù)肀aaS服務(wù)模式。實(shí)際上，只有3%的人表示，打算在接下來(lái)的24個(gè)月改用基于服務(wù)的銷(xiāo)售隊(duì)伍自動(dòng)化（Sales-Force Automation，SFA）應(yīng)用軟件。原因何在？事實(shí)很簡(jiǎn)單，說(shuō)到安全性和可靠性等關(guān)鍵問(wèn)題，許多人對(duì)服務(wù)模式根本就不放心。
　　在考慮采用SaaS的企業(yè)必須考慮到所有這些問(wèn)題。首先，評(píng)估及比較一下服務(wù)和軟件包各自的成本。不妨下載一份可以定制的電子表格（nwc.com/go/0305f1.jhtml），即可填入自己的數(shù)字。接下來(lái)，要了解部署SaaS帶來(lái)的種種影響。提供商宣稱(chēng)部署簡(jiǎn)單，但你的IT人員仍得處理好關(guān)鍵問(wèn)題，比如遷移數(shù)據(jù)以及集成新的應(yīng)用軟件與舊的業(yè)務(wù)流程。
　　部署前的考慮
　　正如后文“要不要采用SaaS”里面討論的那樣，HealthPlex Software需要比較微軟、Oracle和Salesforce.com的CRM應(yīng)用軟件。成本估計(jì)結(jié)果顯示，第一年的部署成本對(duì)SaaS應(yīng)用軟件有利。
　　先從規(guī)劃和設(shè)計(jì)說(shuō)起。首先要解決的問(wèn)題是，評(píng)估每個(gè)產(chǎn)品的功能。Bluewolf集團(tuán)的Eric Berridge說(shuō)，他平均要用兩周的時(shí)間找客戶(hù)洽談，評(píng)估SaaS和內(nèi)部部署軟件各自的功能。每周的咨詢(xún)費(fèi)為2500美元，共計(jì)5000美元。
　　一旦HealthPlex讓SaaS應(yīng)用軟件運(yùn)行起來(lái)、了解了功能，Berridge就會(huì)建議進(jìn)行差距分析（gap analysis），比較一下公司現(xiàn)有的要求與應(yīng)用軟件的功能。差距分析團(tuán)隊(duì)的成員包括：外部顧問(wèn)、HealthPlex的技術(shù)專(zhuān)家以及服務(wù)提供商的人員（該人了解該公司的業(yè)務(wù)流程，確保應(yīng)用軟件滿(mǎn)足用戶(hù)需求）。差距分析后會(huì)顯示局限性；可以向提供商購(gòu)買(mǎi)另外一種或多種應(yīng)用軟件的許可證，或者編寫(xiě)定制代碼，以此彌補(bǔ)局限性。
　　SaaS應(yīng)用軟件啟動(dòng)并運(yùn)行后，團(tuán)隊(duì)就能了解軟件的實(shí)際情況。這便于調(diào)查該軟件具有的功能和特性。相比之下，對(duì)內(nèi)部部署軟件進(jìn)行差距分析來(lái)得比較復(fù)雜。HealthPlex可以要求試用內(nèi)部部署軟件，但這意味著需要投入大筆費(fèi)用組建試用軟件所需的基礎(chǔ)設(shè)施。另外，差距分析團(tuán)隊(duì)專(zhuān)心閱讀編制的文檔，以便清楚了解軟件的功能和特性。
　　Berridge說(shuō)，內(nèi)部部署軟件的差距分析所需時(shí)間往往長(zhǎng)達(dá)服務(wù)軟件的兩倍。
　　接下來(lái)分析服務(wù)級(jí)別協(xié)議（SLA）和許可證協(xié)議。HealthPlex會(huì)請(qǐng)顧問(wèn)和內(nèi)部法律和IT部門(mén)的代表與SaaS提供商一起評(píng)審SLA。討論的SLA應(yīng)包括正常運(yùn)行時(shí)間保證；萬(wàn)一達(dá)不到這種保證，對(duì)方給予的賠償；以及用來(lái)度量正常運(yùn)行時(shí)間的機(jī)制。
　　HealthPlex打算加入要求服務(wù)衡量指標(biāo)更細(xì)化的條款，比如應(yīng)用軟件的響應(yīng)時(shí)間――60秒過(guò)后才更新用戶(hù)屏幕內(nèi)容的服務(wù)從技術(shù)上來(lái)說(shuō)仍是“正常的”，但用戶(hù)的生產(chǎn)力及滿(mǎn)意度會(huì)隨之下降。該公司將評(píng)審提供商的業(yè)務(wù)連續(xù)性功能。對(duì)方有應(yīng)急發(fā)電機(jī)來(lái)提供備用電嗎？對(duì)方在多個(gè)地域分散的數(shù)據(jù)中心提供服務(wù)嗎？
　　至于內(nèi)部部署軟件方面，HealthPlex必須評(píng)估廠商的許可證協(xié)議，尤其是與技術(shù)支持有關(guān)的條款。HealthPlex需要弄清楚許可證要求對(duì)方提供哪種級(jí)別的支持，還要與提供商和內(nèi)部部署軟件廠商的參考客戶(hù)（reference account）進(jìn)行交談。
　　對(duì)SaaS和內(nèi)部部署軟件項(xiàng)目而言，SLA和許可證的評(píng)審?fù)枰瑯娱L(zhǎng)的時(shí)間。
　　若采用服務(wù)模式，HealthPlex還需要另一筆費(fèi)用，因?yàn)楸M職調(diào)查迫使它需要評(píng)審提供商的安全基礎(chǔ)設(shè)施。正如讀者調(diào)查表明的那樣，SaaS方面的一個(gè)首要問(wèn)題在于，提供商可能無(wú)法為數(shù)據(jù)提供足夠高的安全性，以滿(mǎn)足內(nèi)部政策和外部法規(guī)。比如要是采用CRM應(yīng)用軟件，HealthPlex的客戶(hù)信息和銷(xiāo)售數(shù)據(jù)將放在提供商的托管中心。所以在簽合同之前，HealthPlex要花時(shí)間詳細(xì)了解提供商如何保護(hù)其數(shù)據(jù)中心及放在數(shù)據(jù)中心的應(yīng)用服務(wù)器和數(shù)據(jù)庫(kù)的安全。
　　無(wú)論你的SaaS提供商是運(yùn)行自己的數(shù)據(jù)中心，還是向托管服務(wù)提供商租用，它都應(yīng)當(dāng)有牢固的物理和邏輯訪問(wèn)控制機(jī)制，包括有限制的機(jī)器訪問(wèn)，以及借助多因子驗(yàn)證進(jìn)入作業(yè)區(qū)。
　　HealthPlex很可能會(huì)與提供商的另外一家或者多家客戶(hù)（有可能是HealthPlex的競(jìng)爭(zhēng)對(duì)手）共享一個(gè)數(shù)據(jù)庫(kù)。因而，提供商必須能夠證明它可以安全地分隔數(shù)據(jù)。另外，提供商的網(wǎng)絡(luò)應(yīng)落實(shí)足夠有效的控制，包括防火墻和入侵檢測(cè)系統(tǒng)。數(shù)據(jù)中心應(yīng)當(dāng)有物理安全機(jī)制，防止未授權(quán)者訪問(wèn)硬件、控制系統(tǒng)。
　　另一個(gè)問(wèn)題是應(yīng)用軟件。SQL注入等攻擊旨在誘騙Web應(yīng)用軟件透露數(shù)據(jù)，并不要求攻擊者訪問(wèn)數(shù)據(jù)庫(kù)。因而，HealthPlex會(huì)詢(xún)問(wèn)提供商的軟件開(kāi)發(fā)流程。開(kāi)發(fā)人員是否在安全地編寫(xiě)代碼方面受過(guò)良好培訓(xùn)？開(kāi)發(fā)生命周期是否包括安全評(píng)估？應(yīng)用軟件在部署之前是否經(jīng)過(guò)漏洞測(cè)試？如何進(jìn)行這種測(cè)試？
　　最后，HealthPlex會(huì)詢(xún)問(wèn)提供商是否定期請(qǐng)第三方審查應(yīng)用軟件，包括Web應(yīng)用漏洞掃描及人工滲透測(cè)試。
　　請(qǐng)注意，安全評(píng)審的全面性取決于諸多因素，比如客戶(hù)及業(yè)務(wù)的規(guī)模：一家大型金融服務(wù)公司可能會(huì)派首席技術(shù)官飛赴數(shù)據(jù)中心，親自進(jìn)行審查、評(píng)審軟件代碼。而小公司可能只是下載提供商的安全白皮書(shū)就了事。
　　我們估計(jì)，HealthPlex會(huì)派有安全專(zhuān)長(zhǎng)的內(nèi)部IT員工花40個(gè)小時(shí)來(lái)評(píng)審提供商自己的編制文檔和第三方審查報(bào)告，與參考客戶(hù)交流，打電話(huà)給提供商的某位安全或者操作工程師了解情況。

中國(guó)信息產(chǎn)業(yè)網(wǎng)(www.cnii.com.cn)