SaaS(软件即服务)是近些年来开始兴起的一种新型的软件模式,SaaS服务商通过互联网向用户提供所需的应用软件服务。SaaS系统不仅具有更好的灵活性,同时还减少了用户购买、建设和维护软硬件基础设施带来的成本,因此尤其受到中小企业用户的追捧。然而相对于传统软件模式,SaaS系统应用环境更加复杂,存在着更多的安全风险。因此,SaaS系统的安全性问题是很多用户的一大顾虑,也成为阻碍SaaS发展的一大障碍。某小型IT公司现有一套基于SaaS模式的CRM产品,为多个企业用户提供了在线的CRM软件服务。目前该系统现有的安全措施不足以满足SaaS环境下的安全性需求,该公司正在寻找一套安全、经济、易于实施和维护的安全方案,以在有限的条件下尽可能的提升系统的安全性。针对这一需求,本论文进行了以下研究工作：1)针对SaaS系统的特点,对SaaS环境下的主要安全风险进行了分析。主要从数据存储安全、数据传输安全、身份认证及容灾与恢复四个方面,对目前主流的安全技术进行了分析和比较,目的是为后面技术路线的选择和安全方案的设计提供理论依据。2)针对该CRM系统的数据传输安全和身份认证安全,进行了如下安全方案设计：通过对典型的CA证书认证系统进行合理的简化和改进,设计了出一套功能相对完善、符合该公司需求和能力的CA系统,用来颁发和管理数字证书,并利用开源工具OpenSSL完成了CA系统核心模块的搭建和测试；基于SSL协议和数字证书,实现了HTTPS方式安全传输；通过基于USBKey和数字证书的登陆认证方式,提高了系统身份认证的安全性。3)对上述安全方案进行了评估,对于仍然可能存在的安全风险进行了分析,并简要的提出了相应的应对措施及未来需要进一步完善的安全方案。