對于那些在應用程序安全方面已投入巨資的組織來說，他們擁有固定滿編訓練有素的開發(fā)人員，獨立的開發(fā)、測試以及生產流程，所以應對PaaS安全性問題應該是駕輕就熟的。而那些還未作出這些投資的機構可以遵循如下步驟，從而在一定程度上有助于應對PaaS安全性的挑戰(zhàn)。

步驟一：建立安全措施

應用程序安全性的根本挑戰(zhàn)遠在PaaS實施前就已經存在。因此，對于如何完善生產安全、魯棒的應用程序的部署措施已有相當?shù)难芯俊Ｓ幸粋€可提供直接支持的技術被稱為應用程序威脅建模。一些很好的著力點是OWASP威脅建模頁以及微軟公司的安全性開發(fā)生命周期資源頁。從工具的角度來看，是免費跨網站腳本（XSS）和SQL注入。擁有內部工具的企業(yè)可以將其應用于PaaS的安全性措施，或者眾多PaaS供應商為客戶以免費或打折的價格提供了具有類似功能的工具。而當企業(yè)希望使用一個更為廣泛的掃描策略時，他們還可以使用諸如Google公司的skipfish這樣的免費工具。

步驟二：掃描網絡應用程序

眾多公司已經接受了應用程序掃描，這是一個用于解決通用安全問題（例如跨平臺腳本（XSS）和SQL導入）的網絡應用程序掃描工具。擁有內部工具的企業(yè)可以將其應用于PaaS安全性措施，或者眾多PaaS供應商為客戶以免費或打折的價格提供了類似功能的工具。而當企業(yè)希望使用一個更為廣泛的掃描策略時，他們還可以使用諸如Google公司的skipfish這樣的免費工具。

步驟三：培訓開發(fā)人員

應用程序開發(fā)人員完全通盤精通應用程序安全性原則是非常關鍵的。這可以包括語言級培訓（即他們目前用于構建應用程序所使用語言中的安全編碼原則）以及更廣泛的議題，如安全性設計原則等。由于開發(fā)人員的減員和流動性等原因，這往往要求培訓必須定期重復并作為常態(tài)保持下去，所以開發(fā)人員應用程序的安全性培訓成本可能是較為昂貴的。幸運的是，還有一些免費的資源，例如TexasA&M/FEMA國內防備校園計劃提供了一些安全性軟件開發(fā)的免費電子學習資料。微軟公司也通過其Clinic2806提供了免費培訓：微軟開發(fā)人員安全性知道培訓，這是一個開始你自己定制程序有用的入門級培訓材料。

步驟四：擁有專用的測試數(shù)據(jù)

這樣的情況總是在不斷發(fā)生中的：開發(fā)人員使用生產數(shù)據(jù)進行測試。這是一個需要正確認識的問題，因為機密數(shù)據(jù)（例如客戶私人可辨識的數(shù)據(jù)）可能在測試過程中泄漏，特別是在開發(fā)或試運行環(huán)境中并沒有執(zhí)行與生產環(huán)境相同的安全措施時。PaaS的環(huán)境敏感性更甚，而眾多PaaS服務更易于實現(xiàn)部署、試運行以及生產之間的數(shù)據(jù)庫共享以簡化部署。如開源DatabeneBenerator之類的工具可以產生符合你數(shù)據(jù)庫特定結構的高容量數(shù)據(jù)，而數(shù)據(jù)格式調整有助于擁有專用的生產數(shù)據(jù)。通常，這些處理是屬于特定框架的，因此你需要留意找出一個能夠在你的特定環(huán)境中正常工作的。

步驟五：重新調整優(yōu)先級

這最后一個步驟是你可以實施的最重要的一個步驟。既然PaaS可能意味著一種文化和優(yōu)先級的調整，那么相應地接受這一調整并將其真正納入自己的思想行為體系中。使用PaaS，所有都是與應用程序相關;這意味著組織的安全性將高度依賴于組織中的開發(fā)團隊。如果這不是PaaS的問題，那么這將會是一場噩夢了，因為在基礎設施級你無法實施多少措施以緩解已識別的風險。如果你一直以來都是依賴于基礎設施級的控制以滿足在應用程序級的安全挑戰(zhàn)，現(xiàn)在是時候重新考慮