Безопасность в SaaS сервисе
Чем HTTPS не угодил?

Вообще не бывает абстрактной безопасности ибо не бывает абстрактных взломов. Система может быть вполне корректно написана, но ломануть могут, к примеру, через одну из служб на сервере, или вовсе через дыру в ОСи.

А совет бы я дал только один и он ни каким образом не касается безопасности. Не сотрудничайте с этой компанией. Потому что если заказчик начинает выносить мозг мутными вопросами в сфере в которой он не компетентен с самого начала, то знайте, ни какие деньги не покроют вам тех приключений на вашу жопу которые он вам доставит.
Очень хорошая статья — «5 шагов к безопасности SaaS».