安全漫談 風險內控將助力企業維穩

2011年企業泄密安全事件頻發對這個應用為王的時代帶來了極大的挑戰，引發安全界對企業實行內控的思考與探索，急需“維穩”。

事件回顧

其中最大的安全事件莫過于4、5月份全球皆知的索尼泄密門，索尼服務器接連遭遇黑客攻擊，大量用戶數據被盜。人們真切地感受到了云計算所面臨的安全威脅。

10月12日電 綜合報道，日本三菱重工最近遭到網絡攻擊，該集團使用的電腦至少遭到50多種的病毒感染，可能已導致日本ASM-1反艦導彈信息等重要資料被盜。

近日，一則關于某證券公司工作人員利用技術手段和職位之便進行內幕交易新聞引起金融行業對高科技內幕犯罪的一個關于制度、法律以及職業道德等多方面的談論。

智恒聯盟公司做為專業IT環境運維與審計產品廠商，從運維操作管理和安全生產管理的角度分析了該事件。

企業IT內控審計至關重要

目前，隨著信息安全建設的深入，安全防護已經成為最為重要的一個環節。為此企業購買并部署了眾多的安全防護設備，但隨著應用的增多，數據庫服務器的重要性隨之加大，信息化管理部分工作量日益龐大，如果沒有一套有效的安全運維管理體系作為支撐，不能實現有效的監督與制衡機制，就無法及時發現并控制潛在的安全威脅，那么發生重大的安全事件就成了必然。

同時據有關資料統計，在對單位造成嚴重損害的案例中，有 70％是組織里的內部人員及運維人員缺乏有效監管，這已經成為企業信息系統安全運行的嚴重隱患，制約業務發展，影響企業效益，嚴重事件發生，則會關系到企業的生存命運。如：企業關鍵信息被非授權訪問竊取、破壞、甚至刪除、應用系統違規操作等都將給企業帶來鎮痛。企業IT運維安全管理內控已經變得刻不容緩，除了從制度方面完善和職業道德法律意識提升之外，一套可以做到事前防范，事中監控，事后審計用高技術手段的防范顯得更加尤為重要。

近年來，信息安全審計被列入多個行業信息系統安全建設必備要求，并陸續發布了行業性信息系統管理規范和要求，如等級保護，金融業企業內控指南等。

如何進行有效的企業IT內控

運維人員要維護數量眾多的服務器，經常共同使用同一個Root帳號進行操作，密碼策略無法有效執行、授權不清晰。通過集中管控平臺整合企業的運維行為管理，將運維操作集中可視化管控，通過基于唯一身份標識的集中賬號與訪問控制策略，實現與各服務器、網絡設備等無縫連接，一站直達，解決多種設備類型帶來的管理問題，快速發現和處置違規事件。

對各種網絡行為能夠提供全天候監控自動化審計，前瞻性的發現潛在威脅，發現違規操作實時告警與阻斷，發生問題能夠更快追溯并解決問題，對系統運維操作過程中的問題和責任，準確的進行定位、取證和舉證，輕松管理整個IT資源網絡。

從世界范圍看，查處內幕交易犯罪案件中是一個更大的難點，對取證和認定的要求都比較高。用戶的維護操作無法審計，尤其是一些SU操作，在多臺設備之間的跳轉登陸操作，無法進行關聯分析。因此，進行細粒度的業務運維安全審計、數據庫安全審計；同時形成高度可視化的審計報告，能夠幫助用戶提升審計力度，降低人工審計工作量，有效控制信息安全風險。

企業內部網絡安全存在諸多的問題，每種問題都不可小視，對于這些問題，企業內部應該規范管理，應該使用更為先進的 IT 技術手段、技術工具來幫助管理員進行規范化管理，這樣才能夠保證企業內部網絡的安全性。