2011年企業(yè)泄密安全事件頻發(fā)對(duì)這個(gè)應(yīng)用為王的時(shí)代帶來(lái)了極大的挑戰(zhàn)，引發(fā)安全界對(duì)企業(yè)實(shí)行內(nèi)控的思考與探索，急需“維穩(wěn)”。

事件回顧

其中最大的安全事件莫過(guò)于4、5月份全球皆知的索尼泄密門，索尼服務(wù)器接連遭遇黑客攻擊，大量用戶數(shù)據(jù)被盜。人們真切地感受到了云計(jì)算所面臨的安全威脅。

10月12日電 綜合報(bào)道，日本三菱重工最近遭到網(wǎng)絡(luò)攻擊，該集團(tuán)使用的電腦至少遭到50多種的病毒感染，可能已導(dǎo)致日本ASM-1反艦導(dǎo)彈信息等重要資料被盜。

近日，一則關(guān)于某證券公司工作人員利用技術(shù)手段和職位之便進(jìn)行內(nèi)幕交易新聞引起金融行業(yè)對(duì)高科技內(nèi)幕犯罪的一個(gè)關(guān)于制度、法律以及職業(yè)道德等多方面的談?wù)摗?/p>

智恒聯(lián)盟公司做為專業(yè)IT環(huán)境運(yùn)維與審計(jì)產(chǎn)品廠商，從運(yùn)維操作管理和安全生產(chǎn)管理的角度分析了該事件。

企業(yè)IT內(nèi)控審計(jì)至關(guān)重要

目前，隨著信息安全建設(shè)的深入，安全防護(hù)已經(jīng)成為最為重要的一個(gè)環(huán)節(jié)。為此企業(yè)購(gòu)買并部署了眾多的安全防護(hù)設(shè)備，但隨著應(yīng)用的增多，數(shù)據(jù)庫(kù)服務(wù)器的重要性隨之加大，信息化管理部分工作量日益龐大，如果沒(méi)有一套有效的安全運(yùn)維管理體系作為支撐，不能實(shí)現(xiàn)有效的監(jiān)督與制衡機(jī)制，就無(wú)法及時(shí)發(fā)現(xiàn)并控制潛在的安全威脅，那么發(fā)生重大的安全事件就成了必然。

同時(shí)據(jù)有關(guān)資料統(tǒng)計(jì)，在對(duì)單位造成嚴(yán)重?fù)p害的案例中，有 70％是組織里的內(nèi)部人員及運(yùn)維人員缺乏有效監(jiān)管，這已經(jīng)成為企業(yè)信息系統(tǒng)安全運(yùn)行的嚴(yán)重隱患，制約業(yè)務(wù)發(fā)展，影響企業(yè)效益，嚴(yán)重事件發(fā)生，則會(huì)關(guān)系到企業(yè)的生存命運(yùn)。如：企業(yè)關(guān)鍵信息被非授權(quán)訪問(wèn)竊取、破壞、甚至刪除、應(yīng)用系統(tǒng)違規(guī)操作等都將給企業(yè)帶來(lái)鎮(zhèn)痛。企業(yè)IT運(yùn)維安全管理內(nèi)控已經(jīng)變得刻不容緩，除了從制度方面完善和職業(yè)道德法律意識(shí)提升之外，一套可以做到事前防范，事中監(jiān)控，事后審計(jì)用高技術(shù)手段的防范顯得更加尤為重要。

近年來(lái)，信息安全審計(jì)被列入多個(gè)行業(yè)信息系統(tǒng)安全建設(shè)必備要求，并陸續(xù)發(fā)布了行業(yè)性信息系統(tǒng)管理規(guī)范和要求，如等級(jí)保護(hù)，金融業(yè)企業(yè)內(nèi)控指南等。

如何進(jìn)行有效的企業(yè)IT內(nèi)控

運(yùn)維人員要維護(hù)數(shù)量眾多的服務(wù)器，經(jīng)常共同使用同一個(gè)Root帳號(hào)進(jìn)行操作，密碼策略無(wú)法有效執(zhí)行、授權(quán)不清晰。通過(guò)集中管控平臺(tái)整合企業(yè)的運(yùn)維行為管理，將運(yùn)維操作集中可視化管控，通過(guò)基于唯一身份標(biāo)識(shí)的集中賬號(hào)與訪問(wèn)控制策略，實(shí)現(xiàn)與各服務(wù)器、網(wǎng)絡(luò)設(shè)備等無(wú)縫連接，一站直達(dá)，解決多種設(shè)備類型帶來(lái)的管理問(wèn)題，快速發(fā)現(xiàn)和處置違規(guī)事件。

對(duì)各種網(wǎng)絡(luò)行為能夠提供全天候監(jiān)控自動(dòng)化審計(jì)，前瞻性的發(fā)現(xiàn)潛在威脅，發(fā)現(xiàn)違規(guī)操作實(shí)時(shí)告警與阻斷，發(fā)生問(wèn)題能夠更快追溯并解決問(wèn)題，對(duì)系統(tǒng)運(yùn)維操作過(guò)程中的問(wèn)題和責(zé)任，準(zhǔn)確的進(jìn)行定位、取證和舉證，輕松管理整個(gè)IT資源網(wǎng)絡(luò)。

從世界范圍看，查處內(nèi)幕交易犯罪案件中是一個(gè)更大的難點(diǎn)，對(duì)取證和認(rèn)定的要求都比較高。用戶的維護(hù)操作無(wú)法審計(jì)，尤其是一些SU操作，在多臺(tái)設(shè)備之間的跳轉(zhuǎn)登陸操作，無(wú)法進(jìn)行關(guān)聯(lián)分析。因此，進(jìn)行細(xì)粒度的業(yè)務(wù)運(yùn)維安全審計(jì)、數(shù)據(jù)庫(kù)安全審計(jì)；同時(shí)形成高度可視化的審計(jì)報(bào)告，能夠幫助用戶提升審計(jì)力度，降低人工審計(jì)工作量，有效控制信息安全風(fēng)險(xiǎn)。

企業(yè)內(nèi)部網(wǎng)絡(luò)安全存在諸多的問(wèn)題，每種問(wèn)題都不可小視，對(duì)于這些問(wèn)題，企業(yè)內(nèi)部應(yīng)該規(guī)范管理，應(yīng)該使用更為先進(jìn)的 IT 技術(shù)手段、技術(shù)工具來(lái)幫助管理員進(jìn)行規(guī)范化管理，這樣才能夠保證企業(yè)內(nèi)部網(wǎng)絡(luò)的安全性。