SOX、审计与启明星辰安全管理平台解决方案-爱ERP网

SOX、审计与启明星辰安全管理平台解决方案

作者：佚名文章来源：本站原创点击数：更新时间：2008-7-14

上一篇文章：为了萨班斯中国公司一年多掏2亿美元…

SOX要求：所有对财务报告有影响的人员操作、IT系统操作都应有明确的定义，并对这些定义进行记录，同时对这些操作要有过程审计记录（我们认为操作过程包括：事前、事中、事后）。整个企业内控涉及三个范畴：1、建立内控体系（人和系统）；2、加强IT内控（过程审计）；3、优化财务流程和财务应用系统。从这三个范畴的焦点可以看出，三个范畴都与IT系统和操作流程有关。因此在符合SOX的企业内部控制过程中，IT控制成为企业内部控制的重要组成部分。
三、启明星辰与SOX
从图1可以看出，SOX对企业的最主要的要求就是内控与审计：一方面企业要有足够简洁与有效的手段实现内控；另一方面，对所有的操作都需要有记录，以便随时审核、审查。
在萨班斯（SOX）法案要求上市公司实现企业内控的国际形势下，启明星辰公司推出了针对国内电信运营商市场定制的4A解决方案，它通过统一用户账号（Account）管理、统一认证（Authentication）管理、统一授权（Authorization）管理这3A手段来实现简洁与有效的内控；通过统一安全审计（Audit）的手段实现方便的审核、审查。
融合后的解决方案涵盖单点登录等安全功能，既能够为客户提供功能完善的、高安全级别的4A管理，也能够为用户提供符合萨班斯法案要求的内控报表。
国内绝大部分安全审计类产品只能从单一的功能性角度进行信息汇、数据分类，无法横跨其它层面进行数据分析。而启明星辰公司4A解决方案则可以从构成信息系统基本要素的人员身份、主机、服务器、网络、数据库、应用系统、网络设备、安全系统等出发，还原事件的本质，有效提炼数据的核心。对于用户单位来说，一方面大大降低了网络管理成本，提升了网络管理效率，另一方面为安全事件的事后取证、责任认定、系统风险评估等提供强有力且完善的审计报告。对于信息系统而言，正是可以作为指导信息系统信息安全保障体系进一步完善，技术支撑信息系统风险评估的有效手段。
与传统的信息安全产品不同，启明星辰公司4A解决方案兼具了事前防范、事中监控和事后取证的安全功能，不仅可以定位为监管、监控的安全类系统，更可以作为信息系统进一步发展、完善的高效管理工具。也正是从这个角度来说，启明星辰公司4A解决方案不仅仅对于将要或者已经在美国上市的公司有实际意义，对于其它所有重视信息安全、期望完善信息安全体系的企业也是必不可少的有效工具。
四、启明星辰4A统一安全管理平台解决方案
采用启明星辰4A统一安全管理平台解决方案能够解决运营商当前在账号口令管理、访问控制及审计措施方面所面临的主要问题。该解决方案由5个子系统组成：统一的4A管理平台、统一的认证授权子系统、统一的账号管理子系统、统一的日志审计子系统、网络行为审计子系统；统一4A管理平台向其它四个子系统传递配置参数，包括认证参数、账号参数、审计策略参数等，而四个子系统则将自身的运行状态值传递给统一4A管理平台；统一4A管理平台上各参数的变更，以及各告警值通过syslog的方式传递给统一日志审计子系统；统一认证授权子系统对用户进行统一接入认证后，产生的认证记录通过syslog的方式发送给统一日志审计子系统；统一账号管理子系统对用户账号进行维护的操作通过syslog的方式发送给统一日志审计子系统；网络审计引擎部件将采集到的日志信息通过syslog方式发送给统一日志审计子系统。
统一日志审计子系统功能：
安全日志采集
安全日志多维分析
安全日志实时展现
报表分析
审计策略配置
数据存储
统一认证授权子系统功能：
统一身份认证
集中账号口令管理
统一认证和授权
1) 网络设备的身份认证及授权
2) 主机系统的身份认证及授权
3) 远程接入或VPN接入用户的认证及授权
4) 数据库管理的身份认证及授权
5) 基于Web的运营系统的身份认证及授权
6) 基于C/S结构的业务系统的身份认证
统一账号管理子系统功能：
单点登陆
账号同步
统一账号管理与统一认证授权协作
网络行为审计子系统功能：
FTP/TELNET审计
XWINDOW审计
常用数据库的操作审计（ORACLE审计、DB2审计、SQLSERVER审计、SYBASE审计）
堡垒机跳转行为审计
NETBIOS审计
HTTP审计
SMTP审计
POP3审计
非正常网络行为的审计
各种协议的审计报表
投资收益：
统一认证、授权和审计，工作复杂度大幅度降低
统一监管，安全状况尽在掌握
避免多人共用相同账号，安全事故易于追踪
单点登录（SSO）免去用户在各系统间切换时，需要再次输入用户名和口令的繁琐
对各个系统进行统一的访问审计，利于综合分析，及时发现入侵行为
与萨班斯法案（SOX）内控需求一致