全方位IT运维管理解决方案(ppt 39页).ppt

全方位IT运维管理解决方案(ppt 39页)
为什么需要操作安全审计
IT运维现状
信息安全相关标准、法案
IT运维现状一
☞多点登录、分散管理
服务器资源
IT运维现状二
第三方厂家
开发人员
管理人员
系统帐号
☞交叉异构、帐号共享
`
IT运维现状三
内部用户
外部用户
资源设备
权限滥用
恶意访问
误操作
权力限用
系统管理员
网管员
安全管理员
软件系统开发人员
黑客
代维厂商
合作伙伴
企业临时用户
内部用户
来自企业内部的非法威胁
高权限操作风险不透明
违规操作导致敏感信息泄露
误操作导致服务异常甚至宕机
来自企业外部的非法威胁
操作风险不可控
黑客盗用帐号实施恶意攻击
无法有效监管操作、必要取证/举证
☞人为操作风险
IT运维现状总结
一：公司单位的数据库安全吗？
 
二：复杂的系统每个人需要记住多组密码，符合效益吗？
 
三：密码遗失了、被窃取了、不定时需要去修改密码,无形的人力成本一再出现.
 
四：公司的审核单位对系统管理员如何审核呢？复杂的系统提升审核的困难度.
 
五：系统管理员对系统的操作安全吗？公司随时审查了吗？
 
六：应用系统与应用系统之间的通信安全吗？应用系统与数据库之间的通信安全吗？
七：供应商自远端进入系统服务安全吗？供应商技术人员在服务器做了什么您清楚了吗？
八：公司系统内被植入插件发现了吗？
 
九：黑客入侵个造成企业的损失,事后检讨耗费庞大的人力成本.
ISO27001标准
、意外和信息安全事件的日志，并保留一定期限，以便为安全事件的调查和取证；
；

，符合安全策略和标准的要求。
CC标准
信息技术通用评估准则 （ Common Criteria for Information Technology Security Evaluation）中，安全审计是其安全功能要求中最重要的组成部分，同时也是信息系统安全体系中必备的一个措施，它是评判一个系统是否真正安全的重要尺码。
SOX法案
302节：要求行政人员证明他们公司设计和执行了适当的控制，以保证所有财务报表都可靠而且付合公认会计准则(GAAP)。
404节：要求所有在302节中所控制的过程都有可信的财务报表。这法令要求IT经理对所有有关财务报表的产生过程负责。
信息安全相关标准、法案
此外还有PCI、HIPAA、Basel II
需要怎样的操作审计
操作管理统一化
管理流程规范化
操作风险最小化
数据库
管理人员
开发人员
操作管理统一化
操作
代维人员
服务器
统一认证
统一授权
统一审计
网络设备
☞统一操作管理平台理念构建