信息中心
IT運(yùn)維集中安全審計(jì)解決方案
金萬(wàn)維集中安全審計(jì)方案包括異速聯(lián)應(yīng)用交付系統(tǒng)及TSAuditor安全接入審計(jì)兩大部分，通過部署該方案，一方面實(shí)現(xiàn)企業(yè)應(yīng)用程序在機(jī)房中心的集中部署;另一方面，對(duì)所有的服務(wù)器操作行為以錄像的形式直觀呈現(xiàn)。
用戶需求
本文所介紹的企業(yè)擁有多個(gè)機(jī)房中心，幾十臺(tái)服務(wù)器，包括Web網(wǎng)站服務(wù)器、郵件服務(wù)器、數(shù)據(jù)庫(kù)服務(wù)器、應(yīng)用服務(wù)器，操作系統(tǒng)涵蓋了Unix，Linux及Windows。為了保證機(jī)房環(huán)境的安全，運(yùn)維人員通過多臺(tái)專門的運(yùn)維機(jī)，以遠(yuǎn)程桌面形式接入到機(jī)房中心，進(jìn)行日常維護(hù)操作。
分析該公司目前的信息化環(huán)境及IT運(yùn)維現(xiàn)狀，如下幾個(gè)方面的問題急需解決：
1、以應(yīng)用服務(wù)器為例，運(yùn)維人員在維護(hù)機(jī)房服務(wù)器的同時(shí)，要維護(hù)幾百臺(tái)終端客戶機(jī)，才能保證
應(yīng)用程序的正常使用，遠(yuǎn)程維護(hù)成本居高不下。
2、誤操作、病毒、惡意攻擊等使得企業(yè)關(guān)鍵業(yè)務(wù)信息處于高度安全風(fēng)險(xiǎn)，嚴(yán)重影響了企業(yè)正常業(yè)務(wù)
的開展及企業(yè)品牌形象。
3、缺乏有效的審計(jì)手段，一方面難以達(dá)到國(guó)家相關(guān)審計(jì)法規(guī)的合規(guī)性要求，另一方面，當(dāng)發(fā)生安全
事故時(shí)，取證困難，很難快速、有效的進(jìn)行責(zé)任認(rèn)定。
解決方案
金萬(wàn)維集中安全審計(jì)解決方案包括兩大部分，第一部分，異速聯(lián)應(yīng)用交付系統(tǒng)，該方案實(shí)現(xiàn)C/S分布式軟件的集中式部署，將應(yīng)用程序統(tǒng)一部署在機(jī)房中心服務(wù)器，授權(quán)遠(yuǎn)程用戶無需安裝任何軟件，以WEB形式訪問，并更新數(shù)據(jù)。通過對(duì)應(yīng)用程序的集中部署，運(yùn)維人員無需對(duì)每臺(tái)遠(yuǎn)程電腦進(jìn)行專門的安裝配置和維護(hù)，大大減少了安裝維護(hù)的工作量，節(jié)省公司IT運(yùn)維成本。
第二部分，TSAuditor安全審計(jì)系統(tǒng)，該方案結(jié)合了視頻技術(shù)，以錄像的形式將服務(wù)器操作行為直觀呈現(xiàn)，當(dāng)來服務(wù)器運(yùn)維管理人員或遠(yuǎn)程接入用戶對(duì)服務(wù)器進(jìn)行操作時(shí)，系統(tǒng)可以對(duì)特定操作行為進(jìn)行錄像，并根據(jù)系統(tǒng)所自定義的安全策略，對(duì)非授權(quán)用戶的非法訪問自動(dòng)阻止并自定義以短信或郵件形式實(shí)時(shí)報(bào)警，并可完整儲(chǔ)存、智能化檢索，在需要認(rèn)定責(zé)任時(shí)，提供錄像回放，實(shí)現(xiàn)對(duì)服務(wù)器應(yīng)用無人值守的自動(dòng)防護(hù)與事后追溯。
如下圖，在運(yùn)維機(jī)與機(jī)房中心之間設(shè)置多臺(tái)專用主機(jī)，在專用主機(jī)安裝金萬(wàn)維應(yīng)用交付系統(tǒng)及安全接入審計(jì)系統(tǒng)，所有的運(yùn)維機(jī)通過終端接入方式連接到專用主機(jī)對(duì)機(jī)房中心的服務(wù)器進(jìn)行維護(hù)，TSAuditor審計(jì)系統(tǒng)對(duì)運(yùn)維操作行為實(shí)時(shí)錄制。
方案價(jià)值
第一，降低IT運(yùn)維成本
目前的應(yīng)用程序多為分布式部署模式，受網(wǎng)絡(luò)環(huán)境的影響，遠(yuǎn)程用戶接入速度緩慢，通過金萬(wàn)維異速聯(lián)應(yīng)用交付方案，將分布式部署轉(zhuǎn)化成集中式部署，無需對(duì)遠(yuǎn)程客戶機(jī)進(jìn)行專門的安裝配置和維護(hù)，降低了企業(yè)IT維護(hù)成本。
第二，滿足合規(guī)性要求，順利通過IT審計(jì)
目前，越來越多的單位面臨一種或者幾種合規(guī)性要求。比如，商業(yè)銀行則面臨Basel協(xié)議的合規(guī)性要求;政府的行政事業(yè)單位或者國(guó)有企業(yè)則有遵循等級(jí)保護(hù)的合規(guī)性要求，安全審計(jì)系統(tǒng)有助于完善組織的IT內(nèi)控與審計(jì)體系，從而滿足各種合規(guī)性要求，并且使組織能夠順利通過IT審計(jì)。
第三，有效減少企業(yè)關(guān)鍵信息的破壞和泄漏
對(duì)單位的業(yè)務(wù)系統(tǒng)來說，真正重要的核心信息資產(chǎn)往往存放在少數(shù)幾個(gè)關(guān)鍵系統(tǒng)上(如數(shù)據(jù)庫(kù)服務(wù)器、應(yīng)用服務(wù)器等)，通過使用安全審計(jì)系統(tǒng)，能夠加強(qiáng)對(duì)這些關(guān)鍵系統(tǒng)的審計(jì)，從而有效地減少對(duì)核心信息資產(chǎn)的破壞和泄漏。
第四，追蹤溯源，便于事后追查原因與界定責(zé)任
審計(jì)監(jiān)控體系能夠完整的詮釋責(zé)任認(rèn)定體系，通過可視化的TSA安全審計(jì)技術(shù)，可以對(duì)運(yùn)維過程進(jìn)行有效的監(jiān)控，從而建立起一個(gè)行為不可抵賴、數(shù)據(jù)可靠，完整并且強(qiáng)有力的責(zé)任認(rèn)定體系。
第五，實(shí)現(xiàn)獨(dú)立審計(jì)與三權(quán)分立，完善IT內(nèi)控機(jī)制
從內(nèi)控的角度來看，IT系統(tǒng)的使用權(quán)、管理權(quán)與監(jiān)督權(quán)必須三權(quán)分立。在三權(quán)分立的基礎(chǔ)上實(shí)施內(nèi)控與審計(jì)，有效地控制運(yùn)維操作風(fēng)險(xiǎn)，安全審計(jì)實(shí)現(xiàn)獨(dú)立的審計(jì)與三權(quán)分立，完善IT內(nèi)控機(jī)制。
文章作者：國(guó)脈電子政務(wù)網(wǎng)
集成系統(tǒng)網(wǎng)絡(luò)情報(bào)信息數(shù)據(jù)庫(kù)
CIO頻道人物視窗
CIO頻道方案案例庫(kù)
大數(shù)據(jù)建設(shè)方案案例庫(kù)
電子政務(wù)建設(shè)方案案例庫(kù)
互聯(lián)集成系統(tǒng)構(gòu)建方案案例庫(kù)
商務(wù)智能建設(shè)方案案例庫(kù)
系統(tǒng)集成類軟件信息研發(fā)企業(yè)名錄