淺談面向業務的資訊安全審計系統(1)

【51CTO.com 綜合報導】近些年來， IT系統發展很快，企業對IT系統的依賴程度也越來越高，就一個網路資訊系統而言，我們不僅需要考慮一些傳統的安全問題，比如防駭客、防病毒、防垃圾郵件、防後門、防蠕蟲等，但是， 隨著資訊化程度的提高，各類業務系統也變得日益複雜，對業務系統的防護也變得越來越重要，非傳統領域的安全治理也變得越來越重要。 根據最新的統計資料，給企業造成的嚴重攻擊中70％是來自于組織中的內部人員，因此，針對業務系統的資訊安全治理成為一道難題，審計應運而生。 一、為什麼需要面向業務的資訊安全審計？ 面向業務的資訊安全審計系統，顧名思義，是對使用者業務的安全審計，與使用者的各項應用業務有密切的關係，是資訊安全審計系統中重要的組成部分，它從使用者的業務安全形度出發，思考和分析使用者的網路業務中所存在的脆弱點和風險。 我們不妨先看兩個鮮活的案例。 不久前，中國青年報報導，上海一電腦高手，方某今年25歲，學的是電腦專業，曾是某超市分店資訊組組長。 方某利用職務之便，設計非法軟體程式，進入超市業務系統，即超市收銀系統的資料庫，通過修改超市收銀系統的資料庫資料資訊，每天將超市的銷售記錄的20%營業款自動刪除，並將收入轉存入自己的帳戶。 從2004年6月至2005年8月期間，方某等人截留侵吞超市3家門店營業款共計397萬余元之多。 程某31歲，是X公司資深軟體研發工程師，從2005年2月，他由A地運營商系統進入B地運營商的業務系統——充值中心資料庫，獲得最高系統許可權，根據「已充值」的充值卡顯示的18位密碼破解出對應的34位金鑰，然後把「已充值」 狀態改為「未充值」，並修改其有效日期，啟動了已經使用過的充值卡。 他把面值300元的充值密碼以281.5到285元面值不等價格在網上售出，非法獲利380萬。 通過上述兩個案例，我們不難發現，內部人員，包括內部員工或者提供協力廠商IT支援的維護人員等，他們利用職務之便，違規操作導致的安全問題日益頻繁和突出，這些操作都與客戶的業務息息相關。 雖然防火牆、防病毒、入侵偵測系統、防病毒、內網安全管理等常規的安全產品可以解決大部分傳統意義上的網路安全問題，但是，對於這類與業務息息相關的操作行為、違規行為的安全問題，必須要有強力的手段來防範和阻止， 這就是針對業務的資訊安全審計系統能夠帶給我們的價值。 1 2 3 下一頁>>查看全文 內容導航第 1 頁：面向業務的安全審計 第 2 頁：理解資訊安全審計 第 3 頁：實現面向業務安全審計 原文：淺談面向業務的資訊安全審計系統(1) 返回網路安全首頁