一方面，隨著安全防御建設(shè)由防外為主逐步轉(zhuǎn)向以防內(nèi)為主，內(nèi)外兼顧，對(duì)于安全審計(jì)的需求會(huì)越來(lái)越多；另一方面，隨著國(guó)家、社會(huì)對(duì)信息保護(hù)的愈加重視，各個(gè)行業(yè)對(duì)審計(jì)要求愈加嚴(yán)格，可看出未來(lái)幾年對(duì)安全審計(jì)產(chǎn)品的需求會(huì)越來(lái)越多。
“IT內(nèi)控和審計(jì)”擺到了信息部門的桌面
目前，推出的一些國(guó)際、國(guó)家、行業(yè)的內(nèi)控、審計(jì)標(biāo)準(zhǔn)，都對(duì)某些行業(yè)或企業(yè)提出需要具備安全審計(jì)產(chǎn)品的要求，因此像《企業(yè)內(nèi)部控制基本規(guī)范》此類的規(guī)范對(duì)于銷售安全審計(jì)產(chǎn)品是很有幫助的。有人將《企業(yè)內(nèi)部控制基本規(guī)范》稱作是中國(guó)版的SOX法案，可見(jiàn)對(duì)他的期待有多么高。雖然該規(guī)范還不能稱作是完整意義上的法案，而只是規(guī)范性文件，但是他對(duì)于國(guó)內(nèi)企業(yè)、尤其是大企業(yè)的公司治理、風(fēng)險(xiǎn)控制、IT內(nèi)控，包括信息系統(tǒng)安全審計(jì)都起到了極大的推進(jìn)作用。
實(shí)際上，不僅是《企業(yè)內(nèi)部控制基本規(guī)范》，包括之前國(guó)家大力開(kāi)展的等級(jí)化保護(hù)建設(shè)工作，以及證券、金融、保險(xiǎn)等行業(yè)頒布的各項(xiàng)風(fēng)險(xiǎn)和內(nèi)控指引、要求等，都在努力構(gòu)建一個(gè)從嚴(yán)的企業(yè)管控外部環(huán)境。作為這種外部壓力的傳導(dǎo)，企業(yè)的IT內(nèi)控和審計(jì)自然擺到了各大企業(yè)信息部門的桌面上。
可以肯定，未來(lái)企業(yè)用戶，尤其是大型企業(yè)用戶，會(huì)不斷加強(qiáng)IT內(nèi)控，并催生對(duì)信息系統(tǒng)安全審計(jì)的技術(shù)、產(chǎn)品和相關(guān)解決方案的需求，并帶動(dòng)國(guó)內(nèi)安全審計(jì)市場(chǎng)的迅速增長(zhǎng)。
不同的行業(yè)對(duì)安全審計(jì)的“需求不同”
一般的企業(yè)，目前比較大量的審計(jì)需求是對(duì)企業(yè)內(nèi)部用戶上網(wǎng)行為的審計(jì)。
政府部門和事業(yè)單位由于他們的業(yè)務(wù)系統(tǒng)十分重要，承載了單位關(guān)鍵的應(yīng)用和數(shù)據(jù)，因此，對(duì)業(yè)務(wù)系統(tǒng)的審計(jì)顯得十分重要。這類客戶需要審計(jì)內(nèi)部用戶訪問(wèn)業(yè)務(wù)系統(tǒng)的各種行為，防止針對(duì)核心業(yè)務(wù)系統(tǒng)和數(shù)據(jù)的違規(guī)訪問(wèn)，防止信息泄漏。
金融、電信類客戶，除了需要對(duì)業(yè)務(wù)系統(tǒng)進(jìn)行審計(jì)之外，還需要針對(duì)運(yùn)維人員的主機(jī)操作審計(jì)。由于這類客戶具有龐大的主機(jī)和服務(wù)器機(jī)群，上面運(yùn)行了各種各樣的核心應(yīng)用。同時(shí)，這類客戶的系統(tǒng)運(yùn)維人員數(shù)量多、崗位職責(zé)多，不僅有本單位正式職工，還有第三方駐場(chǎng)工程師和外包運(yùn)維人員，管理較為復(fù)雜。因此，對(duì)這些運(yùn)維人員進(jìn)行審計(jì)，審計(jì)他們針對(duì)主機(jī)系統(tǒng)的各種訪問(wèn)和操作行為就顯得十分重要。
涉密性質(zhì)的單位，以及安全要求等級(jí)高的部門，還會(huì)需要終端安全審計(jì)類產(chǎn)品，對(duì)單位職工的終端進(jìn)行嚴(yán)格的安全審計(jì)。
網(wǎng)絡(luò)犯罪上升到“法律高度”
前不久，國(guó)家頒布實(shí)施了刑法第七修正案，其中第二百五十三條明確規(guī)定“國(guó)家機(jī)關(guān)或者金融、電信、交通、教育、醫(yī)療等單位的工作人員，違反國(guó)家規(guī)定，將本單位在履行職責(zé)或者提供服務(wù)過(guò)程中獲得的公民個(gè)人信息，出售或者非法提供給他人，情節(jié)嚴(yán)重的，處三年以下有期徒刑或者拘役，并處或者單處罰金。
竊取、收買或者以其他方法非法獲取上述信息，情節(jié)嚴(yán)重的，依照前款的規(guī)定處罰。單位犯前兩款罪的，對(duì)單位判處罰金，并對(duì)其直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員，依照各相應(yīng)條款的規(guī)定處罰”。
這意味著單位如果泄露或非法獲取公民個(gè)人信息，將被判處罰金，并追究直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員的刑事責(zé)任。
隨著網(wǎng)絡(luò)的日益普及，利用網(wǎng)絡(luò)實(shí)施犯罪的新型網(wǎng)絡(luò)違法與犯罪行為也隨之日漸增多；網(wǎng)絡(luò)的虛擬性與不確定性，造成傳統(tǒng)的辦案手段對(duì)此已力不從心，公安網(wǎng)監(jiān)部門迫切需要新的技術(shù)手段來(lái)幫助其應(yīng)對(duì)這一新挑戰(zhàn)。
網(wǎng)絡(luò)安全審計(jì)系統(tǒng)應(yīng)運(yùn)而生。
網(wǎng)絡(luò)安全審計(jì)“未雨綢繆”
網(wǎng)絡(luò)安全審計(jì)系統(tǒng)針對(duì)互聯(lián)網(wǎng)行為提供有效的行為審計(jì)、內(nèi)容審計(jì)、行為報(bào)警、行為控制及相關(guān)審計(jì)功能。從管理層面提供互聯(lián)網(wǎng)的有效監(jiān)督，預(yù)防、制止數(shù)據(jù)泄密；滿足用戶對(duì)互聯(lián)網(wǎng)行為審計(jì)備案及安全保護(hù)措施的要求，提供完整的上網(wǎng)記錄，便于信息追蹤、設(shè)備定位、系統(tǒng)安全管理和風(fēng)險(xiǎn)防范。
目前，市場(chǎng)上有成熟的網(wǎng)絡(luò)安全審計(jì)產(chǎn)品方案解決供應(yīng)商，產(chǎn)品用于監(jiān)控用戶信息，為顧客提供安全網(wǎng)絡(luò)防護(hù)和幫助公安部門更好、更快捷的進(jìn)行安全監(jiān)管。國(guó)聯(lián)易安數(shù)據(jù)庫(kù)安全審計(jì)系統(tǒng)是由公司自己研發(fā)，具有完全自主知識(shí)產(chǎn)權(quán)的數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)。系統(tǒng)通過(guò)監(jiān)控?cái)?shù)據(jù)庫(kù)的多重狀態(tài)和通信內(nèi)容，不僅能夠?qū)?shù)據(jù)庫(kù)所面臨的風(fēng)險(xiǎn)進(jìn)行多方位的評(píng)估，還可以通過(guò)審計(jì)功能對(duì)數(shù)據(jù)庫(kù)所有操作進(jìn)行審計(jì)，提供事后追查機(jī)制。主要功能有：敏感數(shù)據(jù)發(fā)現(xiàn)、數(shù)據(jù)庫(kù)狀態(tài)監(jiān)控、風(fēng)險(xiǎn)掃描，數(shù)據(jù)活動(dòng)監(jiān)控等。同時(shí)提供旁路、探針、分布式等多種部署方式，為數(shù)據(jù)庫(kù)的各類應(yīng)用環(huán)境提供高自由度部署，全方位監(jiān)控與審計(jì)。
“國(guó)聯(lián)數(shù)據(jù)庫(kù)安全審計(jì)系統(tǒng)尤其通過(guò)監(jiān)控?cái)?shù)據(jù)庫(kù)的多重狀態(tài)和通信內(nèi)容，可以準(zhǔn)確評(píng)估數(shù)據(jù)庫(kù)所面臨的安全威脅與風(fēng)險(xiǎn)，并為事后追查留存依據(jù)，彌補(bǔ)了業(yè)界原有產(chǎn)品與解決方案的不足。”國(guó)聯(lián)易安董事長(zhǎng)門嘉平博士表示。
