风信子运维安全审计系统运营商解决方案

一、运营商运维过程中遇到的挑战和需求

1、运营商信息化现状

国电信运营市场竞争格局已经形成,开放的脚步也逐步加大,国内各大运营商为了提高经营管理和服务水平,适应新业务发展的需求,纷纷构建各自的运营支撑系 统框架和模式。根据电信行业业务分布特点,把支撑电信行业的系统分为BOSS(电信业务支撑系统)和OA(办公自动化),这两个系统从不同的方面一起支撑 电信行业的正常工作。随着IT规模扩大,如何安全管理和运维更多的系统业务,是各运营商遇到了新的挑战。

2、运营商IT运维管理现状及存在的安全隐患

2.1 运维人员复杂,帐号、密码难管控

参与运营商中心机房里的设备运维操作的人员主要都是外包人员,有时候还包括设备厂商人员,而且还存在分支机构的运维人员,他们大部分通过自己的电脑终端通过 远程桌面或telnet等方式对设备进行访问,没有统一的登录入口,密码和登录行为无法管控。而且存在多人共享密码的问题。

2.2 运维人员高权限操作不透明

金融行业企业内部IT运维人员属于高权限人员,可以对其负责的设备进行任何操作,但对运维人员的操作行为无从跟从。

2.3 危险操作无法实时阻断

因为缺乏针对运维操作的安全防护手段,对于内部运维人员违规操作、误操作,黑客、外维人员恶意攻击、窃密无法实时阻断。

2.4 运维操作过程存在安全隐患

由误操作引起的关键应用服务异常甚至宕机

违规操作、恶意操作引起的敏感信息泄露或被篡改、破坏

操作事故无法快速定位责任人与事故原因

3、金融行业IT运维管理需求

金 融行业企业核心机密数据都存放在IT设备中,机密数据通常要经过一定的授权流程才能被访问使用。但在IT设备的日常维护过程中,维护人员可轻易的接触到大 部分甚至全部机密数据,存在着很大的信息安全漏洞。并且在维护的过程中,通常存在着多名维护人员共同拥有一个设备系统管理员帐号密码的情况,使得非法操作 无法跟踪、无法追溯,在企业内部信息系统运维管理流程中存在着巨大的安全漏洞。

为了保障金融行业用户IT基础设施的无间断运行,业务系统的运行无忧,防止机密信息泄漏,提升客户满意度,提升自身竞争力,金融行业企业存在以下急迫IT运维安全管理需求:

自身安全管理需求

− 设备密码统一管理,提高密码管理的安全性

− 集中管理各种操作行为,提高操作管理效率

− 统一身份认证,使操作者与操作行为一一对应

− 有效审计操作行为(真实记录、审计回放、实时监控)

− 有效监管设备厂商人员、代维人员的操作

− 发生操作事故能快速定位责任人与事故原因

合规性需求(使组织的信息安全管理符合信息安全相关标准、法规要求)

《信息安全等级保护管理办法》

--- 该办法要求组织对信息系统分等级实行安全保护,其中明确要求计算机信息系统创建和维护受保护客体的访问审计跟踪记录,并能阻止非授权的用户对它访问或破坏。

《塞班斯法案》( SOX )

--- 该法案要求在美国上市的公司不仅要保证其财务报表数据的准确,还要保证内控系统能通过相关审计。

《ISO27001标准》

--- 条款A10.10.4要求组织必须记录系统管理和维护人员的操作行为。