从SOX内控审计谈企业安全域解决方案(图)

    随着萨班斯（SOX）法案内控审计要求的出台，提升了IT控制在企业内部控制中的重要性，对电信运营商IT设施的安全性提出了更高的要求，如何改进IT控制和完善IT治理，电信运营商的CIO们，面临着更大的挑战。潜心关注电信行业安全并不断创新的北京启明星辰信息技术有限公司结合多年在安全领域的丰富经验与最佳实践，推出了针对电信运营商SOX内控的安全域划分及边界整合解决方案，即：按照安全等级和网络风险的级别重新规划运营商的网络，进一步明确网络边界和风险，同时针对不同设备采取适宜的安全策略，从而实现全程全网的安全防范和管理，达到事半功倍的效果。

划分安全域的原则

    安全域是指同一环境内有相同的安全保护需求、相互信任、并具有相同的安全访问控制和边界控制策略的网络或系统。启明星辰公司采用“同构性简化”的安全域划分方法，将复杂的大网络进行简化后设计防护体系，以便进行有效的安全管理。

启明星辰公司安全域划分遵循以下原则：

    1、业务保障原则：在保证安全的同时，更要保障网络承载业务的正常、高效运行；

    2、结构简化原则：安全域划分的直接目标是将整个网络变得更加简单，简单的网络结构便于设计防护体系。因此，安全域划分并不是粒度越细越好，安全域数量过多、过杂反而可能导致安全域的管理过于复杂，实际操作过于困难；

    3、立体协防原则：安全域划分的主要对象是网络，但是围绕安全域的防护需要考虑在各个层次上立体防守，包括在物理链路、网络、主机系统、应用等层次；同时，在部署安全域防护体系的时候，要综合运用身份鉴别、访问控制、检测审计、链路冗余、内容检测等各种安全功能实现协防。

    以某运营商的MBOSS系统为例，我们通过对该系统进行数据流分析、网络结构分析，结合考虑现有的安全隐患，从资产价值、脆弱性、安全隐患三者间的关系出发，得到了整体的安全防护体系和各个业务系统自身的安全防护体系，为进一步管理整合后的安全域做好了准备。

事例图

    基于安全域划分的最佳实践，该运营商的业务支撑系统（BSS）、企业信息系统（MSS）和网管系统（OSS）被分别划入不同的安全域，再根据每个安全域内部的特定安全需求进一步划分安全子域，包括：核心交换区、核心生产区、日常办公区、管理服务区、接口区、内部系统互联网区、外部系统互联区。