电信运营商IT系统萨班斯法案符合性解决方案

    随着经济全球化的发展，很多国内企业正逐渐通过境外融资、上市，进而求得进军国际市场、规模化发展。在众多的境外融资渠道中，赴美上市、融资又因其效果的明显而普遍受到国内企业的青睐。而赴美上市，就必须通过萨班斯法案（Sarbanes-Oxley法案，简称SOX法案）的要求。针对于公司治理的SOX法案，虽然主要指向财务治理、经营治理，要求企业保证财务数据的真实性、全面性和及时性，但对于企业来说，这些规则的落脚点，恰恰是IT系统的有效性和可靠性的体现。

    当前，IT系统越来越多地渗透进了企业业务活动的方方面面。高效、可靠的IT系统，不但是企业高效运转的有力工具，更可为企业提供必要数量的控制程序和审核依据（例如SOX法案中的一些具体要求）。因此，遵循SOX法案的程序，就需要包括基于IT系统的有效控制和治理。对大多数企业而言，IT系统在建立与保持有效的财务报告内部控制方面，将发挥越来越重要的作用！

    日前，中国通信企业协会通信网络运维专业委员会，在北京举行的"第三届中国通信网络运维年会"上，来自相关政府部门、运营商、设备提供商、系统集成商、专业服务商和咨询机构的代表，共同商讨了国内通信网络运维治理发展大计。其中，针对电信企业境外融资发展成为了一个热点话题，而涉及SOX法案的规范化要求更被与会者激烈讨论。在这一热议话题中，IT系统必须落实并符合SOX条款要求的发展趋势，被全体与会者所肯定。会上，北京卓益达科技有限公司针对性地推出了《电信运营商IT系统萨班斯法案符合性解决方案》。

    卓益达科技此次推出的解决方案，基于SOX法案的规定和要求，并充分参考了COSO委员会提出的内控通用模型——《企业风险治理——整体框架》，以及国际信息系统审计与控制协会（ISACA）制定的"信息及相关技术控制目标"（Control Objectives for Information and Related Technology，COBIT）。通过后两者与萨班斯法案要求之间的整合，建立起了一套完整的应用模型（如图1所示）和相关的整体解决方案。

    「图1：卓益达科技《电信运营商IT系统萨班斯法案符合性解决方案》应用模型」

    从电信运营商的角度来说，其IT系统的治理在面对SOX法案时的挑战，主要集中在6类控制缺陷方面：

    1） 大量用户拥有"超级用户"的访问权限；

    2） 不能对治理员的操作提供完整的登录日志及行为记录；

    3） 治理员所使用的客户端本身存在安全漏洞；

    4） 已终止雇用关系的员工或已经离开的供给商人员仍然拥有系统访问权；

    5） 用户账号的权限设定不明确或者不严谨；

    6） 口令策略不严谨。

    针对上述这些问题，卓益达科技的解决方案通过安全的统一接入和日志审核系统，有效地修补了这些缺陷，进而使得电信运营商能够在IT运维方面，与SOX法案要求的企业运维规范有效对接。

    卓益达科技的《电信运营商IT系统萨班斯法案符合性解决方案》采取了带外治理和带内治理方式有机结合，通过部署加固代理服务器，进而实现治理平台和应用服务器逻辑上的物理隔离，保证了对应用服务器访问的安全性；同时，治理员只能通过带外方式，由Console口登录代理服务器，实现了对系统的保护；另外，通过部署统一接入服务器以及syslog/NFS服务器，实现统一接入、审计和认证治理（系统拓朴如图2所示）。

    「图2：卓益达科技《电信运营商IT系统萨班斯法案符合性解决方案》接入日志审核系统」

    卓益达科技《电信运营商IT系统萨班斯法案符合性解决方案》的主要功能和特点如下：

    1、 用户治理层——提供：基于角色的用户与账号治理；用户账号治理的审核和报告。

    2、 系统授权及认证治理——提供：基于角色的访问控制；基于策略的访问控制；系统用户登录治理；支持多种认证方式。

    3、 安全审计记录——提供：系统安全审计记录；行为安全审计记录。

    据卓益达科技相关负责人介绍，在本方案的部署实施中，用户无须对原有应用系统做任何更改，同时，还可以根据客户的需求定制客户化界面。

    从整合方案的角度来看，北京卓益达科技有限公司能够为依据SOX法案需求建设的企业，提供保障实施强制第三方审计的帮助，亦能够帮助审计人员或者内部治理人员看到真正重要的事件和信息。

    相信，只要通信行业及其他行业的用户，充分利用这样的标准化系统解决方案，就一定能够帮助企业治理人员从"加强审计"和"实施内控"两个方面满足萨班斯法案的要求。