4A管理電力行業信息系統安全建設的基石

2013-10-16 17:44:59 EP電力信息化網　點擊量：評論 (0)

作為安全體系建設的重要組成部分和基石，訪問控制管理是企業信息安全建設的第一道防線，實施有效的、安全的訪問控制解決方案是企業安全體系建設的基礎。主管信息安全領域的政府職能部門和國內的安全企業一直在研

咨詢和醫療保險部門都必須在2005年4月以前建立安全標準，以符合HIPAA法規的規定。

4A管理在美國企業的廣泛推廣源于薩班斯法案的出臺，2002年7月，美國國會正式頒布《2002年公眾公司會計改革和投資者保護法案》（Public Company Accounting Reform and Investor Protection Act of 2002），又名薩班斯法案（SOX法案）。薩班斯法案源于由安然事件引起的公眾對美國上市公司的財務信任危機，該法案是美國有史以來通過的最具有深遠意義的證券立法之一，目的是通過提高公司信息披露的準確性和可靠性，增加公司責任，為上市公司會計和審計的不適當行為規定更加嚴厲的處罰，同時保護投資者；法案對上市公司的IT內控制度也提出了明確的要求，法案的出臺和強制性，引發了美國的各上市公司和打算在美國上市的外國企業紛紛加強企業內部的IT控制，4A管理在企業中迅速發展起來。

我國在網絡安全管理制度建設和體系建設的探索和發展雖然晚于美國，但發展迅速，在1992年制定了《計算機信息系統安全保護條例》，在此基礎上，陸續出臺了多項法律法規和國家標準，并在近期頒布了《信息系統等級保護管理辦法》，在重點行業積極推動等級保護工作。《管理辦法》的發布加速了我國的信息安全體系建設，作為信息安全建設的重要組成部分的——訪問控制管理成為企業安全建設的迫切需求。

訪問控制管理是在網絡安全行業市場的不斷發展中細分出來的，4A的帳號（Account）、認證(Authentication)、授權（Authorization)和審計（Audit）統一安全管理解決方案是將訪問控制領域的技術集中到安全管理平臺上，實現對企業帳戶及資源的統一認證和管理。目前，4A的概念已經打破了原來的訪問控制主要集中在授權、審計和認證三大部分的狀況，而是包含了統一用戶帳號管理、統一認證管理、統一授權管理和統一安全審計四要素，涵蓋帳號同步、單點登錄、集中授權和集中審計等安全功能的綜合訪問控制管理平臺。在4A的概念中，各組成部分并不是完全獨立的子系統，而是和其它部分相結合，共同構建企業安全的訪問控制屏障。

當前，我國的醫療行業、政府機構、電力行業等具有大型網絡基礎的重點行業對4A解決方案的需求都在不斷增長，在這方面，已經有部分電力企業走在了前列，如福建電力將身份認證等訪問控制技術作為其網絡安全建設的重要組成部分，一些大型新建電力企業也將安全評估和安全建設納入了企業信息系統建設的規劃，將企業信息系統的安全風險控制到企業可接受的最小范圍內。

4A體系架構和解決方案

4A體系架構的基本思想是將帳號（Account）管理、認證（Authentication）管理、授權（Authorization）管理和安全審計(Audit）整合成集中、統一的安全服務系統，稱為4A管理平臺或4A平臺，并且提供接口，使新的應用可以很容易的集成到平臺上來，同時為企業與外部系統的集成（如SOC平臺、外部認證組件、外部審計組件）提供接口。

4A體系架構的整體框架如

4A平臺主要實現的管理功能應包括以下部分：

集中帳號（Account）管理：為用戶提供統一集中的帳號管理，支持管理的資源包括主流的操作系統、網絡設備和應用系統；不僅能夠實現被管理資源帳號的創建、刪除及同步等帳號管理生命周期所包含的基本功能，而且也可以通過平臺進行帳號密碼策略，密碼強度、生存周期的設定。

集中認證（Authentication）管理：可以根據用戶應用的實際需要，為用戶提供不同強度的認證方式，既可以保持原有的靜態口令方式，又可以提供具有雙因子認證方式的高強度認證（一次性口令、數字證書、動態口令），而且還能夠集成現有其它如生物特征等新型的認證方式。不僅可以實現用戶認證的統一管理，并且能夠為用戶提供統一的認證門戶，實現企業信息資源訪問的單點登錄。

集中權限(Authorization)管理：可以對用戶的資源訪問權限進行集中控制。它既可以實現對B/S、C/S應用系統資源的訪問權限控制，也可以實現對數據庫、主機及網絡設備的操作的權限控制，資源控制類型既包括B/S的URL、C/S的功能模塊，也包括數據庫的數據、記錄及主機、網絡設備的操作命令、IP地址及端口。

集中審計(Audit)管理：將用戶所有的操作日志集中記錄管理和分析，不僅可以對用戶行為進行監控，并且可以通過集中的審計數據進行數據挖掘，以便于事后