|
標(biāo)簽：
導(dǎo)語(yǔ)：近年來(lái)，廣州公共資源交易中心(以下簡(jiǎn)稱“交易中心”)運(yùn)用信息技術(shù)，用“制度+科技”的理念構(gòu)建市、區(qū)一體化電子政府采購(gòu)交易平臺(tái)。為了保障平臺(tái)的安全性，保證招標(biāo)評(píng)審過(guò)程的公正公平、安全保密，交易中心采用了浪潮運(yùn)維安全管控系統(tǒng)(簡(jiǎn)稱“浪潮SSC”)對(duì)“一個(gè)平臺(tái)、兩個(gè)網(wǎng)絡(luò)、十個(gè)系統(tǒng)”的運(yùn)維管理進(jìn)行全程審計(jì)，達(dá)到了國(guó)家安全等級(jí)保護(hù)的要求。
緊抓等保契機(jī)，安全管理不留死角
近年來(lái)，廣州公共資源交易中心一直在利用信息化手段對(duì)政府采購(gòu)領(lǐng)域進(jìn)行全流程改造，并取得了預(yù)期效果。但隨著互聯(lián)網(wǎng)安全威脅的變化，以及政府對(duì)內(nèi)控管理要求的提高，確保信息化平臺(tái)的安全可控，成為了各項(xiàng)業(yè)務(wù)順利開(kāi)展的關(guān)鍵所在。
由于交易中心承載了廣州地區(qū)所有的建筑、市政和工程項(xiàng)目的招投標(biāo)交易活動(dòng)，年交易項(xiàng)目近萬(wàn)宗，交易規(guī)模超過(guò)2000億。一旦出現(xiàn)網(wǎng)絡(luò)安全事件，不但會(huì)造成業(yè)務(wù)系統(tǒng)中斷，還可能造成交易信息泄密，釀成重大的信息安全事件。因此，數(shù)據(jù)中心在網(wǎng)絡(luò)安全防護(hù)工作方面一直堅(jiān)持著“不斷優(yōu)化、持續(xù)強(qiáng)化”的策略。
廣州公共資源交易中心信息化平臺(tái)包括“一個(gè)平臺(tái)、兩個(gè)網(wǎng)絡(luò)、十個(gè)系統(tǒng)”，另外還擁有華南地區(qū)最大的評(píng)標(biāo)專家?guī)臁６畔踩ぷ鞯闹匾繕?biāo)就是保證評(píng)標(biāo)專家信息的保密性和招投標(biāo)項(xiàng)目交易的安全性，這些信息直接影響招投標(biāo)交易的成敗以及市場(chǎng)的公平競(jìng)爭(zhēng)，如果出現(xiàn)數(shù)據(jù)丟失或者泄露，后果不堪設(shè)想�！拔抑行牡木W(wǎng)絡(luò)安全防護(hù)體系已經(jīng)比較健全，但是在運(yùn)維審計(jì)方面還沒(méi)有相應(yīng)的安全防護(hù)措施和設(shè)備，在等級(jí)保護(hù)工作要求中，也無(wú)法完成多人審核的具體規(guī)定。”交易中心網(wǎng)絡(luò)技術(shù)負(fù)責(zé)人表示，現(xiàn)在的內(nèi)網(wǎng)安全管理“存在隱患”。
據(jù)了解，等級(jí)保護(hù)要求規(guī)定，對(duì)于數(shù)據(jù)中心核心設(shè)備及關(guān)鍵業(yè)務(wù)系統(tǒng)等高風(fēng)險(xiǎn)運(yùn)維操作，需采用多人核實(shí)機(jī)制(即在同時(shí)獲得兩人以上授權(quán)前提下，才能實(shí)施相應(yīng)會(huì)話)，以提升運(yùn)維操作行為合規(guī)性控制的細(xì)粒度。交易中心的審計(jì)手段是基于操作系統(tǒng)日志的審計(jì)，只能定位到訪問(wèn)設(shè)備的IP地址、用戶、時(shí)間等基本信息，無(wú)法準(zhǔn)確、直觀追溯運(yùn)維人員在目標(biāo)設(shè)備上的會(huì)話過(guò)程，無(wú)法對(duì)事故原因進(jìn)行客觀還原。因此，交易中心決定借助落實(shí)等保工作的契機(jī)，采購(gòu)相關(guān)產(chǎn)品，掃除現(xiàn)存安全死角。
運(yùn)維管理全程審計(jì)，打造信息操作監(jiān)控唯一通道
在運(yùn)維審計(jì)產(chǎn)品的選型階段，共有5家企業(yè)的相關(guān)產(chǎn)品參與了測(cè)試。經(jīng)過(guò)專家認(rèn)證、評(píng)審，交易中心最終選擇了綜合得分最高的浪潮SSC運(yùn)維安全管控系統(tǒng)，用于解決設(shè)備賬號(hào)多人共用、越權(quán)訪問(wèn)和誤操作、事故追責(zé)不能定位到人、安全制度落地不嚴(yán)等問(wèn)題
浪潮SSC是浪潮針對(duì)政府、財(cái)稅、金融、證券、電信、大中型企業(yè)等行業(yè)數(shù)據(jù)中心研發(fā)的業(yè)界領(lǐng)先的運(yùn)維安全審計(jì)產(chǎn)品。該產(chǎn)品基于4A模型設(shè)計(jì)并采用多項(xiàng)管控技術(shù)，其認(rèn)證管理模塊驗(yàn)證“你是誰(shuí)?”、授權(quán)管理模塊明確“你能做什么?”、安全審計(jì)模塊定位“你做了什么?”，從而有效提升數(shù)據(jù)中心的運(yùn)維安全。在滿足需求方面，SSC對(duì)交易中心所有服務(wù)器、數(shù)據(jù)庫(kù)和網(wǎng)絡(luò)設(shè)備實(shí)現(xiàn)集中式單一入口的訪問(wèn)管理控制，并滿足了“二次授權(quán)”、“雙人共管”等運(yùn)維安全的需要。另外SSC還提供了事中審計(jì)和事后審計(jì)兩種審計(jì)模式。事中審計(jì)可以方便審計(jì)管理員實(shí)時(shí)監(jiān)控運(yùn)維用戶的操作，一旦發(fā)現(xiàn)高危操作，可以及時(shí)阻斷用戶的訪問(wèn)連接，事后審計(jì)可以利用“操作回放”第一時(shí)間定位事件源頭。
交易中心技術(shù)負(fù)責(zé)人介紹了部署過(guò)程：“浪潮工程師將SSC通過(guò)旁路模式接入網(wǎng)絡(luò)平臺(tái)，實(shí)現(xiàn)了交易中心的網(wǎng)絡(luò)結(jié)構(gòu)‘零變動(dòng)’;SSC還無(wú)需安裝任何的代理程序、插件，從而做到了對(duì)主機(jī)系統(tǒng)性能的‘零影響’，對(duì)正常工作基本無(wú)影響�！痹诰唧w工作中，通過(guò)路由器或者交換機(jī)的訪問(wèn)控制策略限定，只能由浪潮SSC直接訪問(wèn)設(shè)備的遠(yuǎn)程維護(hù)端口，SSC接管了終端對(duì)網(wǎng)絡(luò)、服務(wù)器及應(yīng)用、數(shù)據(jù)庫(kù)系統(tǒng)等訪問(wèn)，也就是說(shuō)所有對(duì)交易信息中心的服務(wù)器、網(wǎng)絡(luò)、數(shù)據(jù)庫(kù)、應(yīng)用系統(tǒng)等的訪問(wèn)，必須通過(guò)浪潮SSC這個(gè)唯一監(jiān)控通道。
對(duì)于SSC的實(shí)施效果，交易中心技術(shù)負(fù)責(zé)人表示：“交易中心現(xiàn)有的服務(wù)器很多都是采用的浪潮產(chǎn)品，一直以來(lái)我們都對(duì)浪潮的品牌和產(chǎn)品比較信賴。在本次采購(gòu)中，浪潮的SSC產(chǎn)品功能和性能表現(xiàn)突出，傳承了浪潮產(chǎn)品的一貫作風(fēng)，在項(xiàng)目驗(yàn)收階段得到了中心領(lǐng)導(dǎo)的高度認(rèn)可。在后期的實(shí)際應(yīng)用過(guò)程中，切實(shí)發(fā)揮了運(yùn)維監(jiān)控和審計(jì)的作用，是數(shù)據(jù)中心運(yùn)維審計(jì)不可缺少的一部分�！�
據(jù)了解，2015年6月，市委書(shū)記任學(xué)鋒到廣州公共資源交易中心調(diào)研，充分肯定了交易中心對(duì)標(biāo)準(zhǔn)化、精細(xì)化、信息化管理理念的堅(jiān)持。
|
