萨班斯法案与企业IT风险管理_启明星辰安全服务总监陈洪波访谈

《萨班斯法案与企业IT风险管理_启明星辰安全服务总监陈洪波访谈》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、行业分析IndustryAnalysis萨班斯法案与企业IT风险管理风险管理——启明星辰安全服务总监陈洪波访谈本刊记者胡晓荷2002年美国国会通过的《2002上市公司会明星辰作为一家专业的信息安全企业，在参与萨班斯法案工作中对于自计改革与投资者保护法案》(简称：萨班斯法案)己的角色定位非常明确，启明星辰与那些全职做财务审计的公司不同，对业界人士来说已经不陌生，该法案对公司治启明星辰更擅长的是基于萨班斯的IT审计要求，为客户提供专业的信理、会计师行业监管和证券市场监管等方面提息安全咨询与审计服务。出了许多新的严格要

2、求，并设定了问责机制和相应的惩罚措施。由于被业内人士看作是20世2005年揭开萨班斯法案安全服务序幕纪30年代以来，美国最严厉的财务法则，加上启明星辰参与萨班斯法案工作起始于2005年的下半年，当时承担了国监管的范围是在美国上市的所有企业，当时这内某知名运营商的一个项目。在2005-2006年，这家运营商财务部的高层乃个“时髦”法案的出台既引起了全世界的关注也至整个运营部的高层都非常重视萨班斯法案的工作，当时在国内整个萨班斯在业界激起了不小的波澜。法案工作的实践方面，这家运营商也是起步非常早的。当然在最初也是摸着

3、尽管萨班斯法案2002年就出炉了，但真正石头过河般的在做相关工作，传统行业最开始并没有接触到萨班斯这一块。在中国的落地与实践，还是国内的大型企业在当时一家美国审计公司已经帮该客户做了严格意义上的萨班斯审计，同时美国上市以后。很多在美上市的国内大型企业也耗费了大量的人力、物力、财力，也收到了比较明显的效果。在通过财是从2004年底开始准备这项工作。务审计之后，客户仍旧感觉在信息安全方面做得不够，对其核心财务系统据悉，为了符合萨班斯法案的标准，尤其是的安全状况仍旧不能掌握，所以在2005年下半年启动了一项专门针对萨班

4、404条款关于建立内部控制体系的要求，无论是斯审计范围之内某财务系统的全国范围内的风险评估与整体咨询，这个评美国本土公司还是在美国上市的中国公司都面估更多的是站在信息安全的角度。在经过对国内安全厂商的深入了解之后，临着巨大考验，可以说花费了大量的人力、财力该运营商专门找到启明星辰公司，由启明星辰专业的安全服务团对其从基和时间。在与这项极具挑战性的法案密切相关础技术、管理运维以及财务系统自身安全性这三大维度给出全面评估。项的实践案例中，国内信息安全公司启明星辰参目实施后，不但完全符合萨班斯的要求，而且实实在在地从三

5、大维度提升与的重大客户项目到目前为止已有几十项，其了该应用系统的整体安全程度，该运营商对服务效果表示非常满意。中，运营商、央企是启明星辰很重要的一类客“客户的满意点在于，确确实实感觉到这个业务系统本身的安全管理、户。启明星辰的主要客户集中在金融、电信、政运营、基础设施的安全性以及财务系统自身的安全程度得到了显著提升。”府、能源⋯⋯等大型企业或机构，那么启明星辰陈洪波说。对萨班斯法案有着怎样的解读，又为其具体做启明星辰在评估中发现，该运营商的财务系统从底层的技术设备到财了哪些贡献？对此，本刊记者专门采访了启明务软件

6、本身都存在一些问题，并据此提出了安全方面的建议。在采纳了启星辰安全服务总监陈洪波先生。明星辰的建议之后，该运营商针对管理运维、基础设施安全以及财务软件陈洪波表示，萨班斯法案的主要要求是针自身的安全性等几个方面重新进行了安全增强。可以说，这些方面在财务对上市公司财务的运营、监管、审计等等。启审计公司的审计范围都有涉及，但在深度上做得不够，而IT内审中的深信息安全与通信保密·2009.725行业分析IndustryAnalysis度安全风险分析恰恰是启明星辰这种专业信息安方面的人员投入也非常大，整个公司有将近100人

7、的一个专业服务团队。全厂商的优势。事实上萨班斯对IT系统的要求而据记者了解，专做萨班斯的国外财务审计公司，他们在IT方面的人员在于运维的安全性、可用性和对财务制度的符合投入，10多个人就算多的了，很多时候是几个人。性。在安全性和可用性方面，尤其是安全性方针对萨班斯的产品和解决方案，启明星辰也陆续进行了完善。狭义的面，启明星辰发现的问题可以说给这家运营商很方面，启明星辰专门针对运营商开发了4A审计平台和解决方案，可以说多提示，带来的一个直接效果是，项目还没有结完全是契合萨班斯要求的；另外公司的主打安全产品也针对内控

8、内审的要束，客户就已经开始让开发商修改系统进行二次求为用户实现了定制，比如天玥审计产品、天清汉马UTM(统一威胁管开发，重新定制开发业务系统的安全功能模块。理)、泰合安全管理平台(SOC)等，都与萨班斯紧密相关。启明星辰专业安全服务中心在2008年开始，陆续推出了6大类安全萨班斯之惑服务17个标准化的产品包，涵盖安全风险评估类、安全管理咨询类、等启明星辰在2005年开始为