Аудит мэйнфреймов - Mainframe audit

А аудит мэйнфрейма комплексная проверка компьютер процессы, безопасность, и процедуры с рекомендациями по улучшению.

Определение мэйнфрейма

А универсальный компьютер определить непросто. Большинство людей ассоциируют мэйнфрейм с большим компьютером, но мэйнфреймы все время становятся меньше. Условия мэйнфрейм и корпоративный сервер сходятся. Суперкомпьютеры обычно используются из-за их скорости и сложности, в то время как мэйнфреймы используются для хранения больших объемов конфиденциальных данных. Мэйнфреймы обычно являются наиболее безопасным, эффективным и экономичным вариантом вычислений для организаций, имеющих дело с транзакциями в крупном масштабе уровня предприятия.

Соображения

У организаций в разных отраслях разные требования к аудиту и безопасности. Некоторые факторы, влияющие на требования организаций: нормативные требования и другие внешние факторы; управление, цели и деловые практики; и производительность организаций по сравнению с отраслью. Эту информацию можно получить, проведя стороннее исследование, опросив сотрудников, осмотрев центр обработки данных и наблюдая за деятельностью, проконсультировавшись с техническими экспертами и изучив руководства компании и бизнес-планы.

Еще одно соображение - это уровень доступа сотрудников к мэйнфреймам и наличие и соблюдение политик паролей. Доказательства внедрения могут быть получены путем запроса руководств для сотрудников, оценки программного обеспечения и пользовательских историй, а также путем физического наблюдения за окружающей средой. (Гальегос, 2004).

Физический доступ также представляет интерес. Надежно ли защищены кабели от повреждений и защемления между Сеть а дата-центр? Этого можно добиться путем правильной прокладки кабелей, шифрование, и хорошая топология сети. Необходимо провести физическое наблюдение за проложенными кабелями и получить подтверждение процедур безопасности. Для выявления дополнительных слабых мест следует проводить тесты средств управления.

Есть ли у мэйнфрейма доступ к адекватному бесперебойный источник питания ? Имеются ли физические средства контроля, такие как значки питания для доступа, устройства пожаротушения и замки, для защиты центра обработки данных (и центрального блока внутри) от кражи, манипуляций или повреждения? Для выполнения этих требований необходимо физическое наблюдение.

Операционная система

  • Какие средства контроля используются для постоянного обновления системы?
  • Настроено ли программное обеспечение на обновление или это делают системные специалисты?
  • Должны быть предусмотрены средства контроля для предотвращения несанкционированных манипуляций или кражи данных.
  • Правильный разделение обязанностей тоже нуждается в проверке. Внутренний контроль компании необходимо протестировать, чтобы определить его эффективность.
  • Образцы записей в системе должны быть изучены, чтобы убедиться, что средства контроля эффективны, в то время как неавторизованные и подозрительные аннулированные транзакции необходимо расследовать. (Гальегос, 2004 г.)
  • Есть ли в системе какие-либо процессы, которые могут без нужды скомпрометировать другие компоненты?
  • Необходимы процедуры и меры, чтобы минимизировать риск несанкционированного доступа через бэкдоры в системе, такие как таблица свойств программы (PPT).
  • Должен быть точный контрольный журнал, за которым можно будет следить. (The Henderson Group, октябрь 2001 г.)

Сервер безопасности

  • Правильные разделение обязанностей внедрены и применяются, а также существуют ли технологии и процедуры, обеспечивающие непрерывный и точный контрольный журнал?
  • Необходимо установить контроль, чтобы минимизировать риск ненужного и несанкционированного доступа в систему, а также защитить пароли.
  • Для сканирования системы следует использовать компьютерные методы аудита (идеальный вариант - непрерывный мониторинг), при этом следует проводить наблюдения человека для проверки процедур, например, для проверки соблюдения таких протоколов, как разделение обязанностей.
  • Программное обеспечение безопасности, такое как RACF, ACF2 и Top Secret, необходимо постоянно проверять, чтобы убедиться, что они обеспечивают необходимую безопасность и нужна ли дополнительная защита, такая как новые межсетевые экраны. (Группа Хендерсона, август 2002 г.). Эти продукты являются основным механизмом контроля доступа мэйнфрейма, и поэтому при анализе следует проявлять особую осторожность. Убедитесь, что используются правильные типы пользователей и что совместное использование учетных данных никогда не допускается.

Система приложений

  • Заботится о производительности и контроле системы.
  • Может ли он ограничить несанкционированный доступ и манипулирование данными?

Оцените, были ли получены достаточные доказательства

После выполнения необходимых тестов и процедур определите, достаточно ли полученных доказательств, чтобы прийти к заключению и рекомендации.

Как обеспечивается безопасность мэйнфрейма?

Мэйнфреймы, несмотря на их надежность, содержат так много данных, что необходимо принять меры предосторожности для защиты информации, которую они хранят, и целостности системы. Безопасность обеспечивается следующими методами:

  • Физический контроль над мэйнфреймом и его компонентами.
  • Методы шифрования.
  • Внедрение процедур, которые предотвращают ненужные и несанкционированные входы в систему, и этот ввод, вывод или обработка записываются и доступны для аудитора. Это особенно важно для людей с повышенными привилегиями.
  • Программное обеспечение безопасности, такое как RACF, ACF2 и Top Secret.
  • Постоянное тестирование системы безопасности для выявления потенциальных слабых мест.
  • Надлежащая защита доступа к бэкдору.
  • Постоянное изучение методов для определения эффективности.

Чтобы измерить эффективность этого внутреннего контроля, аудитор должен провести внешнее исследование, физически наблюдать за средствами контроля, если это необходимо, протестировать средства контроля, провести предметные тесты и, если это целесообразно, использовать компьютерные методы аудита.

Рекомендации

  • Гальегос, Ф., Сенфт, С., Мэнсон, Д., Гонсалес, К. (2004). Контроль и аудит информационных технологий. (2-е изд.) Бока-Ратон, Флорида: Публикации Ауэрбаха.
  • Мессье-младший, В., Ф. (2003) Услуги аудита и подтверждения достоверности информации: систематический подход. (3-е изд.) Нью-Йорк: Макгроу-Хилл / Ирвин.
  • Ликер, М., Д. (2003). Словарь по вычислительной технике и коммуникациям. Нью-Йорк: Макгроу-Хилл
  • Филип, Г. (2000). Издательство Чикагского университета: энциклопедия науки и технологий. Чикаго, Иллинойс: Издательство Чикагского университета.
  • О’Брайен, Дж., А. (2002). Информационные системы управления: управление информационными технологиями на предприятии электронного бизнеса. 5-е изд. Нью-Йорк: МакГроу-Хилл / Ирвин.

внешняя ссылка