随着企业IT信息系统的不断发展壮大，各类主机设备、网络设备、安全设备的数量也在迅速增长并且种类繁多、部署分散；企业各类IT资源的关联程度和依存程度相应提高，某个系统内的漏洞和风险容易向其他系统转移和扩散，进而影响企业IT资产的正常生产和运营。

企业在应对信息安全问题时，大多采用了头痛医头、脚痛医脚的被动式防御策略，但这种缺乏统一性、系统性的应对措施很难治本，所面对的信息安全问题日益突出，主要表现在如下几方面：

● 缺乏统一的安全政策制定与执行

企业的安全政策的制定和落实没有统一的平台，政策执行的效果也无法得到全面清晰的反映；

● 安全事件无法及时发现

没有统一的安全事件收集、监控平台，安全事件无法及时发现、及时处理；

● 安全事件无法准确定位

安全事件发生以后，由于技术条件限制，无法准确定位到发生的位置，也就无法有效的采取措施；

● 缺乏统一的主动作业质量考核与被动事件考核

没有一套量化的安全工作评价机制，难以对下级单位、合作伙伴的安全工作作出考核，难以调动安全人员的积极性；

● 安全工作缺少统一展示的平台

各级管理者和安全工作人员无法及时共享整个中心及各地市的安全工作信息，影响安全决策的准确性、及时性。

如何做好企业级IT资源安全管理

通过对大量企业IT资源管理现状的分析与研究，我们认为要做好企业级IT资源安全管理，需要从技术和管理两个层面进行加强。

● 技术层面：着重打通企业各分散安全系统的信息壁垒，加强信息的共享和传递，实现一体化的企业级IT资源安全管理。

> 建立集中的安全信息库，统一构建企业级的安全系统模型，同时兼容各个专业安全系统的数据模型，集中存放各系统的安全数据信息，消除信息孤岛；

> 集中管理企业的安全策略，监控和反馈全网的安全态势；

> 达成各专业安全系统的连通、互动，打造安全协同防御机制，提升各个安全系统的价值。

● 管理层面：建立一套健全的企业IT资源安全管理体系，规范安全管理的流程、制度、组织架构等，使企业安全管理工作标准化、有序的进行。具体对应各层面的人员提供下列支撑。

> 执行层：提供安全管理执行层面的电子化工作流程，并建立企业安全管理知识库指导一线安全管理人员进行安全管理工作；

> 管理层：提供一套可量化的安全工作评价机制，实现对下级单位、合作伙伴的安全工作作出考核，调动安全人员的积极性；

> 决策层：提供整个企业及各地分支机构的安全工作信息，安全态势的全局视图，保障安全决策的准确性、及时性。

从兴IT资源安全管理平台设计思路

从兴公司基于对市场上现有安全产品的适用领域和功能分析，以及对企业级IT资源安全管理需求的调研，结合公司自身在技术领域的多年积累，提出我们的设计思路。