《原来茹此》第四十一期：安全审计保护企业“血液”

主持人：这个产品刚才说其实它是针对大中型企业，其实这跟以往的金万维的定位是不一样的，金万维可能还是在中小企业的市场。

嘉宾：对对对，像这两款审计他们是有所区别的，实际也可以说一下就像刚才我说的大中企业，实际小型企业也有，小型企业它有一天它也会长大的，不可能，咱们不可能把小型企业，就认为他们小，他们数据就不重要。所以就是说，这两款产品，我可以针对这些大、中、小这些企业，给他们说一下，这些共同点和一些基本的区别。首先共同点都一样，TSA和SSA都是针对咱们国家这种应用习惯，这种国情，首先该是来调研他们这些风险点，之后来开发这些产品，TSA它是针对应用人员，举个简单例子，比如说您是一个财务人员，那么财务人员、财务报表、财务数据在企业里面很关键的，那么说老板、CEO想对财务人员，想对你做监控，那么你用这个财务软件，说明你应用了，那么我们的TSA，就可以面向来做审计，这是一点，但是不能够忘记，还有一部分人，也是企业的一些关键任务，那这些人就是维护他们这些，像财务软件，像路由器交换机这些核心设备的运维人员，像这些人咱都把他称之为运维的。那么SSA它主要就是针对的是这些运维人员来审计。所以说这两点，就是一个比较本质的一个区别。

然后，如果说用一句话来概括的话，那么TSA它就是对应用人员来审计，SSA就是对运维人员来审计，这就是他们两个的最基本的一个区别。那么说他们两个共同点是什么，就是说两款产品，TSA和SSA，他们都能够对这些运维或者使用的人来审计，然后对于这些人来授权，这个人指的就是使用者和运维者，包括对于他们过程能够录像，从开始到结束，那么把你的一举一动，全部通过录像的方式录下来，包括最后对于他们的使用情况，可以做一些报表统计分析，这些都是他们一种基本的共同点。

主持人：对，其实我大概听明白，就是说TSA它是一款，可能业务各条线都是有可能的，因为他只要用了企业一些应用系统的这些人，他应该就是OK的，都是要针对这些人的，所以他这些是没有任何的，有一些是没有什么IT常识的人，其实他可能产生误操作可能性会比较大，原因是没有IT常识。那其实运维人员多数来说，企业的IT运维还是有一些IT常识的，那其实什么样类型的企业，他会比较适合说，我用TSA还是说用这两款产品对任何企业都是有的，而且是可以同时存在的。

嘉宾：这个问题，就是说什么类型都是适合TSA和SSA，这个像刚才咱们前面说的，大中型的有可能更适合SSA，小中型企业有可能一个公司里面他就没有网管，没有这些运维的人，那么它可以用这些TSA，但是实际也不然，也不可以这样说。所以怎么来说，我的理解是什么，就是说只要是企业，你想保护你的数据，那么你都可以上这些产品，也就是说这个宏观来说，就是说是只要你想保护你企业的数据，那么你都可以上这个审计，这是宏观来说，小的来说就是防家贼、管内控。你感觉我这个财务人员或者我这个运维人员，他们运维这些最核心的东西我不放心，那么这样的情况下，咱们也可以上这两款产品或者其他的。再比如说，一个新人，就像刚才您提到的误操作，一个新进来的一个工程师，他对这个核心的服务器或者数据库，进行操作，那么突然出现了问题，这个问题怎么出现的，如果说没有通过第三方其他设备进行监管，这个画面是没有办法回放的。所以像这样的，也可以上这个审计。再比如说，出了问题之后，两个人我都运维了这个服务器，或者两个财务人员，我都对这个财务做了一些修改，那么将来出了问题，你们两个到底是谁做的修改，一个责任的划分，这个时候，如果说企业有这样的问题，也可以的，所以说就是具体就是说，什么企业能够上审计产品，他是没有界限的，那就要看这个企业，他们对于信息程度的一个保护的程度如何，看看他人事部认识到信息的重要性。如果说认识到了，那么就是一个公司没有几个人，他也可以上这些东西。

主持人：我觉得可能说是从目前来说，就是信息化在企业当中那种普及程度，以及说IT的重要性，我觉得可能多数企业，绝大多数企业还是需要这样一种审计产品的，我想往细一点问，就是说这两款产品，具体到企业里面，因为我刚才听好像是，就是大概是关于很多是在监控层面的，我想知道比如像TSA它具体在企业当中，它整个，我企业引入TSA这个产品，大概的模式是什么样的，流程是什么样的，还有就是说它只是监控吗，还是它本身有预防风险的一些功能。

嘉宾：你说这样，就举一个简单的例子，就比如说TSA这个产品，在一个小型的企业，上了这个东西之后，那么咱们可以针对财务人员，可以设定他，你想使用这个财务软件的话，那么你必须在正常上班的时候，你可以打开财务报表，或者是登陆财务系统，如果说下班之后，那么你就无权登录了，这个时候是财务人员他是没有办法，没有能力，说我下班之后我照样可以登录，这是没有他可以做到的。那么这样就是最基本的一个，咱们可以把时间点控制在这个企业允许的范围之内，那么不通过像财务软件他们本身这种功能，通过第三方的这些，就可以很好的对于这些财务人员做一些管控，这是一个。再比如说SSA，一个公司的发展，就是说运维这一块，可以说咱们也可以称之为后勤这一块，是很重要的你像如果说公司，一个大的公司，他们对系统或者对他们一些业务系统，或者其他一些系统，开发增加一些模块，那么他们有可能就需要，找到第三方的开发人员，来进行外包。那么在这种情况下，有可能第三方的人员，他不会直接到你公司来操作这些东西，那么他们有可能通过远程的方式来登录到你这个地方，这个时候你就要考虑一下，他们远程过来之后，对我们的服务器做了什么，如果说将来出了问题，那么他们有可能是他们操作的，但是他们说不是我们操作的，是你们自己的业务人员来操作的，那么这个时候怎么办，所以如果说，之前咱们可以通过一些比如说SSA这种设备，咱们也可以设定，运维人员你运维到我们主干网之后，你只能访问某一个服务器，这些核心的数据库你是没有权访问到的，这是一个权限的划分。你访问这个服务器之后，你在上面做了一个操作，比如说是一个删除的操作，很危险的，这个时候，就需要我们内部的人，来确认这个操作，是不是合法的，如果是合法的，那么我们就放行，如果是不合法，那么我们只有阻断，那么我们就是判断这个过程的时候，同时也是降低风险的时候，如果说咱们没有这一套设备，那么第三方外包人员，他有可能删除了这个东西之后，会造成一定损失，这个时候再找他们已经晚了，损失已经造成了。所以说能够做到一个事前的防范，事中的管控，这是非常重要的。

主持人：对，我觉得可能是说，对于很多企业而言的话，肯定也借助这样的产品，将你的使用IT和维护IT整个过程进行一个比较制度化的管理，比较强制的一个去管理一个规定规范下来，其实我觉得可能在现在市场上，关于因为安全的问题一直在讨论，在市场上关于安全的产品也很多，各个层面的，其实安全审计产品，也有一些厂商介入进来，所以我想知道说金万维推出这样两款产品，你们的优势是什么？

嘉宾：实际上我现在认为，想说某一款产品的优势，在目前咱们国内这几年发展的也是比较迅速的，这个已经可以说是一个同质化的东西，那么我是怎么看待这个问题，然后咱们扒开这个问题，拨云见日看本质，怎么说呢，要了解咱们未来咱们信息化发展过程，会有什么问题，那么咱们通过这个问题，来找到这个答案，就像刚才我说到这，这个风险点。那么我们就是说，能够很好的，就是比较准确的，都是把这个风险点能够定位，这是第一，第二这个理念把握的也是比较标准的，然后本身我们审计这一块基础也是比较牢靠的，所以说从目前这个市场上竞争来看，我们的产品也是在稳步推进，有条不紊的在进行。所以我还有一个观点就是说，用我们的产品或者是用别的产品，最基本的就是说不是把这个产品卖给了客户，而是通过这个产品，来帮助他们实实际际的把这个问题解决掉了，也就是说通过我们的产品，能够把他们的风险降到最低，给他们提供一些比较安全的防范的建议，这才是主要的。还有一个就是说通过这些年，我们可以把我们的这些审计的一些思想，审计的一些经验，包括一些防范的策略，还有一些审计的办法，把这些东西传递给我们的客户，帮助他们企业的信息中心更加稳步、更加健壮，我感觉就是这一点，应该是比这个友商，是有一定见解的。

主持人：对，我觉得可能说产品本身是一个方面，可能更多的时候因为金万维在这个市场，也这么多年了，肯定有自己的一些理解、一些经验，我觉得可能说到产品的话，对于多数很多企业而言，如果他选择的话一定会想去看看说，有没有一些比较好的案例，我想目前来说金万维在这两款产品上有没有比较好的案例。

嘉宾：我可以简单介绍一个案例，这个案例是一个连锁酒店的案例，总部在南方，具体名字我就不说了，然后我可以简单说一下他们的背景。这个背景就是说，连锁酒店，就拿像咱们七天、如家，像它们这种连锁酒店，一般的二线城市，甚至有的三级城市他们都有这种店，咱们这个连锁酒店就是说，光分店就有1000来家左右，而且哪个分店里面都有这种服务器，服务器，只要有服务器那么就需要人来维护，这个维护他们的制度是这样的，就是说总部有一部分人，是维护全国的这些服务器，但是每个分支机构或者每个门店，他们都有独立的一到两位工程师，而这些工程师都是本地的工程师，经过一段时间之后，发现问题了。什么问题，就是说第一个，就是分支机构这些服务器出现问题了，然后下面的分支机构的人员在上面折腾了一个小时，最后问题没有解决，打一个电话到总部，总部人员远程上去之后，问题已经面目全非，已经不是以前那个样子了，有可能这个时候，他再解决，他要询问工程师，出现了什么问题还记得吗，你在上面做了什么还记得吗，早都不记得了，这个时候，总部的这些工程师，就比较头疼了，这是第一个问题。

再一个问题，总部的这些工程师，因为人很多1000家店，比如说一个店里面一个工程师，有可能还有好多工程师，这些工程师的水平参差不齐，有的技术很牛，有的技术说句不好听的就是很菜，小菜鸟这样，如何提高这些工程师对这个问题整个的一个，或者提高他们的工作效率，当时他们就是说，给我们提了想对他们做集体的培训，培训就是说不好实现，人太多，而且水平也不齐，那么当时我们给他提了之后，你可以这样搞，就是通过我们审计产品，因为本身它就是一个互相的东西，你把这个问题解决之后，你可以把解决这个问题的录像作为一个教材，通过把这个教材往下发放，让这些人主动来学习这个东西，这样的话既对于他们做一个监管，也对他们，通过这个教材能够让他们学习。再一个就是说什么，就是针对这些人，运维人员，他们有可能技术不是那么高，搞一些数据库的一些东西，有可能不知道这个数据库，不清楚，或者有一些误操作的原因，把这个东西搞挂了，那么这个时候，我们就可以通过把这个录像回放，你删除了什么东西，再通过这个问题，来解决这个问题，这样的话效率就会提高，连锁酒店，如果说一个系统，或者是做出了这样一个系统，一个瘫痪了，那么绝对会影响他们的运营。所以说这就是，就是一个简单的一个连锁酒店，用我们这个审计产品的简单例子。

主持人：其实我觉得，虽然是一个酒店行业的一个案例，但是我觉得，可能刚才您提到那几种情况，在酒店里面遭遇到了一些问题，可能在很多企业当中都会存在误操作的问题，压根搞不清楚什么状况的问题，还有其实水平参差不齐，培训带来一些困难，我觉得在很多企业都会存在，所以对于很多企业而言的话，可能有这样一款产品，确实有利于你，一个是你，我觉得可能还是人员的问题，就是你人员的管理问题，是比较好掌控的。我记得在开始的时候，李总提到了一个话题，关于安全审计市场，明后年会达到一个井喷的状态，我觉得很多人听了会很高兴，尤其是友商们听到以后也会很高兴，我想知道，其实在具体上来说的话，您认为这个市场，这个井喷，你认为是用户的需求还是说，包括这个市场上一个产品的发展的走向，包括你们金万维自己，你们有没有这样的一个规划。

嘉宾：是这样，像一开始咱们就提到这个井喷，这个井喷是一个趋势，也就是说最后必然会井喷的，为什么，就像刚才我提到的，这个企业的数据就是一个企业的血液，你血液没了，这个企业就会倒下去的，那么你想要很好的保护这个数据，那么你就必须上这个产品，有一句话怎么说的，堡垒往往是内部攻克的，这句话怎么理解，你像以前一个企业它成长，老的企业，老三样，哪三样，病毒库，装一个杀毒软件，防火墙，这是第二，第三个是一个像入侵检测系统，老三样。但是随着这几年的发展，起不了作用了，继续搞，往上继续加，可以加一些像入侵防御系统，像一些上网行为，像这些，实际上这些产品上网之后，对一个企业来说，外部环境是非常固定非常安全的，外部环境指什么，你想一个黑客或者是，不是一个很专业那种黑客，你想从这个穿透咱们防火墙，再进入他们里面盗取数据，那几乎不可能，他们就是一定要想办法，我想得到你这个数据，那么我正面攻击不行，那我一定要侧面迂回，迂回怎么搞，那就是内部瓦解，我可以搞定你内部的关键人我就行了，这个时候就是说，企业就要考虑到，实际现在已经外边很安全，我只要把这个关键人搞定了就行了，那么关键人怎么搞定，那么咱们就要对这个关键人制定一些安全防范的一些策略，然后用这些策略来约束他，来管控他，这是一点。

还有一点就是说，像刚才就是咱们谈到了一下，目前的安全审计市场如何，想了解将来咱们国内安全审计的发展情况，实际上在谈这个发展之前，我还想聊一下，作为一个运维工程师，他的发展阶段，你像最早的一个原始阶段是什么，就是仅有人和系统，人是关键，这是比较早，有可能是十几年前的事情，然后进入一个流程制度系统，这个时候就是人和IT的设备之间都已经有了，这个时候需要一个流程，比如说你进机房，你需要签一个字，你进去之后你要做什么事情，在一个流程，有这样一个流程的一个东西之后，这个流程做什么，就是说需要你这些人来遵循就行了，然后再往后，应该我认为就是现在的一个阶段，运用审计的阶段，从以前总结的这些流程中，把这些规则写到程序里面去，通过这些规则，来直接对运维人员进行监控，你像刚才说的第二个阶段，流程阶段，我有了这些流程之后，这个运维人员或者使用者，你遵循不遵循这是你的事情了，有可能我素质高，我看到这个流程或者条文之后，我不能做这个事情我就不做了。但是如果说，咱们把这些流程，灌输到一个设备里面去，这个设备就是一个SSA这样的一个审计设备里面去，无论你这个人素质高或者素质低，你都要遵循这样一个系统。所以就是说，通过这些一步一步发展，包括你像现在国家一些信息安全部或者发改委一些，他们也发布了好多类似的这些审计方面的一些条文，你比如说像ISO27001这样一个标准，里面就有一款提到，必须要求这个组织对运维人员的操作，能有纪录。所以说随着国家法律法规的完善，包括企业对信息安全认识的逐步提高，所以就是说，在不久的将来，咱这个市场是非常好的，所以有一个井喷的现象。那么作为我们，金万维就是说以后想怎么样在这个市场上，能够开拓，其实我的理念是这样的，现在这个产品，就是说还是要，一句俗话就是要接地气，一定要理解咱们企业，他们的信息中心需要什么，然后理解他们需要什么，针对他们的问题，然后来做出这个产品，在这个基础上，要做到更精、更细，能够满足不同要求，以及不同人群的需求，所以说这个就是我们下一步，金万维要开拓这个市场的一些计划。

主持人：对，其实随着一些IT设备一些机械化的东西，在企业当中占领越来越重要的时候，可能我们也是会忽略一些，人本身他的因素，可能会带来积极，可能会带来消极，比如一些所谓误操作也好，或者是因为自身的水平能力问题，所带来的一些消极的因素，可能我们也正好是利用一种信息化的技术，来解决这样的问题，那我相信可能也随着说，我们国家体制的完善来说，我觉得那样的井喷，一个是说我们站在一个厂商的角度，来看这个问题是说，这个市场确实前景会越来越好，其实站在企业用户的角度来说，这个东西应该成为一个态度，应该是你们企业的一部分，应该是你自身的发展的一部分，这应该也是说，我们说企业信息化发展必然要走到的一个阶段，其实今天我们也非常谢谢李总，给我们带来分享了那么多关于审计市场的一些话题，尤其关于企业内部的一些，它本身如何去做这样很好的分享，我们也希望说，对于企业而言，这种信息安全问题，不会成为一个很大的困扰，应该说每个企业都是应对有效的，好，我们今天谢谢李总。

嘉宾：好，谢谢，好谢谢大家。