企业实施信息安全审计的关键流程(3)

安全审计范畴

很多企业在确定审计范围时不要花费什么时间。对于审计小组来说，把审计限制在实体位置和逻辑小组就很简单了。

更难的，也是更有价值的是划定审计区域。关键就是根据风险系数制定出优先的安全流程。 譬如，有一些是不断造成非常小的风险，而身份管理就可能造成严重危害。在这一案例中，身份管理流程就应该包括审计过程中，那些小的风险可以忽略。

许多咨询人士和分析人士似乎都对来年的安全风险有一个明确的认识。Gartner估计80%的风险集中于如下四个方面：

网络访问控制(NAC)。NAC就是检查访问网络的用户和系统的安全性。这是任何访问某个网络的用户必须面临的第一道安全检查。NAC也会检查已经进入网络的用户和系统的安全。有些情况下，NAC还会根据已知的风险或用户矫正或是应对风险。

入侵防御。入侵防御涵盖的范围远广于传统的入侵检测。实际上，这与NAC有些类似，都是防范已知的风险。入侵防御会加强政策的执行从而将风险范围缩小到最小范围。

身份和访问管理。它控制什么人什么时候访问了什么数据。主要采取的就是授权证明，越来越多的政策管理的存储也是很关键的因素。

漏洞管理。漏洞管理根据根原因分析处置风险，采取有效的措施应对特定的风险。