深入SOC2.0系列（3）：安全审计与安全管理平台的融合

核心提示： 同时，对于已经或者即将建立统一安全管理平台（SOC）的用户而言，深入SOC2.0系列（3）：安全审计与安全管理平台的融合(8)，为了不增加安全体系的复杂性，需要将安全审计的需求与SOC需求一并进行统筹考虑，例如，借助SOC2.0的关联分析引擎和业务规则描述语言，在本系列文章的第二篇，我们已经分析

同时，对于已经或者即将建立统一安全管理平台（SOC）的用户而言，为了不增加安全体系的复杂性，需要将安全审计的需求与SOC需求一并进行统筹考虑。

在本系列文章的第二篇，我们已经分析了SOC2.0的统一管理模型，如下图所示：

图：SOC2.0的统一管理模型

对比两个模型，可以发现，本质上，统一安全审计模型就是统一管理平台（SOC2.0）的一个纵向子集，只是更加关注于审计这个功能维度而已。此外，由于 SOC2.0模型本身具备可裁剪性，因而这种融合也具有了可行性。如下图所示，展示了统一安全审计在SOC2.0中的映射关系：

图：安全审计与安全管理平台的融合

通过安全审计与安全管理平台的融合，使得安全审计体系的建设与安全管理体系的建设目标达成了一致，有助于企业整体安全体系的形成和完善。对于客户而言，下一代的安全管理平台（SOC2.0）始终是IT管理的终极管理平台、一体化的平台。

此外，借助统一安全审计体系与SOC2.0的整合，传统的对象安全审计提升到了业务安全审计的层面，更加体现出了统一安全审计给客户的价值。例如，借助SOC2.0的关联分析引擎和业务规则描述语言，用户可以定义如下的业务审计规则，并真正得以执行：

所有业务系统A的维护终端群只能在工作时间以维护人员帐号集的身份访问业务系统A的核心数据库服务器机群；