深入SOC2.0系列（1）：什么是面向业务的安全管理

核心提示： 图片看不清楚？请点击这里查看原图（大图），图：以业务为核心的资产管理建立以业务为核心的资产管理体系的优势就在于能够清晰地反映出构成某个业务系统的资产情况，深入SOC2.0系列（1）：什么是面向业务的安全管理(4)，便于业务安全管理责任落实，便于后续针对业务系统的安全监控与审计，这是安全的显性化层

图片看不清楚？请点击这里查看原图（大图）。

图：以业务为核心的资产管理

建立以业务为核心的资产管理体系的优势就在于能够清晰地反映出构成某个业务系统的资产情况，便于业务安全管理责任落实，便于后续针对业务系统的安全监控与审计。

在建立业务资产库的时候，还有很重要的一项工作就是要标定业务系统的固有价值。这个工作是在实施顾问与客户协作下完成的。一般地，业务系统的价值可以通过构成该业务系统的资产价值进行换算得到。有了业务价值，就为业务运维保障人员建立了工作重心的导向性，对于高价值的业务系统将予以重点保障。

特别地，SecFox-UMS独有资产属性扩展功能，使得用户可以针对相同的一组资产构建多棵面向不同主题的资产树，除了基本的业务资产树，还支持按照等级保护安全域划分的原则构建一棵安全域资产树，或者安全等级资产树。

3.3 业务监控与审计

在建立了业务资产库之后，一切都将围绕形式化表述的业务系统进行功能展开。以SecFox-UMS统一管理能够为例，将业务系统映射到IT资源不是实施的最终目的，为了能够让客户和运维人员能够真正用好安全管理平台，实施人员还需要与客户一起建立业务的运行监控指标和安全监控指标体系，实现从IT资源到指标体系的映射。

在SOC2.0中，业务监控与审计包括两个方面的内容：

1）　　　 业务的运行监控：即确保业务运行的可用性和连续性。这是安全的显性化层面；

2）　　　 业务的安全审计：即确保业务操作的安全性和合规性，通过对业务相关的安全事件关联分析发现外部的入侵和内部违规。这是安全的隐性化层面。