企业信息安全解决实施方案456

...wd......wd......wd...企业信息安全解决方案白皮书目录1概述31.1信息安全面临的难题分析31.2如何实现高效卓越的企业信息安全体系41.3信息安全方案特点61.3.1设计根本原则61.3.2建设目标及要求71.4安全体系根本内容81.5安全体系构造建议81.6信息安全通用方案91.6.1安全系统架构91.6.2安全管理系统-制度建设101.6.3边界防护设计111.6.4系统安全保护131.6.5应用系统安全151.6.6数据安全防护161.6.7安全保障手段和技术方法要求161.7信息安全专项方案171.7.14A安全解决方案171.7.2PKI安全解决方案21概述信息安全面临的难题分析网络带给人们很大便利，但互联网是一个面向群众的公开网络，存在安全隐患。网络的安全形势日趋严峻，对很多公司来说，信息安全不仅是挑战技术，更是生存的历练。一般来说，公司关注的安全威胁包括下面几种〔按照关注程度从高到低排序〕：病毒或蠕虫间谍软件/流氓软件垃圾邮件未经授权的雇员对文件或数据的访问外部人员偷窃客户数据网络钓鱼和域欺骗带有公司数据的可移动设备遗失或失窃知识产权失窃拒绝服务攻击或其他网络攻击僵尸网络对IT资源的远程控制对无线/RFID系统的攻击VoIP入侵公司在安全防范方面进展投资以期获得回报，一般来说，是为了到达几个目的：员工处理安全相关问题的时间减少更好地保护客户数据安全漏洞减少网络宕机时间减少改良对知识产权的保护采取更好的风险管理策略用于处理偶发时间的时间减少这些年来，一系列财务失败事件的发生加强了人们对企业风险的关注。美国在2002年公布了《萨班斯-奥克斯利法案》，我国相关部委也发布了有着中国萨班斯法案之称的《企业内部控制根本标准》。内控标准要求企业将内部控制框架纳入企业风险管理框架中，要求企业进展信息化系统落地，要求企业遵从财政部、国资委相关管理条文要求，特别是在战略、财务、法律风险管理信息的搜集、风险评估、风险行为管理等方面，符合深交所、上交所关于上市公司加强内部控制和信息披露方面的要求和控制点。如何实现高效卓越的企业信息安全体系企业需要评估IT安全风险，获得相关建议，降低安全复杂度，并量化安全投资的价值。企业一般以信息化根基架构作为信息安全的切入点，希望防患于未然，将安全嵌入到业务流程和内控制度中，提供更好的整合度，变人工干预为自动化，从而提升管理和监控的效能。企业也认识到，需要与国际安全标准接轨，在内部贯彻ISO27001和ISO2000、ITIL，能更好保证管控制度落地，有效杜绝安全隐患。我们建议，实现高效卓越的企业信息安全体系，可以参考如下过程，同时这也是我公司的信息安全咨询服务流程：首先，基于企业自身安全方面的成熟度和企业信息安全需求，结合国家和行业政策标准要求，进展合理评估，制定最正确的安全策略和风险防御方案。在瞬息万变的形势下，企业应从整体角度考虑信息安全的投资和安全保障风险的价值，制定符合自身需求的安全策略和风险防御方案，并随着市场压力的变化和业务目标的调整，不断调整企业自身的应对策略，追求安全能力的动态平衡。企业的治理活动包括设定经营战略和目标,确定风险偏好。制定内部政策和监视绩效;风险管理活动包括识别和评价那些可能会影响目标实现能力的风险,应用风险管理来获得竞争优势和确定风险应对策略和控制活动;遵守活动包括遵照目标经营,确保遵守法律和法规、内部政策与程序以及利益相关者的委托。其次，对企业进展信息安全能力评级，结合各类风险知识库和标准的风险评估流程，从资产调查开场，进展安全管理评估、网络安全评估、应用安全评估、主机安全评估和漏洞测试，进展系统安全等级评价和差距评估。然后，构筑企业的信息安全路线图，寻求安全的解决之道，通过信息安全技术与产品的优化组合，寻求最优解决方案。最后，提出实施方案，进展安全体系实施，形成安全的最正确实践，并在此实践的根基上进展日常运营和持续改良。在整个安全体系的建设过程中，应重点梳理业务系统相关实施与运维支持相关的制度和流程，以内控管理制度为根基，参考ISO20000及ISO270001相关标准，设计具有一定前瞻性的业务系统内控体系框架；对业务系统关键流程、风险控制、制度及文档体系进展评估，提出内部整改方案，与信息安全解决方案整体考虑，统一实施。在公司控制层上，应形成有效的IT治理架构、IT战略与规划、IT组织与政策等。我公司信息安全解决之道：我公司拥有多年的企业信息化建设的经历，在企业信息安全方面可以提供专业经历和行业知识，能够运用我们的解决方案和专业技术，确定业务和技术的开展趋势并寻求最正确解决方案来帮助客户。我们的咨询团队可以深入了解客户业务，帮助客户实现卓越高效的信息安全。在信息安全的几个领域，我们拥有先进技术或有长期合作的技术领先的公司，我们携手合作，为客户提供最正确的服务。比方，在身份认证和访问管理方面，我们与日本NTTData合作，提出统一用户管理VIM和单点登录〔SSO〕产品解决方案；在数据安全和隐私方面的保护方面，我们提出DRM数字版权管理解决方案，可以有效防范数据泄密，保证数字产品的授权、加密、阅读、转换等过程中的数字版权保护；在企业安全应用、根基架构安全以及业务的连续性管理方面，我们结合日立公司的系统运行管理软件和桌面管理软件，全面介绍这方面的解决方案。信息安全方案特点设计根本原则安全体系建设总体目标是：对企业信息化进展全方位、分层次的安全保护，建设动态信息安全防护体系，实现加强系统的安全，保障网络的畅通及相关应用系统的可靠运行，减少各种安全事件对信息系统的威胁，防止信息安全事件造成的损失。建设系统安全体系应遵循以下原则：整体性原则构造化分析安全问题，做到全面覆盖，突出重点符合性、标准化与标准化原则依据国家信息安全政策、符合相关法规标准要求。安全体系的整体设计要求基于国际标准和国家公布的有关标准〔比方：等级保护、分级保护、SOX、企业内部控制根本标准等〕，坚持统一、标准、标准的原则，为未来业务开展奠定良好的根基。针对性原则根据客户组织构造特点，网络特点、业务特点，针对性解决安全问题。可持续性，灵活性与可扩展性原则应满足信息系统全生命周期的持续安全保障要求。安全体系设计必须具有良好的灵活性与可扩展性，能够根据业务不断深入开展的需要，提供技术升级、系统更新的灵活性。在软件升级时不应影响组织的日常办公工作。可管理性与易维护性原则随着公司业务的不断开展，安全管理任务必定会日益繁重，因此系统安全体系的建设必须有良好的可管理性和易维护性。建设目标及要求信息安全保障工程建设的总体目标是：切实为信息系统提供可靠的安全服务，增强信息系统安全性，从技术角度防范信息系统安全风险，为促进业务系统效率提供安全保障，实现系统的安全资源共享和相互配合服务，为信息系统数据传输提供安全保障，全面推动信息系统安全在系统中的应用。安全体系建设的具体目标：构建可信可控的网络平台合理划分安全域，明确不同安全域之间的信任关系，并相应地采取物理隔离、防火墙、访问控制列表等安全措施，实现不同安全域之间网络层面的访问控制和检测；构建安全可靠的系统平台通过部署完善的各安全子系统及存储藏份系统，并结合全面的安全服务和管理，实现系统层面的访问控制和数据的存储安全；构建安全有效的管理平台在充分利用目前先进的安全技术的根基上，加强管理建设，建设有效的责任机制、人才培训机制、应急响应机制，完善安全管理制度，为信息化建设和运维提供安全有效的管理保障。安全体系根本内容信息系统安全管理是由用户、应用软件厂商、系统软件厂商、硬件设备厂商等多方提供的，对于安全体系的分析大体如下：系统安全应包含以下三方面的内容：保密性：防止网络中信息被泄漏或被非授权实体使用，确保信息只能由授权实体知晓和使用；完整性：系统的数据不被无意或蓄意的删除、修改、伪造、乱序、重放、插入或破坏。数据只能由授权实体修改；可用性：数据或服务在需要时允许授权个人或实体使用。从网络安全技术的观点分析，安全问题分以下几类：1、物理安全：是主机和网络设备等硬件的安全。2、网络安全：通过网络链路传送的数据被窃听；非法用户与非授权的客户的非法使用，而造成网络路由错误，信息被拦截或监听。3、系统安全：目前流行的许多操作系统和数据库系统均存在系统安全漏洞，如Windows操作系统和其它一些操作系统。4、应用安全：事实上在网络系统之上的应用软件服务，如应用服务器、电子邮件服务器、Web服务器等均存在大量的安全隐患，很容易受到病毒、黑客的攻击。5、信息安全：包括标准化操作、合法性使用、防止信息泄露、信息篡改、信息抵赖、信息假冒等等。安全体系构造建议本系统的安全体系的整体建议分为三个层面：安全组织体系、安全管理体系、安全技术体系。本系统的安全体系构造中的安全技术体系需要与系统开发技术严密结合，大体框架为以下列图中间局部所标示：信息安全通用方案安全系统架构一般来说，信息系统在网络布局上包括了互联网、专网、局域网；在业务类型上分为公开信息系统和受控信息系统；在数据存储和传输上分为可公开资源和保护资源，为此将交易系统安全架构分为：网络系统安全、应用系统安全和数据安全。应从安全管理机构、安全管理制度、安全管理技术和安全教育培训等方面加强信息管理系统的安全性。安全系统从架构上分为多层，每个安全层有各自的功能和作用范围，如以下列图所示。网络系统安全边界安全防护：为信息管理系统网络系统提供根本防护服务，包括防火墙、入侵检测。操作系统安全保护：漏洞扫描、防病毒、网页防篡改等。故障恢复和备份服务：保证出现意外事故时系统运行的连续性，信息系统应具备可靠、可查、可恢复等。应用系统安全认证与授权：为应用系统提供身份认证、授权服务和访问控制等。数据安全防护数据安全防护：主要提供包括加解密、签名及签名验证等安全服务，以支持信息的机密性、完整性和不可抵赖性。安全管理系统从行政管理和制度建设方面全面建设安全管理系统。安全信任系统构筑安全信任系统，通过PKI、密码服务系统的建设保障身份认证、权限认证、和数据加密过程的安全控制；通过DRM数字版权保护系统的实施，从根本上解决文件泄密，到达知识产权保护的目的。安全管理系统-制度建设ISO27001信息安全管理体系标准〔ISO27001)可有效保护信息资源,保护信息化进程安康、有序、可持续开展。ISO27001是信息安全领域的管理体系标准，类似于质量管理体系认证的ISO9000标准。ITILITIL是InformationTechnologyInfrastructureLibrary的缩写。ITIL融合全球最正确实践，是IT部门用于方案、研发、实施和运维的高质量的服务准则，是目前全球IT服务领域最受认可的系统而实用的构造化方法。ITIL已经成为IT服务管理领域最正确实践事实上的国际标准。ITIL可以与ISO9001兼容，提高IT组织服务质量。ISO20000 ISO20000标准着重于通过“IT服务标准化〞来管理IT问题，即将IT问题归类，识别问题的内在联系，然后依据服务水准协议进展方案、推行和监控，并强调与客户的沟通。该标准同时关注体系的能力，体系变更时所要求的管理水平、财务预算、软件控制和分配。边界防护设计概述建设网络防护系统的目的是将网络系统在计算机网络的链路层、网络层和传输层建设各个局部网络的边界安全防护体系，把可能出现的网络安全风险减少到较小的程度，与其它安全防护措施配合工作，保证整个网络的安全。网络层安全保护也可称为边界防护，是指在属于可信安全域的内部网络与不可信的外部网络连接时，对内部网络与外部网络连接的边界进展保护。这一概念不但适用于各交易中心网络与专网之间的防护关系，也能运用在各个业务子网之间的安全保护中。网络层边界保护方案根据安全保障体系建设的要求，通过各种边界保护策略，提供全面的边界保护，这里本着多重深度防御的思想。设计标准和依据〈〈计算机信息系统安全等级保护通用技术要求〉〉；〈〈计算机信息系统安全等级保护网络技术要求〉〉；〈〈计算机信息系统安全等级保护操作系统技术要求〉〉。主要功能1、防火墙1〕布署位置与互联网连接的外网接口处；核心数据存储区入口处；与专网连接的入口处；2〕根本功能对防火墙保护的内部网络提供的服务进展限制—服务过滤；对防火墙保护的内部网络提供访问地址限制—IP地址过滤；对防火墙保护的内部网络提供屏蔽保护并提供附加地址资源—NAT网络地址转换；对合法的访问连接动态地翻开所需的端口，并在连接完毕的时候，自动地关闭—动态过滤；提供网络数据流的安全审计功能，提供网络活动日志，并对局部网络攻击和可疑网络活动报警。连接到高风险外部网络的内部网络，必然会遭受攻击。这需要网络管理员审计通过防火墙的重要信息，并及时响应审计发现的问题和报警信息；提供安全代理访问、防止某些利用异常协议数据进展的网络攻击；支持设定多种安全域，并对各个安全域实施不同的安全策略。包括在内部网络节点和外部网之间设立非军事区DMZ域；支持设备的MAC地址与IP地址绑定，可以防止内部网络的IP伪冒和滥用；具有一定的分布式拒绝服务攻击抵御能力。2、入侵检测现代信息安全保障体系建设要求对安全环境进展动态监测，以便能够发现安全态势的变化，检测外部入侵，发现违规网络活动。因此需要在信息系统网络节点配置网络入侵检测系统〔IDS〕。布署位置与互联网连接的外网接口处。根本功能入侵是破坏计算机或网络系统信息保密性、完整性、可用性的行为。包括来自目标网络外部的非法入侵和授权用户进展的违规访问。入侵检测系统能够监视和分析发生在计算机系统或者网络上的事件，并根据系统安全策略进展攻击响应。网络入侵检测系统以嗅探器方式侦听网络信息流，分析截获的网络数据包，发现入侵或异常行为，并进展报警、记日志和攻击阻断等响应。IDS能够全面的记录和管理日志，进展离线分析，并对特殊事件提供回放功能。3、路由控制除了利用防火墙进展根本网络边界保护以外，可以利用具有网络控制功能的设施进展辅助网络边界保护，这就是路由控制机制。路由控制机制主要是依靠路由器、交换机等智能网络设备来实现，利用路由控制机制可以实现内部的网络安全分割。布署位置与互联网连接处；与专网的连接处；根本功能路由器具有ACL访问控制功能，能够实现基于简单安全策略的数据包过滤，可以用于实现辅助网络边界保护。虽然路由器的访问控制功能和安全保护性能不如防火墙，在一些未配置防火墙的网络节点，它可以局部代替防火墙功能。抗分布式拒绝服务〔DDOS〕攻击，分布式拒绝服务攻击网络系统的可用性，是一种难以防范的网络攻击形式，通过路由控制可以抵御DDOS攻击。4、虚拟局域网VLAN在交换以太网环境下，利用虚拟局域网VLAN技术可以有效地改善网络安全性和网络性能。VLAN是指在交换局域网的根基上，通过支持VLAN的交换机系统构建的可跨越不同网段、不同网络的端到端的逻辑网络。一个 VLAN组成一个逻辑子网，即一个逻辑播送域，它可以覆盖多个网络设备，允许处于不同地理位置的网络用户参加到一个逻辑子网中。系统网络的VLAN划分可根据子网构造和网络应用系统的实际情况，按以上策略进展划分，并根据系统安全策略控制相应VLAN的访问权限。外网区网络安全策略外网的防护是边界防护的重点，它包括了防火墙、入侵检测、路由控制。其中防火墙采用双机热备份构造，防止出现“单一失效点〞。在外网与内网数据区之间采用逻辑隔离保护措施。核心数据区网络安全策略由于核心数据区的重要性，为其配备了防火墙、入侵检测、VLAN以及基于设备的安全认证系统。〔安全认证系统不属于网络层面的防护体系，它是基于PKI的高级信任设施，属于交易中心总体安全架构的内容。〕应用业务区网络安全策略各个应用子系统之间采用逻辑隔离保护措施，包括了防火墙和VLAN划分。系统安全保护概述操作系统是业务和关键信息的主要承载体，只有保障操作系统平台的安全和正常运行，才能保证系统为用户提供各种应用服务。对主机操作系统的保护成为系统安全防御中的重中之重。多数的攻击和入侵目标是网络中的主机。针对主机操作系统的安全威胁主要包括：计算机病毒感染、系统漏洞、非法攻击、特洛伊木马等。操作系统保护包括对重要服务器和主机的保护。操作系统保护的总体目标是保障操作系统平台的安全和正常运行，为应用系统提供及时多样的服务。主要功能1、病毒防治本方案中的病毒防治系统主要对安全支撑平台中可能感染的病毒进展查杀，具有如下根本功能：支持对网络、服务器和工作站进展实时病毒监控；能够在中心控制台上向多个目标系统分发新版杀毒软件；能够在中心控制台上对多个目标系统监视病毒防治情况；支持多种平台的病毒防范；支持对Internet/Intranet服务器的病毒防治，能够阻止恶意的Java或ActiveX小程序的破坏；支持对电子邮件附件的病毒防治，包括WORD、EXCEL中的宏病毒；支持对压缩文件的病毒检测；支持广泛的病毒处理选项，如对染毒文件进展实时杀毒，移出，删除，重命名等；提供对病毒特征信息和检测引擎的定期在线更新服务；支持日志记录功能；支持多种方式的告警功能〔声音、图像、EMAIL等〕。2、漏洞扫描漏洞可以分为：设计漏洞：系统设计缺陷；实现漏洞：软件编码缺陷；配置漏洞：系统参数错误；漏洞的防范是增强系统安全的主要手段之一。通过调整系统配置、软件升级和给系统打安全补丁改善系统安全状况，其中最主要的是操作系统内核的加固：采用高等级安全操作系统是解决系统安全的根本性方法。目前安全操作系统的应用受到安全操作系统产品本身成熟度和所支持的应用系统与辅助硬件的限制。操作系统的内核加固是可选择的改善操作系统安全性的重要途径。对特别重要的主机系统进展操作系统内核加固。3、黑客防护网络黑客而言，他们的主要目的在于窃取数据和非法修改系统，其手段之一是窃取合法用户的口令，在合法身份的掩护下进展非法操作；其手段之二便是利用网络操作系统的某些合法但不为系统管理员和合法用户所熟知的操作指令。信息网络系统要弥补这些漏洞，需要使用专门的系统风险评估工具，来帮助系统管理员找出哪些指令是不应该安装的，哪些指令是应该缩小其用户使用权限的。在完成了这些工作之后，操作系统自身的安全性问题将在一定程度上得到保障。这里包括主页防篡改技术。4、系统监控安全审核在系统外部对受保护的系统自动地模拟各种访问动作，通过系统对这些动作的响应对系统的安全状况进展评估。安全审核通过改善系统对经典安全模型的实现〔包括安全机制的实现和使用〕到达增强安全性的目的，典型的产品如ISS的扫描器。系统监控：在交易中心和各分中心分别建设网络系统监控系统，提供对网络服务器和网络交换设备的监控。应用系统安全应用系统的安全方案涉及以下几个方面的建设：身份认证服务系统；访问控制及授权管理；数据加密；操作留痕。身份认证服务系统身份认证系统基于PKI体系架构，利用公钥证书在系统中说明个体和机构的身份，该公钥证书和密码系统结合可以为应用系统提供安全保障。身份认证要解决的根本问题是验证操作者有效性问题，PKI应用的核心就是利用数字证书实现身份认证，这种证书称为公钥证书或签名证书。身份认证服务系统的作用范围主要包括以下几个方面：应用系统的管理平台，用于提供管理员登录的身份验证；各个应用系统的信息维护平台，用于对子系统维护的注册认证；各种设备之间的访问接入，提供了对各种设备的身份注册和认证。授权管理与权限认证任何多用户的信息系统不可防止的涉及到权限管理问题，系统的使用者越多、使用者本身的社会属性或分工越复杂，权限问题也就越复杂。本系统基于传统权限访问控制技术，实现统一用户管理系统，能实现统一的用户身份和角色管理、系统级访问控制管理和统一的注册认证，同时为各应用系统提供用户信息共享服务，实现单点登录、互联互通。数据加密通过PKI加密、数字水印加密等技术手段，对重要资源进展高强度安全保护。审计服务和管理由于在SSO系统中，用户从唯一的入口通过单一的身份来登录所有应用系统，因此在用户的登陆入口处可以集中进展审计记录。这种审计记录基于用户身份，可以准确地记录用户对资源访问的详细情况，为抗否认性提供了依据，并可以实现完善的审计服务和管理。通常的HTTP记录不包含用户信息，只能记录到IP。通过对SSO日志的分析，可以统计出信息的讯问频率，得出用户访问某些资源的兴趣和次数。数据安全防护信息数据系统的安全保护其主要目的是：防止各应用系统中的数据资源的丧失、被篡改、非授权访问，以及建设全面操作核查数据比对管理体系，提高根本数据源使用的安全可靠性。为了实现上述目标，方案在数据层安全保护方面重点从以下几个方面进展规划：·数据存储安全：保障数据源信息的数例存储；·数据传输安全：确保数据在信息交换、传输中的安全；·数据备份与恢复：在数据源被毁坏的情况下确保数据可被恢复，保障系统正常运行；·数据核查：完善对数据源及其操作的监管能力。系统的数据信息来源较多、类型繁杂，在对交易中心的业务应用系统进展调研分析后，根据所处理和存储的数据在重要程度及保密性、完整性、可用性等方面的不同要求，将采用防丧失、防篡改、防窃取等技术措施，提高对重要数据的保护力度。安全保障手段和技术方法要求针对信息系统数据的安全分级与分类，以及应用系统的关键性、数据更新频率、数据集中程度、不可抵赖性等因素，采取各种保护措施，对必须保护的数据提供足够的保护，对不重要的数据不提供多余的保护。要求的安全技术有：·身份认证鉴别；·访问控制；·关键数据加密；·防伪水印；·安全审计。信息安全专项方案4A安全解决方案4A级解决方案着眼于应用级和系统级的集中统一的帐号〔Account〕管理、授权(Authorization)管理、认证〔Authentication〕管理和安全审计(Audit)的安全系统。解决方案特点方案特点统一的身份、账号管理体系，业务系统基于主账户的强身份认证和统一入口。账户同步机制，非法账号、休眠账号的发现、检测与控制。身份认证集中完成，适应企业内部多个身份，角色自由切换。授权管理统一完成，管理分级、分权，灵活设置用户不同的访问策略。主机、网络设备、业务系统、中间件等IT环境轻松集成可以采用数字证书，通过加密、签名等有效手段保证网络层、应用层、内容层安全可靠的认证机制实现单点登录,Agent型反向代理方式，支持跨企业，支持Web、C/S集中安全审计管理，收集、记录、管理用户对业务支撑系统的高敏感度的数据访问和关键操作行为记录。适用于SOX法，可平稳实现对《企业内部控制根本标准》的支持管理范围：应用资源业务支撑系统的所有应用系统，包括绩效，CRM，供给链，HR等。系统资源：业务支撑系统的所有后台系统，包括主机操作系统、数据库系统、网络设备、安全设备〔防火墙〕等。VIM和SSO产品介绍ID・权限的一元管理・对分散在多个系统中的的用户信息和权限信息进展统一管理。信息自动更新提供功能・通过对用户信息的登录和变更操作，相互联动的各业务系统自动进展权限赋予和停顿。自助服务・最终用户自己进展密码的再设定和个人档案的更新。监控・报告・现在的帐户状况〔可用ID、已停用ID、权限设定状态〕等信息的记录和报告。・帐户作成／废除、权限赋予／变更、申请／成认等的记录和报告。・用户登录和使用各业务系统资源的记录和报告。申请作业流程・用户可以进展访问权限变更的申请，管理者可以进展审查和成认。帐户的生命周期管理・通过对帐户进展定期的盘点，实现帐户的生命周期管理〔从帐户生成到删除〕。与单点登录系统联动・通过与SSO的联动，可以实现Web系统的单点登录。高度认证对应・通过与IC卡・指纹认证・PKI等的联动，实现高准确度的认证机能。多样的信息服务接口・通过提供如LDAP、Web〔IIS、Netscape、Apache、Domino等〕、ActiveDirectory、Radius等多种服务接口，可以为各种各样的系统提供认证服务功能。VIM的内部控制功能内部控制系统是指在企业等组织内部，为消除违规行为、操作故障、误操作，通过制订组织有効运营所必需的各项业务基准和手续，在此之上进展管理・监视・保障等一系列工作所需的组织机制。萨班斯・奥克斯莱法案〔SOX法〕规定，构筑和运行公司内部控制系统是经营者的义务，与此同时通过外部监管人员对之进展监管并公开发表监管意见也是经营者的义务之一。在我国,由五部委联合出台了《企业内部控制根本标准》，用于提高和标准企业进展内部控制管理。“内部控制〞必要的根本功能一般包括以下項目。

項目概要説明DirectoryIdentity内部控制主要功能ＩＤ发行・同步ＩＤ/ＰＷ新增・删除，在各系统中自动同步○○口令管理基于口令策略，催促口令定期更新△局部实现〕○策略管理定义管理用户ＩＤ和角色之间的对应关系×○自助服务用户可自行更新、初始化口令×○日志分析・报告作成使违规ＩＤ发行、不当授权等的调查成为可能×○访问管理管理用户可访问的系统及可访问的功能范围△局部实现〕○单点登录一次认证后，可使用许可范围内的所有功能×△〔需其他系统支持〕工作流程定义新用户ＩＤ发行相关処理流程，并内置审批程序×○SSO功能一览功能说明认证方式密码认证功能对访问用户的ID和密码进展验证，确定是否可以访问。数字证书认证功能对访问用户的数字证书进展验证，确定是否可以访问。IC卡认证功能(PKI)对访问用户的ID卡里保存的数字证书进展验证，确定是否可以访问。生物认证功能对访问用户的指纹进展进展验证，确定是否可以访问。客户认证(需要定制开发)根据所生成的客户模块，非标准方式的任意设备进展对应与验证。认证数据库LDAP认证功能执行LDAP服务器联结以及取得用户信息。PKI认证功能使用CA证书以及CRL对CA认证中心发布的证书进展确认。客户认证(需要定制开发)生成联结外部数据库的模块，可以使用认证策略对任意数据库进展认证。认可认可对访问用户是否具有Web页面的访问功能进展确认。高度ACL认可功能根据多个指定的条件进展访问控制列表的认可处理的功能。单点登录代理型反向代理方式不依存于Web服务器的操作系统和开发语言；