如何解决安全审计信息的安全性？

回顾2008年的重大信息安全事件，我们发现有超过85%的安全威胁来自于网络内部。另据我国公安部的统计，70%的泄密犯罪来自于网络内部；80%的使用电脑的单位未建立相应的安全管理系统和制度、未采取相应的技术措施。因此，信息安全问题更多的是来自于网络内部的隐患。

安全审计的产生是基于人们对于网络内部的信息安全行为进行记录和取证的需求。目前市场上安全审计系统所记录的内容主要包括人、时间、行为等信息。以清楚地记录什么人或什么设备在什么时间做了哪些事情，对什么进行了操作，是否符合规定等等。如何保证安全审计信息的安全性、完整性和不可抵赖性，已成为审计系统急需解决的问题。

经过多个信息安全事件的处理和解决方案的积累，吉大正元信息技术股份有限公司认为，采用硬件签名服务器系统可以很好的解决审计信息的安全性，其主要特点如下：

1．法律保障：随着《中华人民共和国电子签名法》的颁布实施，为签名后的审计信息的合法性提供了有力的法律保障；

2．技术成熟：数字签名技术目前在信息安全行业已经被广泛使用，从技术上保证了审计信息的安全性、完整性和不可抵赖性；

3．速度保障：根据审计信息信息量大、时效性强的特点，吉大正元数字签名服务器采用硬件设备，从而保证审计信息签名、验签的高速、高效的要求。

从应用角度来讲，行为人的信息安全行为均需进行签名，待身份验证通过后，操作方可完成，签名信息由可信时间源加盖时间戳后存储。分析上述过程：用行为人的个人证书对操作行为进行数字签名，其他人都不能伪造签名，保证了行为人身份的正确，且行为人事后不能否认自己的行为。对签名信息加盖时间戳，保证了行为时间的正确。最终的记录信息若验证失败，则说明完整性遭到破坏，信息被篡改。

图1

现阶段，安全审计的理念尚不成熟，用户对于安全审计的需求也不尽相同，但基于数字签名技术的保障应该是安全审计类产品的重要发展方向之一。