（七）信息安全治理--创造新的战略竞争机遇

发布时间：2011年12月06日点击数： 作者：ITGov 来源：本站原创

【字体：小 大】 【收藏】 【打印文章】 【查看评论( 0 )】

摘要:
（原文初次发表于2002年，系我国信息安全治理开篇之作，此处略有删改） 在当今科技时代中，信息是一个国家最重要的资源之一，信息与网络的运用亦是二十一世纪国力的象征，但无论是从国家竞争力、组织再造或是国防战备来说，今日正面临着层出不穷的事件的挑战。在2002年的10月上旬到11月上旬，我们记录了来自公开媒体的典型安全事件。

信息安全治理成熟度评估
最高管理层（董事会）和管理执行层可以使用信息安全治理成熟度模型建立组织的安全级别。该模型被应用为：

一种自评估等级的方法，确定组织处于哪个级别；

一种使用自评估结果设定将来发展目标的方法。这个目标是根据组织希望处于等级表的哪个级别，上一级别哪些是不必要的；

一种规划达到目标的项目的方法。这个规划是基于当前状况和这个目标的差距分析的；

一种确定项目优先次序的方法。有限次序的确定是根据项目类别和其投资受益率；

成熟度级别说明

 没有级别

• 没有评价流程和商业决策的风险；组织没有考虑与安全隐患和项目开发不确定性对业务的影响；没有认识到风险管理关系到IT解决方案的获得和IT服务的传送；

• 组织没有认识到IT安全的必要性；没有确定保证安全的责任和义务；没有实行支持IT安全管理的措施；没有对IT安全问题的IT安全报告和响应程序；完全没有管理系统安全的流程；

• 不理解IT运作的风险、弱点和威胁，不理解没有IT服务对业务的影响；不认为服务的连贯性是管理层关心的问题。

1、 初始的/混乱的

•组织以一种混乱的方式考虑IT风险，没有遵循定义的流程和政策；每个项目都是采取非正式的项目风险评估；

•组织认识到IT安全的必要性，但是安全意识依靠个人；被动考虑IT安全，没有评测IT安全；因为职责不清，发现IT安全问题只引起局部反应；无法预知对IT安全问题的反应；

• 持续提供服务的职责不是正式的，且只有限的授权；管理层知道有关风险和持续服务的必要性。

2、可重复的但是根据直觉

• 开始认识到IT风险的重要性和必要性；有某种风险评估方法，但这个过程虽然仍旧不成熟，但在完善中；

• IT安全职责被赋予一个了解IT安全，但没管理权的人；不完整的和有限的安全意识；形成但没分析IT安全信息；没有确定组织特定的IT安全需求，只是被动对IT安全事故做出反应，请第三方处理这些事故；开始制定安全政策，但没有足够的技巧和工具；IT安全报告不完整，易于使人误解，或不能切中要害；

• 分配了持续服务的职责，但提供的服务不完整；系统可用性报告不完全，没有考虑其对业务的影响。

3、已定义的流程

• 组织范围内的风险管理政策定义了怎样进行风险评估；风险评估遵循一个已定义的流程；该流程已形成规范，适用于所有接受过相应培训的员工；

• 安全意识存在并得到管理层的促进；安全简报已标准化和正式化；定义IT安全程序并使其适合安全政策和程序结构；确定IT安全职责但没有始终如一地得到执行；存在驱动风险分析和安全解决方案地IT安全规划；IT安全报告面向IT而不是面向管理；执行了初步的入侵测试。

• 管理层不断交流持续服务的必要性；局部采用了高可靠设备和冗余系统；严格维护重要的系统和设备清单。

4、 已管理的和可测量的

• 根据标准程序评估风险，不遵守此程序的将被IT管理者通报；IT风险管理可能成为具有很高责任的管理职能；管理执行层和IT管理者已确定组织容忍的最大的风险级别，并已有测量风险/收益比的测量标准；

• 清晰赋予、管理和执行IT安全职责；持续分析IT安全风险和影响；完整的基于特定安全基准线的安全政策和实践；标准化的用户识别、验证和授权；建立员工安全认证考试制度；入侵测试是标准的和正式的改进程序；越来越多利用成本/收益分析，支持安全评测；IT安全流程与组织总体的安全职能保持一致；IT安全报告与管理目标相联系；

• 强制执行持续服务的职责和标准；始终使用冗余系统，包括使用高可靠设备。

5、 优化级

• 开始有规律地、有效地执行一个结构化的、组织范围内的风险评估流程；

• IT安全是业务管理者和IT管理者的共同责任，它被统一到公司安全管理目标中；IT安全需求被清晰定义，优化并包括于经核实的安全计划中；安全职责在应用软件的设计阶段就被考虑，终端用户负有更多的管理安全的责任；IT安全报告提供变化和出现的风险的早期警告；自动监控关键的系统；利用由自动化的工具支持的正式的事故响应程序快速处理事故；定期的安全评估，以评价安全计划执行效果；系统地收集和分析新的威胁和隐患信息，及时通知并实施恰当地补救措施；入侵测试、安全事故的深层原因分析和预先发现风险是持续改进的基础；在组织范围内集成的安全程序和技术；

• 持续服务计划和业务持续性计划被集成，调整，并得到日常的维护；购买的持续服务必须得到厂商和主要提供商的安全保证。

概述起来，信息安全治理成熟度模型方法和其它成熟度模型一样，具有以下几个方面的优点或作用：

信息安全治理成熟度模型涉及信息安全和业务需求的各个方面，是一种进行实用性比较的等级制，能以简单方式测定差异，有助于确定有关信息技术管理和安全性方面的相对水平。

使管理部门相对容易地依据等级制对自己定位，并找出需要改善安全管理的地方。组织对自身进行差距分析以确定需要做哪些工作来达到所选级别。0-5等级是基于一个简单的成熟性量度，体现出一个处理如何从不存在级发展到优化级的管理过程，增加成熟度意味着增强风险管理与提高管理效率。
信息安全治理成熟度是测量安全管理处理等级的一种方法，这些等级正是一个给定的信息安全管理处理的惯例，体现各个成熟层次的典型模式，有助于组织将主要精力投入到关键的管理方面。

信息安全治理成熟度模型等级有助于专业人员向管理层解释信息安全管理存在的缺陷，并把他们组织的控制惯例与最佳惯例对照起来，从而确定组织的未来发展目标。

我们认为信息安全治理成熟度模型将有助于解决以下在IT部门中普遍存在的问题：

在竞争如此激烈的市场环境中，您的公司或部门在信息安全上处于什么水平？

如果您认为有差距，究竟差在哪里？如何去改进？

如果您觉得运作良好，那么您能说出好在哪里？好到何种程度？

如何对信息安全管理进行绩效评估？

对于上述问题，如果您觉得有必要拿出一个量化的答案，以助于提升组织的信息安全，那么本文所介绍的信息安全管理评估工具就是一个很好的方法。

 

共7页 您在第7页 首页 上一页 1 2 3 4 5 6 7 下一页 尾页