-
编辑 删除
信息安全治理：董事会和执行管理层指南（附录）
附录——信息安全治理的规范和标准指南【摘要】业界有大量涉及信息安全的国际标准和规范，也有很多控制和处理信息安全的系统。这里并不打算列举一个百无一漏的清单而只是展示一角，列举一些主要的与信息安全要点相关的标准和规范。途径、分支和节点尽管变化很多但安全标准和目标是一贯的。[@more@]COBIT 4.0（2005）COBIT由ITGI开发和推动，它基于假设——IT需要交付企业达成目标所需的信息。除了提升过程节点和过程所有者外，COBIT着眼于企业、质量和安全的需求，提供了用于定义业务对IT的需求的七个信息标准，它们是：有效果、有效率、可
-
编辑 删除
信息安全治理：董事会和执行管理层指南（第九章）
第九章 如何衡量组织的信息安全治理？【摘要】董事会和执行管理层可以运用信息安全治理成熟度模型在组织内部建立成熟度等级。提到IT风险，就应该考虑信息安全。这个模型作为一个方法在如下方面的应用日益成熟：自评估等级，即组织在Figure3的什么位置；应用自评估结果来设置未来发展目标，这基于组织想要达到的等级，而不需要达到最高等级基于目标和现状的差距分析来规划项目实现目标基于项目分类和成本收益分析对项目优先级进行排序[@more@]成熟度描述0 不存在没有进行过程和业务决策的风险评估。组织不考虑与安全脆弱点、开发项目不确定
-
编辑 删除
信息安全治理：董事会和执行管理层指南（第七章）
第七章 信息安全治理正在如何发展？【摘要】研究结果显示，公布互联网安全突破对公司的市场价值呈负面影响。典型的，公司市值会在公布的两天内平均缩水2.1％，折成市场金额平均每次突破损失16.5亿美元。运作最佳理论的公司其财务损失减少到其收入的百分之一以下，同时其他企业的损失率则超过了百分之五。[@more@]改进信息安全治理的需求在可以预测的未来会持续增加。安全开销随着风险增加而增长的同时，面对同质的窃密、伪造、客户个人信息批量丢失、大量其他计算机犯罪和信息系统的破坏性使用，安全失败却没能减少。数目众多的研究普遍支
-
编辑 删除
信息安全治理：董事会和执行管理层指南（第六章）
第六章 信息安全治理应该交付什么？【摘要】信息安全的关键目标是将加在组织身上的负面影响降低到一个可以接受的水平。关键目的或目标有助于提供流程或服务达成目标的信息——它们能有效判断组织目标是否被满足。贯彻实施信息安全治理时，应该有5个基本输出，就像第一章描述的那样。下面，从COBIT中挑选了一些目标在这里进行说明。[@more@]战略一致信息安全在战略上支持组织目标，通常难以做到。这需要考虑如下子目标：保证IT安全成本、收益、战略、政策和服务水平的透明和广泛理解； 开发一套通用详尽的IT安全政策 传达IT战略、政策和控制
-
编辑 删除
信息安全治理：董事会和执行管理层指南（第五章）
第五章 引人深思的问题【摘要】不要将安全看作是事后的事情。在开发生命周期的每个阶段都应关注它。第8章提供了一个结构化的问题集和实践，但信息安全治理还需要一些启蒙性的能引人深思提高意识的问题来揭示信息安全要点，进而获得关于这些要点需要作些什么的初始印象。[@more@]揭示信息安全要点的问题安全主管/CISO或主要业务管理者是例行地接触到信息安全工作吗？高层管理者是什么时候最后一次介入安全相关决策的？高层管理者多长时间介入一次安全问题的解决推动？管理者知道谁为安全负责吗？他知道这个安全职责吗？其他每个人知道吗？当
-
编辑 删除
信息安全治理：董事会和执行管理层指南（第四章）
第四章 董事会/理事会和高级执行官应该做什么？【摘要】在保证信息安全治理强有力上，董事会和管理者有几项基本职责。这其中，他们应该关注的问题有：理解为什么信息安全需要治理？董事一级应采取的行动高级管理者一级应采取的行动输出和指导的图解矩阵[@more@]理解为什么信息安全需要治理？风险和威胁是真实存在的并且对企业能产生重大的影响； 信誉的损害也是需要考虑的； 有效的信息安全需要从上至下的通力合作和联合行动； IT投资充足且容易重定向； 文化和其他组织要素同样重要； 规则和优先级需要建立和执行； 开展电子交易的同时，
-
编辑 删除
信息安全治理：董事会和执行管理层指南（第三章）
第三章 谁会关心信息安全治理？【摘要】董事们的安全实践要点包括：将信息安全纳入董事会议程；明确信息安全领导者，掌控他们的职责，确保对他们的支持；通过审批和批准确保公司信息安全政策的有效性；将信息安全工作委派给一个核心委员会，并确保对这个委员会的充分支持。[@more@]董事会/理事会保护股东利益是高级管理层的基本职责。这需要高级管理层理解业务风险并从治理角度给予充分的关注。要想有成效就要管理风险，其中包括信息安全风险，因此需要将信息安全治理集成到整个组织的企业治理框架中。信息安全治理要在战略上给予方向牵引
-
编辑 删除
信息安全治理：董事会和执行管理层指南（第二章）
第二章 为什么信息安全和信息安全治理很重要？【摘要】信息安全专注于信息的保护，整个信息生命周期内保密性、可用性和完整性的保护，以及它在组织内的使用。[@more@]信息安全的一个关键目标是减少组织的负面影响到一个可以接受的风险水平。信息安全保护信息资产免受各种风险的影响，例如：丢失、运作中断、误操作、非授权泄露、不可访问和损坏等。组织因信息不准确、丢失，或者缺乏必要的保护而面临民事或法律责任的可能性在日益增加，信息安全可保护组织免受其影响。信息安全覆盖所有信息过程，物理的、电子的，不管它们是否涉及人、技术
-
编辑 删除
信息安全治理：董事会和执行管理层指南（第一章）
第一章 什么是信息安全治理——概览【摘要】治理是董事和执行管理层运用的一整套职责和实践，目的是提供战略方向，保证目标被达成，确知风险被适当的管理，核实企业资源被负责任的使用。[@more@]信息安全治理是董事会和高级执行长官的职责。它必须是企业治理明确的组成部分，并和IT治理框架保持一致。当高级执行长官有责任考虑和回应因为信息安全而增加的关注度和敏感度时，董事会被寄予的厚望也在不断增加，他们应使得信息安全成为治理的一个基本组成部分，与那些已经各就各位治理其他关键组织资源的流程集成到一起。为使企业治理和信息安
