第一章 什么是信息安全治理——概览

【摘要】治理是董事和执行管理层运用的一整套职责和实践，目的是提供战略方向，保证目标被达成，确知风险被适当的管理，核实企业资源被负责任的使用。

信息安全治理是董事会和高级执行长官的职责。它必须是企业治理明确的组成部分，并和IT治理框架保持一致。当高级执行长官有责任考虑和回应因为信息安全而增加的关注度和敏感度时，董事会被寄予的厚望也在不断增加，他们应使得信息安全成为治理的一个基本组成部分，与那些已经各就各位治理其他关键组织资源的流程集成到一起。

为使企业治理和信息安全治理运用有效，董事们和高级执行长官们必须清楚的理解他们企业的信息安全程序期望的是什么。他们需要知道如何指导一个信息安全程序的实施，如何评估现有安全程序本身的状况，如何决定一个有效的安全程序的战略和目标。

有很多方面都和信息安全治理相关，其中有几个论题聚焦“什么是信息安全治理”进行了补充。它们是：

• 信息安全治理期望的输出
• 知识和信息资产保护
• 信息安全治理的收益
• 过程集成

期望的输出

信息安全治理由保护信息的领导力、组织结构和流程组成。这些结构和流程成功的关键是在所有相关方之间进行有效的沟通，它构建在建设性的关系上，基于共同的语言和共同的承诺来定位问题。信息安全治理的五个基本输出应包括：

1. 战略一致，即信息安全战略会同业务战略一起支持组织目标；
2. 风险管理，即实行适当的方法来管理和降低风险，使其对信息资源的潜在影响减少到一个可以接受的水平；
3. 资源管理，即既有效率又有效果的利用信息安全知识和基础设施；
4. 绩效度量，即为保证组织目标的达成，应衡量、监控、汇报各项信息安全治理指标；
5. 价值交付。即为支持组织目标而优化信息安全投资。

公司董事国家协会（NACD），美国业界领先的董事成员组织，认可了信息安全的重要性。它向各董事会推荐了四个基本实践点，还针对每一点提供了几个具体实践。这四个实践是基于实用的角度来帮助董事们运用的，它们是：

• 将信息安全纳入董事会议程；
• 明确信息安全领导者，掌控他们的职责，确保对他们的支持；
• 通过审批和批准确保公司信息安全政策的有效性；
• 将信息安全工作委派给一个核心委员会，并确保对这个委员会的充分支持。

知识和信息资产保护

知识正在快速成为生产力的唯一要素，正在迫使资本和劳动力的淡出。

数据是信息的原料。数据本身是没有用的，除非他们按照某种方式组织或处理过，能够提供信息。信息被定义为有意义、相关联、有用的数据。毫无疑问，缺少这些属性，很少有理由去花费资源保护它或者保留它。信息是知识的基础。将信息以某种方式放在一起，让它能够用来完成有用的事椋?饩褪侵?丁Ｖ?妒谴有畔⒅胁??摹Ｖ?侗灰来尾痘瘛⒋?秃痛娲⒕拖褡橹??男畔⒁谎??/span>

信息和基于信息的知识正在被逐渐认识到，它们是信息资产，即业务关键资产，没有它们大多数企业就完全停止运作了。它是业务使能器，需要组织为这个至关重要的资源提供充分的保护。因此，为了在当今这个复杂的互联世界里做到有效和可持续性，构建在信息资产上的安全必须被组织最高层所关注，而不是作为技术专业归属到IT部门。

企业安全治理意味着将充分的安全看作是构成业务不容商榷的必要条件。如果一个组织的管理层——包括董事会，高级执行长官和所有管理者——不确立和增强“有效的企业安全”这个业务需求，可以预期，组织的安全状况将缺乏连贯性，目标无法达成，也无法持续。为实现可持续发展，组织必须将企业安全作为治理层领导的职责，而不是其他缺乏权威、职能和资源的组织角色去扮演和推动落实。

信息安全治理的收益

尽管有28％的组织（经Aberdeen研究的组织）在运行最佳理论的安全程序，却只有不到10％的组织在运行最佳理论的安全治理程序。

信息安全治理会带来影响深远的收益，包括：

• 实践成功治理的组织股票增值；
• 通过降低信息安全相关风险到可定义和可接受的水平，来增加业务运作的可预见性，减少业务运作的不确定性；
• 避免组织因信息不准确或缺乏应有的关注而面临民事或法律责任，这种可能正在不断增加；
• 优化有限安全资源分配的结构和框架；
• 确保信息安全策略的有效和策略遵从；
• 为有效率和有效果的风险管理、过程改进、快速响应安全事件，奠定一个坚实的基础；
• 一定程度上确保重大决策不会基于错误的信息；
• 确立重大业务活动时的信息保护职责，例如并购、收购、业务过程恢复、业务调整等。

在如下方面，组织收益会获得显著增加：

• 增进客户的信任；
• 保护组织信誉；
• 降低隐私被侵犯的可能性
• 与合作伙伴交易时提供更大的信任；
• 使用新的、更好的方法去处理电子交易；
• 通过消除那些可能中断业务过程的风险因子来提供可预期的输出，以减少运作成本。

2003年，McKinsey与国际投资机构达成协议，由国际大投资方设立奖金鼓励因其优良治理业界闻名的企业共享经验。获奖比例从1996年的11～16％增长到2000年的18～28％。控制的有效性及其证据公示出来的需求随着金融报告规范和法定要求的出现而增加。这项研究成果明显暗含了充分有效的安全治理建议。

优良的信息安全不仅减少风险还减少事情出错带来的影响。优良的安全能够提升企业信誉，增强商业伙伴的信心和信任，甚至能够因避免浪费时间和精力从安全事件中恢复而提升效率。

过程集成

将安全分割成分离但相关的职能的趋势日益增强，这在很大程度上驱动了这个概念的发展，它聚焦于安全相关的组织管理保证流程的集成。致力于提升整体安全和运作效率。

在不同的汇报结构井下，安全活动有时是片段的、分离的。他们往往使用不同的术语，一般情况下，反映出对这些过程和输出的不同理解，有时但很少相同。这使得无缝集成变得困难，尽管这不是不可能。结果，要么重复启动安全，浪费了资源，要么较大的安全缺口引起严重的安全危害。一个具有代表性的案例是，两个人冒充修理技师，从海关办公室，物理上拿走了几台安装有良好安全性能的电子数据库的服务器。另一个案例是一个技术上安全的网络被用来处理欺诈指令。这两个案例里，管理过程缺乏集成留下了巨大的安全缺口，导致了严重的影响。

端到端的评估管理过程，包括相关控制，能够减少安全缺口存在于不同职能间的可能性。