信息安全治理：董事会和执行管理层指南（第六章）
第六章 信息安全治理应该交付什么？
【摘要】信息安全的关键目标是将加在组织身上的负面影响降低到一个可以接受的水平。
关键目的或目标有助于提供流程或服务达成目标的信息——它们能有效判断组织目标是否被满足。贯彻实施信息安全治理时，应该有5个基本输出，就像第一章描述的那样。下面，从COBIT中挑选了一些目标在这里进行说明。
[@more@]战略一致
信息安全在战略上支持组织目标，通常难以做到。这需要考虑如下子目标：
- 保证IT安全成本、收益、战略、政策和服务水平的透明和广泛理解；
- 开发一套通用详尽的IT安全政策
- 传达IT战略、政策和控制框架
- 执行IT安全政策
- 使用业务影响术语定义安全事件
- 风险对IT目标、资源的业务影响要清晰透明
- 建立IT连续性计划以支持业务连续性计划
风险管理
为了管理和降低风险，将针对信息资产的潜在影响减少到一个可以接受的水平，需要考虑以下子目标：
- 清理和保护所有IT资产
- 确定和降低IT安全风险的可能性和影响
- 定期同高级管理者、骨干员工一起进行风险评估
- 只允许授权的用户访问关键敏感信息
- 保证关键保密信息限制了无关人员的访问
- 识别、监控和汇报信息安全脆弱点和事件
- 开发可执行、可测试、可维护的IT连续性计划
信息安全的一个关键目标是将加在组织身上的负面影响降低到一个可以接受的风险水平。因此，一个关键指标是组织经历的信息安全事件的负面影响。有效的安全程序将呈现影响降低的趋势。量化衡量包括影响趋势分析。
资源管理
信息安全知识和基础设施应该被有效率和有效果的使用。以下子目标应被考虑：
- 维护信息和处理设施的完整性
- 清理和保护所有IT资产
- 保证IT服务和基础设施能抵御误操作导致的错误、蓄意攻击或灾难，并从中恢复
- 保证合理利用应用和技术方案并获得合理的成效
绩效度量
度量、监控和汇报信息安全过程能保证组织目标的达成。需要考虑这些指标：
- 损害企业公众信誉的安全事件数量
- 安全需求没有得到满足的系统数量
- 授予、改变、删除访问权限的时间
- 可疑的和实际的违规访问数量和类型
- 被阻止的恶意代码数量和类型
- 安全事件的数量和类型
- 废弃的帐号数量和类型
- 被拒绝的未授权IP地址、端口和流量类型的数量
- 授权的、吊销的、重置的、变更的访问权限数量
价值交付
优化安全投资支持组织目标。安全活动消耗资源。最理想的投资级别是组织在最少的成本下，达成安全战略目标，获得可接受的风险态势。如下的子目标需要考虑：
- 保证自动业务交易和信息交换是受信的；
- 确保IT服务在需要的时候可用；
- 最小化IT服务中断的可能性
- 最小化安全脆弱点和事件的影响
- 保证IT服务中断或变更时业务影响最小
- 关键IT风险的行动计划应基于成本收益分析
就像本出版物前面提到的一样，信息安全治理对过程集成的关注在不断增长。这在很大程度上受到组织快速响应变化的需求驱动，而分散安全相关活动是组织的趋势。因此，就需要在这些活动之上建立适当的管理过程保证。
来自 “ ITPUB博客 ” ，链接：https://blog.itpub.net/8114942/viewspace-992968/ ，如需转载，请注明出处，否则将追究法律责任。
