COBIT和ISMS之间的关系
【摘要】COBIT和ISMS有三个方面的不同点：
- 层面不同；
- 覆盖的业务领域不同；
- 内容的深度不同。
1、层面不同。COBIT是治理（Governance）层面的最佳实践，ISMS是管理（Management）层面的最佳实践。COBIT由于从治理层面出发，因此特别强调每个控制的收益，在每个过程中，都会首先说明这个过程服务于哪个IT目标，进而支持哪个业务目标的实现。它通过这搭建起企业治理层和管理层之间的沟通桥梁。附件1提供的那几个交叉索引表更集中的体现和支持了这一点。而ISMS是个纯粹提供给管理层应用的操作指南，它只告诉了操作方法和要做些什么，却没有说明这些对企业的价值在哪里，尤其是和业务价值之间的关系。说白了就是为什么要建设ISMS，它是没有说明的，它只适用于企业已经认识到安全的重要性，然后按照它来实施。尽管其为了弥补这个缺陷，强调了风险评估的重要性，但是始终没能将其和业务收益明确的联系起来。因此，COBIT是帮助安全从业人士获得投资的工具，而ISMS则是获得投资后帮助交答卷的工具，说明怎样建设安全。这是两者之间的第一个重要区别。
2、覆盖的业务领域不同。COBIT关注的是IT范畴的业务，而ISMS关注的信息安全范畴的业务。IT和信息安全两个业务领域是交叉覆盖的关系。
IT包含部分的信息安全业务，典型的如病毒；而信息安全则需要IT作为技术支撑来帮助其在实施层面更有效率，因此，两者有重叠部分。
但是，Effectiveness和Efficiency这是IT的目标，也是IT的服务领域，但信息安全没有这个需求，也不关注这些，但是另外的诸如信息安全意识等层面的问题则超出了IT的业务范围。因此，两者都有其独立的业务内容。这是COBIT和ISMS的第二个重要区别。
3、内容的深度不同。COBIT定位在成为一个控制框架，而ISMS则只是一个方法。COBIT的内容，向上包含面向董事会层面的业务价值实现的说明，向下包含操作层面具体每个活动的说明，甚至连如何度量都给出了指引，所以，它的纵深度目前还没有一个其他的标准或者最佳实践能够比拟。相比之下，ISMS则简单很多，只是一个操作步骤而已，两者在深度上不可同日而语。
来自 “ ITPUB博客 ” ，链接：https://blog.itpub.net/8114942/viewspace-995307/ ，如需转载，请注明出处，否则将追究法律责任。
