四問立場：治理之路從哪里開始？

據(jù)2007年底IDC的研究統(tǒng)計(jì)表明，全球差不多有85%的安全或風(fēng)險(xiǎn)問題，都來自于企業(yè)的內(nèi)部。而這些風(fēng)險(xiǎn)很大一部分都是來自于企業(yè)內(nèi)部跟IT相關(guān)的管理，也就是說現(xiàn)在越來越多的客戶認(rèn)識到安全管理或防范不只是構(gòu)建一道外界防御的工具。

此前IBM全球治理與風(fēng)險(xiǎn)管理的戰(zhàn)略總監(jiān)Kristine Lovejoy在接受采訪時(shí)透露說，一次她去參觀一位用戶的數(shù)據(jù)中心時(shí)，工作人員向她開放了自己的全部設(shè)備。其中，路由器就放在門口放衣服的地方，沒有引起企業(yè)的重視。Kristine認(rèn)為，在一個(gè)企業(yè)中，員工的信息如果不進(jìn)行量化，會造成很大的風(fēng)險(xiǎn)，因?yàn)樗麄儾恢�道什么是可以透露的信息，什么是不能泄漏的信息，以及他們的安全級別。

同樣是來自IDC的統(tǒng)計(jì)，北美地區(qū)80%的CIO認(rèn)為，企業(yè)的安全措施要從頭開始。用戶采購了很多相關(guān)工具，但是他們互相不關(guān)聯(lián)，不集成，應(yīng)用起來比較復(fù)雜。傳統(tǒng)的點(diǎn)到點(diǎn)的安全解決方案不再起作用，容易造成數(shù)據(jù)孤島和冗余成本，并且復(fù)雜性高、資產(chǎn)應(yīng)用低效。不難看出，當(dāng)前用戶需要一種全新的，基于流程的安全管控方式。

德勤華永會計(jì)師事務(wù)所企業(yè)風(fēng)險(xiǎn)管理服務(wù)經(jīng)理朱磊表示，信息系統(tǒng)風(fēng)險(xiǎn)管理的驅(qū)動(dòng)因素主要包括了三個(gè)方面：1、企業(yè)自身業(yè)務(wù)量的膨脹；2、投資業(yè)態(tài)的多元化；3、信息化系統(tǒng)對企業(yè)運(yùn)營的影響越來越顯著。而風(fēng)險(xiǎn)的最終解決之道，則是提出企業(yè)的內(nèi)部管控由原來的IA（Internal Audit）到IC（Internal Control）。即一個(gè)大的企業(yè)在各個(gè)層面上都有IT的因素。

有鑒于此，很多企業(yè)開始推廣全新的端到端安全解決方案。此前網(wǎng)康科技的安全專家表示，企業(yè)當(dāng)前所處的IT計(jì)算環(huán)境非常復(fù)雜，任何局部的、支離破碎的安全技術(shù)或方案都不足以應(yīng)對形形色色的風(fēng)險(xiǎn)問題。企業(yè)需要的是由最先進(jìn)的產(chǎn)品和技術(shù)組成的“端到端”的風(fēng)險(xiǎn)管理解決方案，只有這樣才能確保業(yè)務(wù)數(shù)據(jù)的安全，并獲得對法規(guī)遵從性的管控。

當(dāng)然，在這個(gè)過程中記者無法預(yù)期哪一種具體的安全防護(hù)是最適合的。比如在以風(fēng)險(xiǎn)導(dǎo)向型的安全架構(gòu)（SRM）或者以安全運(yùn)營為導(dǎo)向的架構(gòu)（SOC），流行程度取決于實(shí)際的效果。一般來說，企業(yè)的應(yīng)用環(huán)境不盡相同，采用的安全架構(gòu)也不會一樣。

據(jù)Hillstone的安全專家介紹，針對一個(gè)企業(yè)我們不應(yīng)該籠統(tǒng)的說哪一種安全架構(gòu)更加適合它，而是這個(gè)企業(yè)內(nèi)部的哪些應(yīng)用更加適合風(fēng)險(xiǎn)導(dǎo)向型安全架構(gòu)，哪些應(yīng)用應(yīng)該使用安全運(yùn)營管理中心的方式。兩者的充分結(jié)合以及充分協(xié)同才是企業(yè)真正需要的安全架構(gòu)。

最后，從企業(yè)的內(nèi)部分析，搭建一套完整的安全架構(gòu)首先要做的就是根據(jù)企業(yè)能夠承受的風(fēng)險(xiǎn)水平編寫企業(yè)安全規(guī)范。對CIO而言，當(dāng)自己有了一套可以行之有效的安全規(guī)范的時(shí)候，自然也就能找到那些需要進(jìn)行安全加固的地方了。