20、信息安全治理、风险与合规（GRC）的目标 - 流程方法

信息安全治理、风险与合规（GRC）的目标 - 流程方法

在当今数字化时代，信息安全的治理、风险与合规（GRC）管理对于收集、处理和使用重要信息的软件系统而言至关重要。随着业务流程的复杂性和不可预测性不断增加，以及对问责制、法规合规性和安全性的要求日益严格，采用结构化的GRC方法已成为当务之急。

1. GRC概述

• 治理（Governance） ：是一套政策、法律、文化和制度，规定了组织应如何进行管理。
• 风险管理（Risk Management） ：是协调活动，用于预测和管理可能对业务产生负面影响的事件和风险。
• 合规（Compliance） ：是指遵守法规以及公司政策和程序的行为。

传统的审计方法往往只能在特定时间对交易进行审查（即抽样），无法全面保证业务流程在整个期间的安全性和合规性。而先进的GRC产品提供了连续控制监测技术，如审计命令语言等工具也越来越受欢迎。

GRC解决方案不仅关注技术系统的安全属性，如保密性、可用性、完整性等，还需考虑特定法规要求的额外属性，如问责制、保证等。然而，管理系统的安全和GRC不仅仅是技术解决方案的问题，安全违规可能源于组织的任何层面，包括战略、流程、基础设施和信息层面。

2. SI*-GRC方法简介

SI*-GRC方法旨在分析和设计安全控制，以满足组织的安全和GRC需求。该方法基于社会技术系统的概念，综合考虑社会和技术方面及其关系。它假设安全举措是一个长期的项目，需要基于戴明管理循环（Plan -