21、安全治理、风险与合规（GRC）方法解析

安全治理、风险与合规（GRC）方法解析

在当今数字化时代，企业的信息系统面临着诸多安全和合规方面的挑战。有效的安全治理、风险评估和合规管理对于企业的稳定运营至关重要。下面将详细介绍一种用于安全治理、风险与合规（GRC）的方法。

1. SI*-GRC计划阶段概述

SI -GRC计划阶段的目标是通过实现控制目标，保护业务流程免受过度风险的影响。该阶段的最终成果包括一系列详细的控制机制，具体如下：
- 控制目标 ：描述需要实现或保护的事务状态。
- 控制流程 ：说明如何通过控制过程来实现这些目标。
- 指标 ：用于衡量控制机制的有效性和性能。
- 组织的信任和权限模型 *：明确组织内各角色的信任关系和权限范围。

以医疗场景为例：
- 控制目标 ：文件F报告必须尊重患者定义的隐私偏好。
- 控制流程 ：在生成文件F报告后，对要求匿名的患者姓名进行匿名处理。
- 指标 ：
- 患者发起的隐私诉讼数量（有效性）。
- 患者要求匿名但文件F记录未匿名的数量（性能）。
- 匿名化过程的执行频率（性能）。
- 已匿名记录的数量（性能）。
- 信任模型 ：会计人员信任配药人员在输入配药数据时的诚实性。
- 权限模型