11、IT政策合规管理的最佳实践

IT政策合规管理的最佳实践

1. 记住大局

IT政策合规框架的目标不仅仅是为了合规而合规，而是要确保组织的运营安全有效，并确保它们与支撑框架的基本政策目标保持一致。换句话说，始终记住大局。这听起来可能很明显，但你会惊讶地发现，许多组织围绕严格遵守合规要求来规划其信息技术控制措施——却完全错过了部署关键控制措施，这些措施会使组织面临攻击或滥用的风险。这些组织不仅容易受到伤害，而且默认情况下，它们是不合规的！作为证明，一些在纸面上已被认证为“合规”的组织发生了几起广为人知的安全漏洞事件。

维护你的视角始于理解你的组织的政策控制目标。这是在说，“你想保护或控制什么？”信息技术政策合规性的高级控制目标示例包括：数据保护和信息安全；防止欺诈；错误和遗漏；以及技术故障。您还需要了解构成合规宇宙的控制类型。公司通常只关注数据安全的控制措施，并忽略了其他关键领域，例如：

• 行政控制：与控制目标相关的政策、程序和流程。
• 物理和环境控制：保护电子和非电子信息或资产的措施。例如，门锁、摄像监控和消防系统。
• 逻辑控制：控制对特定网络和资源的访问，通常由信息技术管理。

理解审计员心态

审计员是最终的“周一上午四分卫”。他们的角色是对你组织的政策控制措施是否有效发表意见，并且在部署之前是否设计得当。审计员开始审计时会研究你的控制设计。审计员想知道目标是什么，以及它们如何与你的业务对齐，你日常使用的过程，以及你使用的底层技术。

审计员通过评估审计风险来规划其活动。审计风险是指审计员错误地对一组财务报表或控制环境发表了无保留意见的风险。审计风险定义如下：