11、企业合规、治理与安全控制全解析

企业合规、治理与安全控制全解析

1. 关键风险指标（KRI）

在企业运营中，有一些关键风险指标（KRI）需要重点关注，不同的指标由不同的团队负责，具体如下表所示：
| 类型 | 受影响团队 | 定义 |
| — | — | — |
| 员工参与度指标（EEM） | 人力资源团队 | 员工参与组织内各种活动（如训练营、艺术演示等）的程度（以百分比衡量） |
| 风险价值指标（VaRM） | 财务和合规/风险管理团队 | 一种以数字表示的风险衡量指标，计算给定事件发生时组织将损失的金额 |
| 监管变化指标 | 合规/风险管理团队 | 计算特定国家法规变更的次数以及组织将如何应对这些变更的风险衡量指标 |

蓝色团队应参考这些指标，并确保将其纳入季度报告。此外，蓝色团队还可以根据每个组织的专业领域确定更多指标。例如，在制药行业，每个制药组织的蓝色团队都需要衡量和识别某些特定的要求和法规。

2. 合规需求与合规要求识别

企业要实现各行业法规和标准的合规，这是一个重要的问题。标准通常指的是需要企业遵守的国际法规，如果企业不遵守这些标准，就无法参与国际商业活动或在其他国家开展业务。企业所在国家的监管机构会对企业进行审计，以确保其遵守当地法规。

NIST 是一个重要的标准，主要涉及信息安全、广义安全和网络安全。它包括以下三个主要部分：
- NIST 网络安全框架（CSF）
- NIST 800 - 53
- NIST 800 - 171

其中，CSF 于 2014 年 2 月发布，是基于现有标准和实践为关键基础设施企业提供的自愿性指导，用于改善其安全风