66、高等教育机构 IT 评估安全成熟度分析

高等教育机构 IT 评估安全成熟度分析

1. 引言

信息技术（IT）在印度尼西亚高等教育机构的各类服务中得到了广泛应用。然而，许多负责管理 IT 基础设施的组织，却很少有评估其信息管理安全成熟度水平的框架。本文旨在向业务用户和高级管理层解释 IT 最佳实践的重要性，以及如何轻松协调、实施和整合这些最佳实践。通过将 COBIT® 4.1、ITIL ® V3 和 ISO / IEC 27002 这三个 IT 标准相结合，并突出它们的特点，来吸引企业关注并激发挑战。

这三个标准各有其有用的规则：COBIT® 4.1 和 ISO / IEC 27002 可用于确定应做之事，而 ITIL ® V3 则提供了服务管理方面的内容。实施这些实践存在重大风险，如果将其仅视为纯粹的技术指南，最佳实践通常会成本高昂且缺乏针对性。为了达到最佳效果，最佳实践应在业务背景下应用，并专注于为组织提供最大利益。

本文的主要贡献包括：
- 确定可用于实现战略目标的安全成熟度目标。
- 尽快从使用安全成熟度模型中获得投资回报。
- 考虑隐藏成本和未来因素，做出关于安全成熟度的决策。

2. 动机与相关工作

本文的动机是评估组织中安全挑战的实施情况。除了实施挑战外，当前工作还试图满足最佳实践实施的要求，并提供可用于衡量其信息安全实践的自学习组织。已经有一些建立信息安全管理成熟度模型的尝试。例如 ISM3 系统，它旨在预防和减轻危及安全的攻击、错误和事故，但未提供安全实施的最佳实践。其他如信息安全管理成熟度模型、NIST（PRISMA）信息安全成熟度模型、通用安全成熟度模型（GISMM）和 SUNY 的信息安全倡议等，除了实现可接受的安全水平外，主