7、信息安全治理与风险管理全解析

信息安全治理与风险管理全解析

1. 安全治理概述

安全治理涵盖了支持、定义和指导组织安全工作的一系列实践，它与企业治理和 IT 治理紧密相关，三者的目标往往相互关联甚至一致，都是为了在维持业务流程的同时，推动组织的发展和提升其恢复能力。

第三方治理是一种监督体系，可能由法律、法规、行业标准、合同义务或许可要求所规定。通常会有外部调查员或审计员参与，他们可能由监管机构指定，也可能是目标组织聘请的顾问。此外，组织还需对依赖的第三方进行安全监督，因为许多组织会将部分业务外包，如安保、维护、技术支持和会计服务等，这些第三方必须符合主组织的安全立场，否则会给主组织带来额外风险和漏洞。

第三方治理主要关注验证是否符合既定的安全目标、要求、法规和合同义务。现场评估能让评估人员直接了解当地的安全机制，评估人员需遵循审计协议（如 COBIT），并依据特定的要求清单进行调查。

在审计和评估过程中，目标组织和监管机构应进行全面开放的文件交换和审查。组织要了解所有必须遵守的要求细节，并向监管机构提交安全政策和自我评估报告。文件交换不仅是文件或电子文件的传输，还会导向文件审查环节。文件审查是指阅读交换的材料，并根据标准和期望进行验证，通常在现场检查前进行。若文件充足且符合期望，现场审查将聚焦于是否符合文件规定；若文件不完整、不准确或不充分，现场审查将推迟至文件更新和修正后进行。在很多情况下，未能提供足够文件以满足第三方治理要求可能导致运营授权（ATO）的丧失或无效，而完整充分的文件通常能维持现有 ATO 或提供临时 ATO（TATO）。文件审查还包括对业务流程和组织政策的逻辑与实际调查，以确保业务任务、系统和方法切实可行、高效且具有成本效益，尤其要通过减少漏洞和规避、降低或缓解风险来支