|
|
|
|
|
|
來源： 發布日期：2015.02.09 點擊量：
為了讓IT環境適應整個企業發展的需要，企業通常會實施與其戰略目標相一致的IT規劃，這其中，作為有效防范和化解IT風險，并保證信息系統平穩運行和業務持續開展的重要環節，信息安全發展規劃尤其重要。從整體來看，信息安全發展規劃，既要遵循IT規劃的框架和模式，又要充分考慮信息安全的特殊性，是一項專業要求非常高的工作。安言咨詢經歷在銀行、電力、通訊、重點企業等領域長期的實踐，積累了豐富的經驗，總結并構建了一套成熟的信息安全規劃方法和實施框架，并借此為有意通過整體規劃來推動信息安全穩健發展的企業提供幫助。
安言咨詢信息安全及IT風險管理整體解決方案
安言咨詢風險管理框架采用ISO 31000:2009《風險管理—原則與指南》國際標準，作為實施風險評估的主要標準依據。針對安全策略層面、安全管理層面、組織結構和管理制度層面和信息安全技術四個方面提供全面的風險評估過程，識別、分析和處置相關風險，形成綜合性信息科技風險管理框架。
風險評估是信息安全管理體系（ISMS）建設一項非常重要的活動，基于企業信息安全風險評估的結果，項目組可以更加深入地闡明企業信息安全管理現狀，以及企業業務運營的特定環境中存在的信息安全隱患。通過對潛在信息安全風險進行量化分解和描述，以數字化的形式展現風險發生時的影響范圍和發生的可能性，進而幫助客戶確定信息安全管理建設的詳細需求和風險處置的投資成本收益。
安言咨詢以在信息安全管理咨詢領域中的長期實踐為依據對企業信息安全的風險評估提出下述實施要點，從而最大限度的確保風險評估成果最大化，實施要點如下：
業務流程、信息資產、合規并重。僅基于業務流程的風險評估往往由于業務流程貫穿組織的眾多部門而導致引起風險的原因不明確，處置風險的責任不清晰；而基于信息資產的風險評估又通常獨立于業務環境而無法真實的反映企業的業務需求，僅按照固定資產的責任和歸屬進行風險管理和處置，導致治表而不治本。單方面的評估方法都不能適應企業業務發展和風險管控的要求，因此，安言將采用全新的，將業務流程、信息資產、合規融合的風險評估方法來解決業務流程運行過程中起關鍵和主導作用的信息資產所面臨的信息科技風險；
強調特定業務環境中的風險來源和識別。業務流程和信息資產在企業的業務運作中都是靜態資產，只有將兩者納入到特定的業務環境才能發現他們對于業務的支撐作用，安言咨詢的ISO/IEC /IEC 31000:2009風險評估方法在識別業務流程和信息資產的基礎上，創新的加入了對業務環境和風險源的識別，從而使特定業務環境成為立體的、可見的風險控制模塊，同時在此基礎上，通過識別業務流程和信息資產的風險來源，從而精準定位風險發生的可能性與影響程度，最終為企業呈現一幅完整且準確的風險處置菜單；
量化分析和評價信息科技風險。風險處置的前提是理解風險對于公司業務的影響程度，也就是說在處置風險之前必須明確風險一旦發生公司的業務會遭受什么樣的損失，以及這種情況發生的概率究竟有多大？這就離不開量化的分析和評價。安言的ISO/IEC /IEC 31000:2009風險評估方法科學的利用了模糊理論和概率論方法，將定性的風險評估與定量的方法相結合，最終呈現給客戶一套數字化的風險評估結論，支撐客戶做出科學的風險處置決策；
區分風險優先級，保障處置成本收益最大。風險處置并非故意而為，而應使處置風險的成本收益與業務發展方向和重要性相符合，利用安言ISO/IEC /IEC 31000:2009風險評估方法中的影響范圍識別，可以清晰地呈現所識別的風險對于企業業務網絡的影響區間和作用深度，從而杜絕了常見風險評估方法僅根據風險的相對高低決定處置的優先級，而忽略了非重要風險往往可能導致關鍵的業務模塊和流程不可用；
管理和技術并重，確保措施落地。信息安全風險管理總離不開信息處理設施的技術保障措施，單純使用管理手段無法彌合業務信息系統和技術缺陷間的漏洞，因此安言在其綜合風險評估方法中加入了諸多技術評估的環節，如漏洞掃面和滲透測試等，使風險評估的結果也展示了與業務信息系統相關的技術架構的缺陷和薄弱環節，以及由于這些漏洞的存在而可能導致的風險，在互聯網安全局勢日益嚴峻的今天這一點顯得尤為重要，不僅如此，風險評估的技術環節還能為安全管理措施的落地提供技術層面的參考。
相關客戶案例：