科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网CIO与应用频道外包企业中信息安全管理应与业务目标一致

外包企业中信息安全管理应与业务目标一致

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

信息安全目标是否能够与企业的业务目标相一致,将直接影响到ISMS运行的效率和效果,因此,信息安全的目标必须要符合企业的业务目标。信息安全管理活动与项目执行过程的结合可以从以下方面考虑:  1) 项目售前阶段客户信息安全需求管理。

来源:比特网 2009年1月22日

关键字: IT 管理 信息安全

  • 评论
  • 分享微博
  • 分享邮件

  由于发包方对信息安全要求的提高,越来越多的外包企业都遵循ISO27001标准,建立了自身的信息安全管理体系(ISMS);然而,在ISMS建立及运作的过程,却很少有企业能够真正做到使ISMS与其外包业务相结合。如果不能与企业自身业务相结合,ISMS只能够徒有其形,最终不能很好的持续并且改进,那么,ISMS在外包企业如何做到与其业务很好的结合呢?作为一名信息安全咨询顾问,我很愿意将自己的一些理解与大家分享。

  首先,信息安全目标应与企业业务目标保持一致。

  信息安全目标是否能够与企业的业务目标相一致,将直接影响到ISMS运行的效率和效果,因此,信息安全的目标必须要符合企业的业务目标。要保证信息安全目标与企业业务目标的一致性,可以通过以下两个方面来考虑:

  1) 制定企业发展战略时,考虑业务目标的实现对信息安全的要求。在业务规划时,不仅仅分析业务需求,还应该同时进行信息安全需求分析,并且将这些信息安全的需求的实施内容加入到业务发展规划中。比如,企业将向某个新行业客户提供外包服务为企业的战略,那么在业务战略规划中应加入客户行业的安全需求调研、客户行业安全知识库建设、信息安全管理人才培养、外包服务车间的安全建设等信息安全内容。

  2) 制定信息安全目标时,继承企业的业务目标。信息安全目标是信息安全管理体系前进的方向,因此,只有将业务目标层层分解,最终得出信息安全目标,再将安全目标分解到各信息安全控制措施的具体指标,并且进行有效的过程改进,才能保证ISMS的有效行。

  其次,项目执行过程固化信息安全管理活动。

  信息安全管理活动能否固化到项目的执行过程中,或者说信息安全管理活动与项目运作的结合程度,已经成为了企业ISMS实施能否成功的关键因素。因此,企业想要建立并运作有效的ISMS,必须将信息安全管理作为项目管理活动的一部分,固化到项目实施的各个阶段。信息安全管理活动与项目执行过程的结合可以从以下方面考虑:

  1) 项目售前阶段客户信息安全需求管理。从项目售前阶段开始,对客户外包项目的信息安全需求进行归纳、分析,并且形成正式的客户安全需求文档。这份需求文档应包含客户所有正式提出的安全要求,每项的安全要求需要有相对应的具体的安全管理活动,并且在项目的整个声明周期由专人进行维护、管理,真正做到客户安全需求的符合性管理。

  2) 项目执行阶段信息安全管理活动实施。首先,在项目管理流程中,将项目运作过程中的信息安全管理职责明确定义下来,并且将各类项目所包含的信息安全管理活动定义下来。其次,在项目执行阶段,项目经理需要按照既定的项目安全管理活动进行操作,即从人、机、料、法、环的角度进行资产识别、风险评估、风险处理等活动。最后,在项目执行的过程中,需要审计人员定期或不定期的对项目的各个活动进行安全审计,从而保证项目安全管理活动的有效性。

  3) 项目结束后信息安全管理措施。项目结束时,项目相关的信息资产需要妥善的得到处理,避免由于管理不善导致敏感信息的泄露、丢失等问题。

  最后,在新业务开拓中考虑ISMS的附加价值。

  管理体系如何才能直接为企业创造价值,这一直都是每个企业所关心,并且非产困惑的问题,但是,信息安全管理体系却能够很好的为外包企业创造额外的价值。外包企业在提供通常的外包服务之外,还可以为根据不同安全等级需求的客户,提供不同安全级别的外包服务,为重点客户提供VIP的服务环境,例如:

  1) 提供单独的物理场所作为工作环境;

  - 独立碎纸机

  - 独立打印机

  - 独立门禁系统

  2) 提供符合客户要求的网络环境;

  3) 更为频繁的回顾与审计等。

  总之,在进行信息安全管理体系建设的过程中,只有充分的考虑到企业业务需求,并使各项管理措施渗透到企业的业务运作中,真正做到ISMS与外包企业的业务相结合,才能使信息安全管理体系发挥最大的效能,为外包企业带来更大的价值。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章