企业信息安全风险管理解决之道.pdf

文档介绍：企业信息安全风险管理解决之道
Enterprise InfoSec Risk Management Solution，EIRMS
安言咨询 王怀滨

目录目录
ƒ 企业面临的信息安全挑战
ƒ 信息安全风险管理之道－EIRMS
ƒ 面向客户需求的产业链
企业面临的信息企业面临的信息
安全挑战安全挑战
企业面临的信息安全挑战企业面临的信息安全挑战
行业一般性风险管理诉求
合规要求 Æ企业内部风险管理诉求
• 上市公司监管：SOX法案
• 行业规范：银监会风险管理指引，电子银
行PCI，电力行业……
• 政府机构：公安部等级保护
外部组织对信息安全关注
客户要求 Æ企业内部风险管理诉求
• 第二方审计：SAS70/CobiT/PCI
• 证书要求：ISO27001/ISO20000/BS25999
自身业务发展对信息依赖
自身需求 Æ风险管理达成信息安全
行业大 客户
• 研发、知识产权和客户资料保护的要求 环境 企业 伙伴
• 业务连续的要求 自身 / 合作
• 企业发展战略对IT内控的要求 环境
• 企业信誉和形象的要求
逐渐演变渐趋成熟的应对策略逐渐演变渐趋成熟的应对策略
流程驱动 风险驱动
• 强调安全管理
• 信息安全预算介于整个IT预 • 强调安全管理和技术的平衡
安全预算基于风险评估结果
算的1%和10%之间 •
• 集成且统一的安全体系管理架构、技术架构
• 信息资产分类 • 基于国际标准的完善的安全策略、标准和流程
• 有正式的安全组织，完善的 • 部署了必要的安全工具
安全策略、标准和流程 • 应急响应机制完善且定期演练
• 部署了基本的安全工具 • 预防为主、防治结合
事件驱动 技术驱动
• 强调并依赖安全技术
• 事件或故障发生后再补救
• 部署了各种先进的安全工具
• 不重视安全管理
• 每年安全经费预算>10%
• 很少专门信息安全预算和计划
• 没有正式的安全组织，安全