缺乏信息安全架构 IT治理易成空中楼阁

在今天的商业环境中，IT已成为企业业务发展和管理不可或缺的重要组成部分，其作用和影响力已扩散到企业的每一个领域。但IT给企业带来活力、利润 和竞争力的同时，也给企业带来了风险。例如，日益依赖IT的企业面临着因信息安全导致的业务灾难风险。因此，如何最大限度地保证信息安全成为每个企业都必 须正视的问题。近日在深圳召开的"中国信息化与IT治理高层研讨会"上，信息安全架构和IT治理成为众多CIO关注的热点。会议认为加强信息安全离不开IT治 理，完善的IT治理是信息安全的保障;而建立有效的信息安全架构则是IT治理的基石，企业才可以在很大程度上防御IT带来的信息安全风险。那么，信息安全 架构是什么?为什么没有信息安全架构，IT治理就容易成为空中楼阁?

一.IT治理面临的信息安全挑战

在中国经济强劲复苏的背后，企业的业务发展与创新对IT的依赖程度越来越高。但任何事物都有它的两面性。正确、恰当地使用IT系统能为企业带来 飞速的发展，但系统缺陷、人为误操作、系统攻击等不可预料的各种IT风险也同样会使企业面临巨大的灾难。长期以来，人们对保障信息安全的手段偏重于依靠技 术，例如加密技术、数据备份、防病毒、防火墙等手段。而且在大多数IT管理人员的视角中，信息安全也仅仅局限在技术层面的操作，信息安全经常被看作只是一 个技术问题，很少认为它是企业必需的并需要优先考虑。事实上，仅仅依靠技术来保障信息安全的愿望往往是难尽人意的，因为面对复杂多变的安全威胁和隐患单靠 技术手段是无法消除的。

据实践经验表明，信息安全治理是与IT治理密不可分的。假如把信息安全治理比作指引组织进行安全项目的路标，那么信息安全架构的设计便是组织通 往信息安全这个目标所用的交通工具。因此，没有了信息安全架构，IT治理根本无从谈起。信息安全架构是指企业管理层利用它来监督企业在信息安全战略上的过 程、结构和联系，以确保IT运营处于正确的轨道之上。因此，缺乏良好信息安全架构的企业，就是说缺乏健全的风险控制机制，因而不可能很好的进行信息安全管 理，进而也不可能取得IT治理的成功;同样，没有信息安全管理体系的畅通，IT治理也只能是一个美好的蓝图，而缺乏实际的内容。

二.为什么信息安全架构是IT治理的基石?

(1)IT治理要以IT风险防治为核心

目前，信息系统已在企业和政府组织中得到了广泛的应用，IT治理成为企业治理越来越关键的一部分。在复杂的现实环境中，不安全因素总是存在的。 各种各样的资料都显示着信息安全风险以及灾难性事件的数量，正随着时间的推移而增加。IT治理的一个重要内容是估计相关风险对企业的经营收益和IT绩效的 影响，并有效控制IT风险，避免IT资产的损失。IT风险是一种潜在的可能，是指某些威胁将会造成IT资产甚至其它相关资产损失或者破坏的潜在可能性。安 全从来就不是一种非黑即白的概念。目前的信息安全早已不只是人们传统意义上的安全，即添加防火墙或路由器等简单的设备就可保证安全，而是成为一种系统和全 局的观念。信息安全是指使信息避免一系列威胁，保障业务连续性，最大限度地减少业务损失，从而最大限度地获取投资和回报的一种保障机制。

传统的信息安全管理基本上是一种静态的、局部的、突击式、事后纠正式的管理方式，导致的结果是不能从根本上避免和降低各类风险，也不能降低信息 安全故障导致的综合损失。而基于信息安全架构的思想是一个系统化、程序化和文件化的管理体系，基于系统、全面、科学的安全风险评估，体现预防控制为主的思 想，强调遵守有关信息安全的法律法规及要求，强调全过程动态控制，本着控制费用与风险平衡的原则合理选择安全控制方式保护关键信息资产，使信息风险的发生 概率和结果降低到可接受收水平。COSO(美国内部控制委员会)在最新一期的IT治理指南中将IT信息安全架构界定为内部控制和风险防范的起点与核心，足 以说明IT治理应以信息安全的识别和防范为着力点。因此，企业需要建立完善、健全的信息安全架构来规范IT治理行为，通过建立详尽的风险控制机制来降低企 业的IT风险。

(2)信息安全是IT治理的基石

信息安全不是一个孤立静止的概念，它是一个多层面、多因素的、综合的、动态的过程。不同的企业对信息安全会有不同的理解，长期以来信息安全被看 作是消极因素，不产生价值。然而，全球网络的出现和企业传统边界地的延伸，使其成为价值和机会的创造者，特别在提升IT利益各方的信任感方面。因此，信息 安全必将成为IT治理一个重要且必不可少的部分，忽略信息安全将使IT价值的创造无法持久。信息安全的涵义体现在三个方面：一是安全性，是指确保信息仅可 让授权的人获取和访问;二是完整性，是指保护信息和处理方法的准确和完善;三是可用性，是指确保授权人需要时可以获取信息和相应的资产。因此，实现信息安 全是一个需要完整的体系来保证的持续过程。有效的安全防卫不仅是技术问题，也是一个管理问题。

一般来说，信息安全架构是通过实施一套恰当的控制措施来实现的，该控制措施包括政策、实践、程序、组织结构和工具软件组成。因此，信息安全架构 模型和其它模型一样，具有以下几个方面的优点或作用：①信息安全架构模型涉及信息安全和业务需求的各个方面，能以简单方式测定差异，并有助于确定有关安全 性方面的相对水平;②信息安全架构成熟度是测量安全管理处理等级的一种方法，这些等级是一个给定的信息安全管理处理的惯例，体现各个成熟层次的典型模式， 有助于企业将主要精力投入到关键的管理方面;③信息安全架构模型等级有助于专业人员向管理层解释信息安全管理存在的缺陷，并把组织的控制惯例与最佳惯例对 照起来，从而确定企业的未来发展目标。因此，信息安全架构和IT治理不但是息息相关的，也是IT治理的基石。