【文章內(nèi)容簡介】 化和高級管理層和經(jīng)營過程所有者的戰(zhàn)略思考。 與組織的總體性目標(biāo)和方向有關(guān)的政策的制訂、開發(fā)、記錄、推廣和控制的責(zé)任應(yīng)當(dāng)由管理層承擔(dān)，通過制定政策來為組織創(chuàng)造一種積極的控制環(huán)境。 根據(jù)公司總體政策采用自頂向下的方法來開發(fā)部門政策是較好的選擇，因為它確保了各級政策的一致性。 自底向上的方法更加靈活實用，但容易造成政策間的不一致和相互矛盾。 管理層應(yīng)當(dāng)定期審查所有政策。政策也需要不斷更新，反映新的技術(shù)和經(jīng)營過程的重大變化，利用信息 技術(shù)提高生產(chǎn)效率和獲取競爭效益。 信息系統(tǒng)審計師要理解政策并對政策進(jìn)行符合性審查是審計工作中的重要環(huán)節(jié) 信息安全政策 安全政策用來與用戶、管理層和技術(shù)人員溝通相關(guān)安全標(biāo)準(zhǔn)，指導(dǎo)整個組織來確定所需保護(hù)的內(nèi)容、相應(yīng) 的保護(hù)職責(zé)以及保護(hù)工作應(yīng)遵循的策略。 信息安全政策文件 ?信息安全的定義、整體目標(biāo)和范圍 ?陳述管理層意圖、支持信息安全與業(yè)務(wù)戰(zhàn)略和目標(biāo)保持一致 ?設(shè)定控制及控制目標(biāo)的框架，包括風(fēng)險評估和風(fēng)險管理 ?說明安全政策、原理、標(biāo)準(zhǔn)及以下重要的符合性要求 – 對法律、法規(guī)及合同要求的符合性 – 安全教育、培訓(xùn)和意識需求 – 業(yè)務(wù)持續(xù)性管理 – 違背信息安全政策的后果 ?明確信息安全管理人員的總體及具體職責(zé)，包括事件報告 ?政策所參考的文件、標(biāo)準(zhǔn)和規(guī)程 對信息安全政策的審查 管理層應(yīng)當(dāng)定期或在發(fā)生重大變化時對信息安全政策進(jìn)行審查，以確保其適當(dāng)性、充分性和有效性。應(yīng)當(dāng)為信息安全政策指定所有人，來批準(zhǔn)安全政策的制定、審查和評估等管理職責(zé)。 IS審計師在檢查政策時需要評價以下內(nèi)容： ?政策的制定依據(jù)，一般情況下是基于風(fēng)險管理過程 ?政策的適當(dāng)性 ?政策的內(nèi)容 ?政策的例外情況，特別注意政策的不適用領(lǐng)域及原因，如：可能與遺留系統(tǒng)不相容的口令政策 ?政策批準(zhǔn)流程 ?政策實施流程 ?政策的實施效果 ?意識與培訓(xùn) ?定期審查與更新流程 程序是詳細(xì)的文件，根據(jù)組織的政策而制定并體現(xiàn)其精髓。程序必須清晰和準(zhǔn)確，使接受者易于準(zhǔn)確地理解。 程序記載了業(yè)務(wù)流程及其內(nèi)在控制，程序一般由中層管理人員制定，是政策框架下的具體化措施。 216。 程序比相關(guān)政策更加易于變化，它們必須反映業(yè)務(wù)重點和環(huán)境的不斷變化。 獨立的審查對于確保政策和程序被正確地理解和執(zhí)行是必要的 l 定義 風(fēng)險管理是確定組織在實現(xiàn)其業(yè)務(wù)目標(biāo)的過程中所使用的信息資源的脆弱性和面臨的相關(guān)威脅的過程 有效的風(fēng)險管理始于清楚地理解組織的風(fēng)險喜好。 風(fēng)險管理包括識別、分析、評估、處置、監(jiān)督和溝通IT 流程的風(fēng)險影響。一旦確定了風(fēng)險喜好與風(fēng)險承受能力，就可以制定風(fēng)險管理策略并分配職責(zé)。 根據(jù)風(fēng)險類型及其對業(yè)務(wù)的影響程度，可以選擇以下措施來應(yīng)對風(fēng)險： ?避免風(fēng)險：在可能的情況下，盡量選擇不從事導(dǎo)致風(fēng)險的特定活動或流程（通過消除風(fēng)險源來消除風(fēng)險） ?降低風(fēng)險：通過制定、實施并監(jiān)督適當(dāng)?shù)目刂苼斫档惋L(fēng)險發(fā)生的可能性及其影響 ?轉(zhuǎn)移風(fēng)險：與業(yè)務(wù)伙伴分擔(dān)風(fēng)險或通過保險、合同約定及其他方式來轉(zhuǎn)移風(fēng)險 ?接受風(fēng)險：正視風(fēng)險的存在并對風(fēng)險進(jìn)行監(jiān)控l 第一步：確定風(fēng)險管理程序的目的 ?確定組織建立風(fēng)險管理程序的目的，可能是降低保險費(fèi)用，或者是減少相關(guān)系統(tǒng)的損害。 ?在實施風(fēng)險管理計劃之前確定其意圖，組織可以確定關(guān)鍵績效指標(biāo)并評價其結(jié)果。 ?一般情況下，由執(zhí)行管理人員和董事會來設(shè)定風(fēng)險管理程序的基本要求。 第二步：為風(fēng)險管理計劃分配職責(zé) ?為制定和實施組織的風(fēng)險管理程序向個人或團(tuán)隊分配職責(zé)。 ? 當(dāng)風(fēng)險管理計劃的主要職責(zé)由團(tuán)隊負(fù)責(zé)時，其成功因素是把風(fēng)險管理與組織內(nèi)各個層級進(jìn)行整合。 ?運(yùn)營管理人員和董事會成員都應(yīng)當(dāng)協(xié)助風(fēng)險管理委員會識別風(fēng)險、設(shè)計適當(dāng)?shù)娘L(fēng)險控制并介入戰(zhàn)略的制定。 l幾個重要概念 IT資產(chǎn)：軟件、硬件、信息、人員、服務(wù)、文檔 脆弱性：是信息資產(chǎn)固有特征，可以被威脅利用而造成 損害；內(nèi)控缺陷也可以認(rèn)為是一種脆弱性 威脅：對信息資源造成損害的任何潛在情況或事件，威脅的發(fā)生是由于資源存在脆弱性 影響：威脅發(fā)生后造成的結(jié)果，能導(dǎo)致資產(chǎn)損失幾個概念間的關(guān)系：脆弱性導(dǎo)致威脅發(fā)生，威脅的發(fā)生造成影響，從而帶來IT資產(chǎn)的損失 剩余風(fēng)險：實施控制后剩下的、沒有被有效控制的風(fēng)險 可接受風(fēng)險水平：由管理層確定的、可以接受的剩余風(fēng)險水平，超過這個水平的風(fēng)險需要實施更強(qiáng)的控制，而在這個水平之下的剩余風(fēng)險也應(yīng)該評價是否采用了過多控制，要考慮是否降低控制水平以節(jié)約成本。 l IT風(fēng)險管理在多種層面上進(jìn)行綜合分析 運(yùn)行層面—應(yīng)當(dāng)關(guān)注能夠危害IT系統(tǒng)及其基礎(chǔ)設(shè)施有效性的風(fēng)險；繞過系統(tǒng)安全措施的風(fēng)險，造成重要資源（如：系統(tǒng)、數(shù)據(jù)、通訊、人員、場所等）損失或不可用的風(fēng)險，違反法律、法規(guī)的風(fēng)險。 項目層面—管理層應(yīng)當(dāng)理解并管理項目的復(fù)雜性，關(guān)注項目目標(biāo)不能達(dá)到時所帶來的后續(xù)風(fēng)險。 戰(zhàn)略層面—應(yīng)當(dāng)關(guān)注IT能力如何與業(yè)務(wù)戰(zhàn)略保護(hù)一致，如何保持對競爭對手的優(yōu)勢，如何應(yīng)對新技術(shù)的發(fā)展帶來的威脅等。 l風(fēng)險分析方法 216。定性方法 ?定性的風(fēng)險管理方法是最簡單并且最常見的方法，它們一般基于問卷式的檢查列表(Checklist)和主觀式的風(fēng)險定級。 分級類型 定性分級程度 相對較粗的分級 低、中、高 詳細(xì)分級 可忽略、低、中、高、非常高 更詳細(xì)的分級 （低）0、……、10 （高） 216。定量方法 ?概率與期望值 – 一旦設(shè)置了事件發(fā)生的概率（P，0 ≤P ≤1 ），如果存在一個價值為V的資產(chǎn)（有可能受到相關(guān)事件影響），那么期望損失就是VxP （資產(chǎn)價值乘以事件發(fā)生的可能性） ?年預(yù)期損失方法 ALE = V EF ARO – 例如： 假定某公司投資500,000 美元建了一個網(wǎng)絡(luò)運(yùn)營中心，其最大的威脅是火災(zāi)，一旦火災(zāi)發(fā)生，網(wǎng)絡(luò)運(yùn)營中心的估計損失程度是45 ％。根據(jù)消防部門推斷，該網(wǎng)絡(luò)運(yùn)營中心所在的地區(qū)每5 年會發(fā)生一次火災(zāi)， 的結(jié)果?；谝陨蠑?shù)據(jù)，該公司網(wǎng)絡(luò)運(yùn)營中心的ALE 將是： ＝45,000 l 管理人員和IS審計師應(yīng)當(dāng)考慮以下因素： 應(yīng)當(dāng)對整個組織中所有IT職能實施風(fēng)險管理 風(fēng)險管理是高級管理層的職責(zé) 優(yōu)先采用量化的風(fēng)險管理方法 216。量化風(fēng)險管理的難點在于：評估風(fēng)險值（概率）、對主觀性和定性方法的依賴量化風(fēng)險管理提供更加客觀（可追蹤）的假定 所使用方法或軟件的復(fù)雜或精巧程度不能取代業(yè)務(wù)常識或職業(yè)勤奮 應(yīng)當(dāng)特別注意并充分考慮那些影響非常高的事件，即使其發(fā)生的概率非常低。 E1. 人力資源管理 人力資源管理涉及到人員的招聘、選用、培訓(xùn)和晉升，業(yè)績考評，員工紀(jì)律，繼任計劃等組織政策與規(guī)程。由于這些活動與IS職能密切相關(guān)，其效果將影響員工表現(xiàn)及IS職責(zé)的履行。主要內(nèi)容有： 216。聘用 216。員工手冊 216。晉升政策 216。培訓(xùn) 216。 日程和工時報告 216。員工業(yè)績評價 216。強(qiáng)制休假 216。解聘政策 l 組織為獲得IT功能支持業(yè)務(wù),采購與配備資源方式有: ? 內(nèi)包型(Insourced)—IT功能全部由組織中的員工實現(xiàn)； ?外包型(Outsourced) —IT功能全部由外商服務(wù)供應(yīng)商提供； ?混和型(Hybrid) —IT功能由組織中的員工及外部服務(wù)商共同提供。 信息系統(tǒng)功能可以在全球范圍內(nèi)實現(xiàn)，以利用時區(qū)和勞動力價格方面的優(yōu)勢，主要方式有： ?本地型(Onsite)—員工工作在組織辦公場所中的信息系統(tǒng)部門內(nèi)； ?外地型(Offsite)—員工工作在同一個地理區(qū)域內(nèi)的遠(yuǎn)程站點； ?離岸型(Offshore)—員工工作在不同地理區(qū)域內(nèi)的遠(yuǎn)程站點； l決策資源配置方式的依據(jù) 是否為組織的核心職能？ 是否有滿足目標(biāo)所需的不