【正文】 和制度，在執(zhí)行層面缺乏了相對嚴謹和細化的執(zhí)行標準?！　∑湓蛟谟谀壳安┦抗镜恼w戰(zhàn)略并未將信息安全納入其中，信息安全建設還處在初級階段，尚未形成立體化、體系化的管理措施和理念。本章中將以 ISO27001 信息安全管理體系中的 11 個安全控制域為基本框架，外加近年來信息安全研究領域所提出的信息防泄露（DLP）理論為基礎形成 12 個信息安全控制維度來分析并詳細的闡述形成上述 9 個信息安全問題的具體原因。顯然，博士公司在業(yè)務連續(xù)性方面存在的巨大的提升空間。在對于作業(yè)管理部和信息技術(shù)部員工的走訪中了解到，僅 2012 年下半年，信息系統(tǒng)的故障而導致的正常辦公業(yè)務停止次數(shù)多達 22次。同時，這也是造成業(yè)務系統(tǒng)層面中無法把各崗位職能權(quán)限劃分清楚的一個重要原因。因此造成同一個部門員工與部門經(jīng)理對系統(tǒng)的操作的權(quán)限完全一致的情況。其次，雖然整個基礎構(gòu)架中部署了三層交換機和防火墻這樣的訪問控制設備，但現(xiàn)實情況是整個公司的領導和員工實際處在一個安全區(qū)域中，直接導致的結(jié)果是公司任何一臺主機（甚至是行政前臺的主機）能夠暢通無阻的訪問存儲公司重要數(shù)據(jù)的核心數(shù)據(jù)庫。訪問控制機制的定義通常是為了限制訪問主體（如用戶、服務），對訪問客體（通常為需要保護的資源和數(shù)據(jù)）的具體訪問權(quán)限，即訪問控制機制明確定義了用戶能做什么，以及做到什么程度。信息技術(shù)部和各個業(yè)務部門通常同時扮演著”運動員“和”裁判員“的角色，各種安全控制的有效性無法得到客觀的度量和考證。相比信息安全審計，塞班斯法案更偏重于財務報表方面，外部審計師對信息安全的審計通常比較粗略。開發(fā)人員可以對數(shù)據(jù)庫中的表結(jié)構(gòu)、字段、記錄等數(shù)據(jù)進行任意修改且無法被監(jiān)控。開發(fā)人員和運維人員的權(quán)限共享，使得出現(xiàn)故障和事故時責任往往無法明確的認定責任。這一現(xiàn)象通過實地訪談信息技術(shù)部負責人得以證實。整個系統(tǒng)的建設從最初的需求整理、方案設計中期的實施開發(fā)、功能測試到后期的系統(tǒng)上線、運營維護基本都由同 1 位系統(tǒng)開發(fā)師人員包辦。　　 系統(tǒng)開發(fā)和運維人員職責不明確　　經(jīng)過對調(diào)查問卷的整理結(jié)果顯示，博士公司的 IT 系統(tǒng)建設和運維過程中存在著一個巨大的問題，系統(tǒng)的開發(fā)人員和維護人員的職責界定并不明確。若外包服務公司發(fā)生經(jīng)營上的困難或人才波動時，可能會導致服務質(zhì)量的下降和信息泄露的風險。博士公司在于第三方外包服務機構(gòu)所簽訂的服務合同中有并沒有關于對所接觸到數(shù)據(jù)和信息的保密條款。　　 未將信息安全有效融入第三方外包服務管理　　博士公司出于主營業(yè)務模式和人員成本考慮，信息技術(shù)部、作業(yè)管理、客戶服務部等后臺核心業(yè)務部門都雇傭了大量的第三方外包服務，從事基礎性服務工作?！　〔┦抗驹趯T工的信息安全宣傳方面也做的并不到位，目前只限于把信息安全的標語張貼在墻上，并沒有定期對企業(yè)內(nèi)部員工開展信息安全方面的教育和活動。整個博士公司隨處可見人員離開后未鎖屏的電腦，以及把自己系統(tǒng)的賬戶密碼貼在顯示器上的現(xiàn)象。然而隨著信息化意識的不斷提高，信息安全意識并沒有同步提高。正是由于這樣的情況，而導致博士公司目前無法對信息資產(chǎn)進行有效的管控。而在受訪的業(yè)務部門中幾乎沒有人能夠清晰地把自己所管轄的這一領域中的信息資產(chǎn)以清單的方式展現(xiàn)，大都只是羅列大概的信息資產(chǎn)情況，也沒有根據(jù)其每項資產(chǎn)對企業(yè)的重要性而進行分級保護并確定歸屬責任人?！　?尚未建立信息資產(chǎn)清單　　明確什么是對企業(yè)最重要的信息資產(chǎn)是企業(yè)信息安全建設的前提，在整個訪談中，博士公司的信息技術(shù)中心負責人給提供了一份信息資產(chǎn)清單，其內(nèi)容主要是信息技術(shù)部所管轄的固定資產(chǎn)，包括服務器、路由器、交換機、防火墻等。因此，博士公司在信息安全方面的人力和物力投入不足以支撐整個公司對信息安全工作的期望。信息安全專員由于職級較低，無法參與到公司層面規(guī)章制度的制定，同時無法直接將第一線的信息安全狀況和現(xiàn)狀傳達到公司管理層。　　 信息安全人力資源匱乏，信息安全組織架構(gòu)不夠完善　　在與博士公司 COO 的訪談中了解到，目前博士公司全職負責信息安全工作的人員只有一名，其隸屬于信息技術(shù)中心負責人（CIO）領導，職位名稱為信息安全專員，其主要工作為使用和維護系統(tǒng)中的各類信息安全設備，并沒有實質(zhì)上主持或執(zhí)行信息公司安全管理和體系建設工作。目前在信息安全方面博士公司從整體方針策略、組織結(jié)構(gòu)、規(guī)章制度、管理過程以及投入資源方面缺少一套有效的管理框架和指引來規(guī)范和實施 。而在日常的實際工作中，管理層對信息安全的期望和目標比較抽象，沒有明確的達成標準。　　 企業(yè)整體缺乏體系化的安全管理機制　　在與博士公司的管理層訪談中了解到，管理層沒有把信息安全列入企業(yè)整體戰(zhàn)略考慮，沒有意識到信息安全對博士公司這樣的第三方理財機構(gòu)的重要性，普遍認為信息安全是 IT 部門所應該考慮的，和主營業(yè)務和業(yè)績沒有多大關系?！?】　　　　目前博士公司在信息安全建設方面主要存在著 9 個比較嚴重的問題，他們分別為是企業(yè)整體缺乏體系化的安全管理機制、信息安全人力資源匱乏，信息安全組織架構(gòu)不夠完善、尚未建立信息資產(chǎn)清單、員工安全意識薄弱、未將信息安全有效融入第三方外包服務管理、系統(tǒng)開發(fā)和運維人員職責不明確、尚未對信息安全實施內(nèi)部審計、訪問控制機制尚不健全、業(yè)務連續(xù)性方面建設比較初級?！　。?）對于診斷情況和輸出的診斷結(jié)果進行綜合的匯總。調(diào)查文件統(tǒng)計情況見表 3：【5】　　　　（4）對于回收的問卷數(shù)據(jù)進行數(shù)據(jù)錄入，同類問卷根據(jù)不同層級進行比較?！?】　　　?。?）根據(jù)對公司業(yè)務流程的梳理情況以及 ISO27001 信息安全體系構(gòu)架的實踐經(jīng)驗，進行了文件涉及和實地訪談。　?。?）之后進行了大規(guī)模的訪談，涉及到公司的各個職能部門的絕大多數(shù)高層（各中心負責人以上級別）以及部分中層（部門經(jīng)理和主管）和員工?！　、壅莆瞻凑諛I(yè)務價值劃分數(shù)據(jù)（信息）的安全等級和受眾范圍?！　。?）初期對博士公司的內(nèi)外部資料進行了收集，主要包括：　?、倭私庵С謽I(yè)務運作的信息系統(tǒng)情況?！　?博士公司企業(yè)信息安全診斷工作過程描述　　　　博士公司作為國內(nèi)領先的第三方理財機構(gòu)，自 2003 年成立以來一直高速發(fā)展，并在 2010 年 11 月成功在美國紐約交易所上市，迄今為止是國內(nèi)唯一在海外上市的第三方理財機構(gòu)。組織結(jié)構(gòu)示意圖見圖 ：【3】　　　　如圖 所示，博士公司的組織結(jié)構(gòu)還是偏向于傳統(tǒng)的職能型結(jié)構(gòu)，其中區(qū)域、產(chǎn)品中心、業(yè)務資源中心、客戶經(jīng)營中心屬于前臺部門，主要負責公司業(yè)務上的相關事宜，目前博士公司前臺部門約有 900 名左右的員工，制約比 60%。博士公司管理層通過多元化的業(yè)務發(fā)展使博士公司從單一的財富管理機構(gòu)向著多元化業(yè)務的金融集團邁進?！　?博士公司經(jīng)營狀況　　博士公司從 2010 年上市以來，其營業(yè)收入持續(xù)攀升，2011 年全年的凈收益相較2010 年上市初有超過 90%的增長，凈利潤更是同比超過了 100%。經(jīng)過多年的發(fā)展，博士公司現(xiàn)在有一個能力優(yōu)秀、經(jīng)驗豐富的管理團隊，以及一支批在財富管理領域內(nèi)為客戶服務多年的理財師隊伍。2010年 11 月，在博士公司和其他戰(zhàn)略投資人的共同努力下，成功在美國證券交易所主板上市，是中國內(nèi)地首家上市的獨立財富管理機構(gòu)（也是迄今為止唯一一家）。2007 年通過引入紅杉（中國）投資以及其他風險投資，迅速將原先的商業(yè)模式由上海復制到全國，依托風險投資機構(gòu)強大的財務能力，通過規(guī)模效應，博士公司在當年末（2007 年末），其收入相較年初增長了 300%。 博士公司自成立至今，總共抓住了三次重大的機會，從而奠定了在國內(nèi)第三方理財行業(yè)中的龍頭老大地位，現(xiàn)有的規(guī)模和實力積累也將為將來的創(chuàng)新業(yè)務發(fā)展打下建設的基礎。目前博士公司在坐擁數(shù)萬名高凈值客戶的基礎上，博士公司開始強勢介入產(chǎn)品設計，包括自身成立投資銀行部門自行尋找項目和標的物、成立以資產(chǎn)管理為導向以及利用小信托公司為“過道”等一系列措施，介入整個業(yè)務價值鏈的上下游，不斷提升自身的核心價值。上市后的博士公司，憑借著“成熟的品牌”、“客觀的產(chǎn)品篩選體系”、“個性化的客戶服務”、“全國網(wǎng)絡和優(yōu)秀的理財師隊伍”、“卓越的客戶管理系統(tǒng)”為其核心價值。短短三年時間，博士公司由最初的僅有 1 家分公司 930 名客戶發(fā)展為擁有 16 家分公司 10000 名高凈值客戶以及 200 名專業(yè)的理財服務顧問。因此對于博士公司而言保護客戶的隱私和敏感的客戶信息顯得尤為重要。由于業(yè)務性質(zhì)，第三方理財企業(yè)中收集并保存了大量的高凈值客戶的敏感信息，如姓名、電話號碼、住址甚至是家庭存款和理財規(guī)模。在程序上，信息系統(tǒng)審計一般也要經(jīng)過審計計劃、符合性測試與實質(zhì)性測試、審計報告等主要階段來進行審計工作，實現(xiàn)審計目標；兩者的區(qū)別也比較明顯，主要表現(xiàn)在：首先，信息系統(tǒng)的審計對象不同于傳統(tǒng)審計的財務領域，而是信息系統(tǒng)，包括基礎設施，軟硬件管理，信息安全，網(wǎng)絡管理合通信等；其次，信息系統(tǒng)審計提出了更多的審計法與審計程序，這都是傳統(tǒng)審計所不具備的，比如對某軟件進行審計時，要采用技術(shù)含量相當高的測試，對網(wǎng)絡安全審計時要采用穿透性測試（模擬成黑客進行各種攻擊以驗證其安全性）；第三，信息系統(tǒng)審計不僅是事后審計，主要關注系統(tǒng)的運行現(xiàn)狀，在某種情況下，直接參與項目的開發(fā)或變更過程，以保證足夠的控制得以順利實施；最后，信息系統(tǒng)審計的咨詢價值顯得更高，信息化的風險很高，信息系統(tǒng)審計師可憑借其專門知識和實踐經(jīng)驗，受托或主動服務于被審計單位的管理者或其業(yè)務人員，在企業(yè)信息化過程中，幫助企業(yè)建立健全內(nèi)部控制制度，進行系統(tǒng)診斷，根據(jù)企業(yè)需求，確定信息化的目標和內(nèi)容，選擇合適的信息系統(tǒng)。兩者的聯(lián)系是：信息系統(tǒng)審計繼承了傳統(tǒng)審計的基本理論與方法，與傳統(tǒng)的審計一樣?！　榱思皶r動態(tài)跟蹤企業(yè)信息系統(tǒng)的穩(wěn)定性和安全性，信息系統(tǒng)審計在企業(yè)的日常運營工作中必不可少，對于企業(yè)來說甚至其重要性已經(jīng)和傳統(tǒng)的財務審計相當。通過適當?shù)陌踩w系（如，安全政策、標準和控制），保證信息資產(chǎn)的機密性、完整性和有效性；（6）災難恢復和業(yè)務連續(xù)性計劃。系統(tǒng)的開發(fā)、采購、測試、實施（交付）、維護和（配置）使用，與基礎框架，確保實現(xiàn)組織的目標；（4）IT 服務的交付與支持。依據(jù)信息系統(tǒng)審計標準、準則和最佳實務等提供信息系統(tǒng)審計服務，以幫助組織確保其信息技術(shù)和運營系統(tǒng)得到保護并受控；（2）信息技術(shù)治理。但同時也產(chǎn)生了利用信息系統(tǒng)進行信息泄露、舞弊、隱瞞甚至欺詐的事件發(fā)生。經(jīng)過了策劃、實施、檢查之后，組織在 A 階段必須對所策劃的方案給以結(jié)論，是應該繼續(xù)執(zhí)行，還是應該放棄重新進行新的策劃？當然該循環(huán)給管理體系帶來明顯的業(yè)績提升，組織可以考慮是否將成果擴大到其他的部門或領域，從而開始了新一輪的 PDCA 循環(huán)。為確保范圍保持充分性，以及信息安全管理體系過程的持續(xù)改進得到識別和實施，組織應定期對信息安全管理體系進行正式的評審。評審剩余風險和可以接受風險的等級；注意組織、技術(shù)、商業(yè)目標和過程的內(nèi)部變化，以及已識別的威脅和社會風尚的外部變化，定期評審剩余風險和可以接受風險等級的合理性。C（檢查）階段又稱為學習階段，其目的是監(jiān)視并評審信息安全管理體系，是 P D C A 循環(huán)的關鍵階段，即信息安全管理體系要分析運行效果改進機會的階段。如有必要應對相關方事實有針對性的安全培訓，以支持組織的意識程序，保證所有相關方能按照要求完成安全任務。這包括將所有已實施控制的文件化，以及信息安全管理體系文件的積極維護。對于不可接受風險，需要實施所選擇的控制?！?】　　　　國內(nèi)專家楊輝在 2006 年《中國公共安全(學術(shù)版)》中發(fā)表的《運用 PDCA 循環(huán)法完善信息安全管理體系》文章中對 PDCA 的各個階段有了更加細化的定義，他指出在P(計劃)階段應該建立信息安全管理體系換進和對風險進行評估，其主要工作包括確定建設和管理的范圍和大致的信息安全管理方針、定義風險評估的系統(tǒng)性方法論、識別可預見的各類系統(tǒng)性和非系統(tǒng)性的風險，對所預見的風險進行評估以及確立評價風險的處理方法，以及為風險的處理選擇控制目標與控制的方式，并將這些工作成果匯報給最高管理層并取授權(quán)批準。1950 年 W. Edwards Deming 提出 PDCA 流程，即計劃（Plan）－執(zhí)行（Do）－檢查（Check）－改進（Act）過程，意在說明流程和控制應當是不斷改進的，該方法使得管理者可以識別出那些需要修正的環(huán)節(jié)并進行修正。因此，制度和流程的建立不能簡單的停留在“紙”上，企業(yè)需要不斷根據(jù)外部和內(nèi)部環(huán)境定期修訂相應的信息安全制度，并把這些制度和流程清晰的傳達到每位員工，甚至可以考慮將企業(yè)員工信息安全意識納入到企業(yè)文化中。另外，定期對企業(yè)員工信息安全意識的培訓和內(nèi)部相關安全制度的宣導也是必不可少的，根據(jù)國內(nèi)著名的信息安全咨詢機構(gòu)谷安天下的一項調(diào)查研究表面，現(xiàn)在企業(yè)所面臨的 7080%的安全威脅都是來自于企業(yè)內(nèi)部員工的有意識或者無意識的行為。但是，在一些特殊行業(yè)（特別是金融行業(yè)），其業(yè)務開展和日常運營很大程度上要依賴于企業(yè)自身的信息系統(tǒng)。因此規(guī)范化的流程和規(guī)章制度建設是整個 ISO27001 信息安全管理體系的根本。　?、诹鞒讨贫裙芾恚耗壳巴獠空麄€信息安全的大環(huán)境呈現(xiàn)日益惡化之虞，外部的攻擊成本越來越小，內(nèi)部的防御成本反而越來越大。資產(chǎn)的最終價值可按照之前所定義的賦值標準進行加權(quán)求和，根據(jù)所得出的結(jié)果區(qū)分企業(yè)的一般資產(chǎn)和重要資產(chǎn)。但無論哪種分類方式都必須給信息資產(chǎn)定 義 一 系 列 的 最 終 價 值 。信息資產(chǎn)的定義一般通過兩種方式,第一種方式是把企業(yè)信息資產(chǎn)統(tǒng)一轉(zhuǎn)換為物理形式，如存儲數(shù)據(jù)的服務器，承載數(shù)據(jù)傳輸?shù)木W(wǎng)絡，甚至員工也包含在這個“資產(chǎn)”的范疇中，并對每項資產(chǎn)定義明確的所有人或責任人。　?。?）管理　?、儋Y產(chǎn)管理：明確定義所保護信息資產(chǎn)和用戶存放信息資產(chǎn)的物理資產(chǎn)在整個ISO27001 體系建設中是一個必須的前提。由于信息技術(shù)的不斷發(fā)展，未來的手機移動領域的安全技術(shù)、以云計算為基礎結(jié)構(gòu)的核心業(yè)務系統(tǒng)、物聯(lián)網(wǎng)安全等都將面臨巨大的信息安全挑戰(zhàn)。為了謀取巨額利益甚至形成了黑客的地下產(chǎn)業(yè)鏈，他們受托使目標系統(tǒng)癱瘓、感染病毒、惡意修改網(wǎng)頁，甚至通過自己的技術(shù)手段入侵企業(yè)內(nèi)部的系統(tǒng)，盜取企業(yè)內(nèi)部重要資料，變賣給企業(yè)的競爭對手。我們稱之這類特殊群體的人為黑客。但新興技術(shù)發(fā)展的背后，伴隨著的安全問題卻不能忽視。在企業(yè)外部最好也應設置信息安全顧問，可以是“外腦”（信息安全方面的獨立董事）、咨詢