用GRC來降低企業(yè)經(jīng)營風(fēng)險(xiǎn)

“隨著美國薩班斯法和有中國版薩班斯法之稱的C-SOX的施行，GRC的話題正在引起越來越多人的關(guān)注。” 賽門鐵克IT管理、風(fēng)險(xiǎn)與合規(guī)部門區(qū)域產(chǎn)品管理總監(jiān)Caroline Wong告訴記者。剛加入賽門鐵克不久的Caroline Wong擁有信息系統(tǒng)安全認(rèn)證專家（CISSP）的頭銜，此前在eBay、Zynga公司任職，負(fù)責(zé)這些企業(yè)的整個(gè)信息安全工作。

據(jù)Caroline Wong介紹，一個(gè)典型的GRC實(shí)施過程可以分為四個(gè)階段：第一個(gè)是計(jì)劃階段，即確定企業(yè)將針對(duì)什么樣的標(biāo)準(zhǔn)或者是什么樣法規(guī)框架去實(shí)現(xiàn)合規(guī)，然后會(huì)制定一套相應(yīng)管控框架，通過技術(shù)和流程上的保障在這個(gè)管控框架中實(shí)現(xiàn)合規(guī)；第二個(gè)是評(píng)估階段，會(huì)根據(jù)確定的標(biāo)準(zhǔn)來評(píng)估在企業(yè)安全合規(guī)框架中所使用的技術(shù)和流程管控手段，是不是達(dá)到了第一階段計(jì)劃當(dāng)中制定的標(biāo)準(zhǔn)；第三個(gè)是報(bào)告階段，要把問題向各個(gè)利益相關(guān)方做充分的溝通，包括對(duì)采取補(bǔ)救措施負(fù)責(zé)的部門或者是主管以及將負(fù)責(zé)在安全技術(shù)方面的采購決策的負(fù)責(zé)人；最后是補(bǔ)救，僅僅制定和評(píng)估標(biāo)準(zhǔn)是不夠的，一個(gè)負(fù)責(zé)安全的部門必須要能夠驅(qū)動(dòng)相應(yīng)的變化去提高整個(gè)企業(yè)的安全和合規(guī)水平。

“這個(gè)過程很復(fù)雜，完全手工幾乎無法完成，GRC解決方案必不可少。GRC解決方案就是通過自動(dòng)化、可視化等手段來把幫助企業(yè)進(jìn)行企業(yè)風(fēng)險(xiǎn)管理、合規(guī)管理以及內(nèi)控，從而規(guī)避風(fēng)險(xiǎn)，同時(shí)驅(qū)動(dòng)公司的業(yè)績以及公司的戰(zhàn)略實(shí)施。”Caroline Wong表示，這也正是賽門鐵克可以為企業(yè)提供幫助的地方。

賽門鐵克今年剛剛發(fā)布了最新版的GRC——Symantec Control Compliance Suite 11。其中，包含眾多模塊，可以為GRC的四個(gè)階段提供幫助。比如，計(jì)劃階段的策略管理模塊幫助企業(yè)主管給CIO/CSO在制定策略上的授權(quán)，而風(fēng)險(xiǎn)管理模塊讓負(fù)責(zé)人對(duì)風(fēng)險(xiǎn)管理做出界定等。值得一提的是，該解決方案新增了風(fēng)險(xiǎn)管理模塊（Risk Manager），它把技術(shù)問題轉(zhuǎn)化成了與企業(yè)流程相關(guān)的風(fēng)險(xiǎn)問題，為不同的利益相關(guān)方提供關(guān)于IT風(fēng)險(xiǎn)的定制化分析，并且可以基于業(yè)務(wù)關(guān)鍵性而非技術(shù)嚴(yán)重性，確定補(bǔ)救措施的優(yōu)先級(jí)。

Caroline Wong說，基于賽門鐵克新一代GRC解決方案，安全主管能夠依據(jù)IT風(fēng)險(xiǎn)指標(biāo)為特定人群定制不同的風(fēng)險(xiǎn)報(bào)表，從而使企業(yè)中圍繞IT風(fēng)險(xiǎn)進(jìn)行的溝通更為有效。

Caroline Wong特別強(qiáng)調(diào)，企業(yè)實(shí)施合規(guī)和風(fēng)險(xiǎn)管控并不僅僅是要花錢滿足各種法規(guī)的要求，應(yīng)對(duì)各種審計(jì)，其實(shí)對(duì)企業(yè)業(yè)務(wù)而言也是一件好的事情。比如，可以降低公司的運(yùn)營風(fēng)險(xiǎn)，提升公司美譽(yù)度、知名度，最終提升競爭力，更好地幫助企業(yè)達(dá)成經(jīng)營目標(biāo)。

服務(wù)器租用/服務(wù)器托管中國五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]