法规遵从与风险管理

《法规遵从与风险管理》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、©2007McAfee,Inc.法规遵从与安全风险管理王昊华南区销售工程师CISSP/CISA/CCNPCIO确保风险处于可接受的范围将业务中断降至最小保护数据资源降低安全和法规遵从的成本审核降低审核成本自动访问安全数据自动的风险和法规报告功能提高可视性和精确性IT操作人员将网络和系统中断的时间降至最短确定计划和修复漏洞的优先级提高资源效率改善工作流程确保遵从内外部策略前瞻性地预防身份信息被盗确定风险和应对措施的优先级提供指标CSO业务面临的挑战来自于安全威胁方面的风险？由于未遵从法规所产生的风险？我的企业面临什么样的风险？20

2、21/7/232法规遵从丑闻英国财政部11月20号证实，英国皇家税务及海关总署丢失两张重要数据光盘，其中包括2500万人的敏感个人信息，署长保罗•格雷已经宣布引咎辞职，并表示这是“税务部门重大的操作失误”；2005年美国万事达卡国际组织承认包括万事达、维萨、运通等在内高达4000多万信用卡用户的银行资料存在泄密风险；2006年之前中国人民建设银行网站公积金信息泄露，任何人只需要通过输入身份证号码即可以查出账户余额和每月扣款额度；中国信息保密法规处于“一张白纸”状态。2021/7/233法规遵从现状ArecentCSOMagazi

3、nesurveyrevealedthatregulationsandcompliancewerethetopdriversforsecurityinvestments.Securityriskassessmentwasthetopsecurityinitiative,whilethreatandriskmanagementwerethetopconcernskeepingCSOsupatnight.“SecuritySensorX”Feb.2006多数企业的法规遵从措施是分散的(de-centralized)，被动的(react

4、ive)，随机的(ad-hoc)；企业受约束的法规太多，成本很高，效率很低；实现法规遵从过多的依赖技术手段，忽略了管理手段。2021/7/234法规遵从是一个全球性的挑战……每个人都必须有所付出……J-SOXSarbanes-OxleyBaselIIPIPEDAEUDPDGLBAHIPAAPCIMITSFISMADPADPADTO-93CPCArt.43FFIECCPASolvencyIIDPASA-PLR-DPL₤1.54M€22-30M$3MSW¥349M$30M$10+MISO/IEC27001:2005运营管理安全2

5、021/7/235法规遵从是一个全球性的挑战……每个人都必须有所付出……（续）企业面临的法规太多法律的两个属性（属人性/属地性）每个法规的流程完全不同（Dis-jointedResponse）法规遵从的延续性GLBA，HIPPA，SOX，COBIT，ISO17799/27001管理层对实现法规遵从的要求行业最佳实践（Best-practice）成本收益分析（Cost-benefitanalysis）2021/7/236IT治理（法规遵从的起点）IT治理的5大目标（Controlobjective）战略一致性（StrategicA

6、lignment）价值交付（ValueDelivery）资源管理（ResourceManagement）风险管理（RiskManagement）绩效管理（PerformanceManagement）4类IT资源人（People），信息（Information），应用（Application），设施（Infrastructure）CIAA（Confidentiality/Integrity/Availability/Accountability）3种控制手段（Physical/Technical/Operational）2021/

7、7/237COBIT——IT管理规范Cobit信息准则Effectiveness/efficiency/confidentiality/integrity/availability/compliance/reliability4大类流程PlanandOrganize/AcquireandImplement/DeliverandSupport/MonitorandEvaluate（34个子流程）4类控制目标ActivityGoal/ProcessGoal/ITGoal/BusinessGoal2类考核指标KGI（关键目标指示），K

8、PI（关键绩效指示）管理评价体系（CMM模型）Initial/Repeatable/Defined/Managed/Optimized2021/7/238SOX——公司治理规范SOX：美国证监会对于上市公司的公司治理规范要求Section306除了极特殊的情况外