????【賽迪網(wǎng)-IT技術訊】無規(guī)矩不成方圓，企業(yè)的的IT管理也是如此。隨著經(jīng)濟的發(fā)展與技術的進步，企業(yè)IT管理已經(jīng)擴展到了更深化的層次，甚至直接影響到企業(yè)的業(yè)務潛力。日前，賽門鐵克在北京就企業(yè)級IT管理，風險與合規(guī)性策略及實踐等相關問題與媒體記者做了深入探討。
????首席信息安全官的新焦點：業(yè)務風險的內(nèi)部溝通
????過去，由于企業(yè)對于安全管理的重視程度不足，所以首席信息安全官（CISO）的主要責任僅限于管理一些安全事件，只要能夠確保安全上的合規(guī)就萬事大吉了。真的如此么？隨著風險的加大以及企業(yè)重視程度的加強，這一情況有了很大的變化，業(yè)務風險的內(nèi)部溝通正在逐漸成為CISO的工作之一。
????賽門鐵克IT管理、風險與合規(guī)部門區(qū)域產(chǎn)品管理總監(jiān)Caroline Wong女士表示，這主要是因為現(xiàn)在許多企業(yè)發(fā)現(xiàn)，自身所部屬的安全解決方案都有一種“政出多門”的現(xiàn)象：眾多安全廠商技術的并存，造成了產(chǎn)生的安全報告在格式和內(nèi)容上的不一致，從而使得企業(yè)很難對自身風險狀況作出綜合全面的判斷。
Caroline Wong 賽門鐵克IT管理、風險與合規(guī)部門區(qū)域產(chǎn)品管理總監(jiān)
????在這種情況下，建立一套完整的IT治理、風險與合規(guī)性（GRC）解決方案系統(tǒng)就成為解決問題最有效的辦法之一。因為這套系統(tǒng)可以允許CISO們用與業(yè)務相關的語言，把IT安全風險向業(yè)務部門及公司高管成員去做溝通。
????合規(guī)推動企業(yè)業(yè)務發(fā)展
????“合規(guī)是一個起點，還有很多進一步發(fā)展的空間余地。”Caroline 女士表示，合規(guī)及內(nèi)控的實施是企業(yè)業(yè)務發(fā)展的重要推動因素之一。比如，對于eBay這類電子商務企業(yè)，安全合規(guī)能夠保障其網(wǎng)上交易業(yè)務的順利進行，合規(guī)及內(nèi)控的實施對于企業(yè)業(yè)務具有極大推動力。通過賽門鐵克的CCS產(chǎn)品，企業(yè)客戶可以把合規(guī)作為一個起點來做，進而拓展到風險管理領域。
????企業(yè)實現(xiàn)合規(guī)所要經(jīng)歷的周期及花費時間的長短，是由多方面因素來共同決定的。首先要看企業(yè)業(yè)務的復雜性，其次是整個企業(yè)的規(guī)模，最后在于企業(yè)已有安全計劃、安全項目的成熟度。面向中國市場，賽門鐵克針對中國版薩班斯法案和中國企業(yè)內(nèi)控法規(guī)，在其CCS產(chǎn)品中已經(jīng)把中國企業(yè)內(nèi)控法規(guī)當中的部分管控要求和語言融合進來，為中國企業(yè)客戶實現(xiàn)合規(guī)節(jié)約了寶貴的時間。
????中國版薩班斯面臨更多挑戰(zhàn)
????眾所周知，美國多年以前推出薩班斯法案時，由于當時的技術水平尚不成熟，企業(yè)客戶為確保對薩班斯法案的合規(guī)，不得不孤軍奮戰(zhàn)的去開發(fā)合規(guī)流程。當時有相當比例的企業(yè)通過求助于安全廠商實現(xiàn)了對薩班斯法案的合規(guī)。時至今日，風險與合規(guī)管理方面的產(chǎn)品和技術已經(jīng)成熟，這意味著中國企業(yè)在解決中國版薩班斯法案時所面臨的挑戰(zhàn)、實現(xiàn)合規(guī)時，可以輕而易舉地得到賽門鐵克這類國際專業(yè)公司的幫助，因為像賽門鐵克這樣的公司在過去多年當中，一直在思考和開發(fā)此類的解決方案。
????賽門鐵克公司中國區(qū)安全產(chǎn)品總監(jiān)卜憲錄認為，中國在推行《企業(yè)內(nèi)部控制基本規(guī)范》(應對于美國的薩班斯法案，人們常將其稱之為中國版的薩班斯，C-SOX)時，可以說具有明顯的后發(fā)優(yōu)勢，國內(nèi)企業(yè)可以借鑒美版經(jīng)驗并結(jié)合中國國情，覆蓋除上市公司財務報告審計之外更全面的企業(yè)內(nèi)部運營風險及整個企業(yè)的管理制度。
卜憲錄 賽門鐵克公司中國區(qū)安全產(chǎn)品總監(jiān)
????Caroline女士提出，和美版相比，中國版薩班斯還要面對諸如虛擬化和云計算等新技術所帶來新風險挑戰(zhàn)。中國企業(yè)既要實現(xiàn)對中國企業(yè)安全法規(guī)的合規(guī)，同時也要能夠成功管理和應對來自云計算、虛擬化等這類新技術帶來新威脅。賽門鐵克的CCS環(huán)境當中，就有相應的組成部分來組成模塊，專門解決這些問題。
????另外，針對中國市場的特殊需求，賽門鐵克也對自身產(chǎn)品做出了改進，比如CCS增加了中文版用戶界面，這使得中國國內(nèi)無論是國際化大公司還是中小企業(yè)都能用上該產(chǎn)品。
????CCS可有效助力企業(yè)內(nèi)控
????雖然云計算和虛擬化的快速普及為企業(yè)帶來了無窮便利，但也對其內(nèi)控產(chǎn)生了一定影響。比如一些重點行業(yè)企業(yè)，他們的數(shù)據(jù)大多屬于機密級，為了保證數(shù)據(jù)安全，往往不會上傳云端，這在很大程度上就失去了應用云計算的意義。
????Caroline女士認為，對于云計算的客戶，他們在安全或內(nèi)控上只有兩個選擇，第一是選用云計算供應商所能提供的云安全功能，但云計算服務供應商所能提供的安全功能往往非常有限。第二是客戶會對要放到云中的所有數(shù)據(jù)類型予以評估，對于那些敏感性和保密性要求高的數(shù)據(jù)，就選擇不放到云當中去，但這也不是一個最佳的方案。
????目前賽門鐵克推出的CCS則很好的解決了這個問題，CCS標準管理器Standard Manager能夠?qū)ζ髽I(yè)放置在其自身數(shù)據(jù)中心及公共云端中的數(shù)據(jù)進行綜合性技術評估，并在單一視圖及單一全面的儀表盤里體現(xiàn)評估結(jié)果。CCS的這一能力已經(jīng)在Amazon、ECR等用戶云環(huán)境當中得到了驗證。
????合規(guī)更要智能化、人性化
????合規(guī)對于企業(yè)非常重要，但在實際操作中還存在許多制約因素，比如較高的操作復雜性，報告里過于專業(yè)的技術術語等，這些會在無形當中對企業(yè)內(nèi)部溝通協(xié)調(diào)產(chǎn)生影響。
????而賽門鐵克CCS產(chǎn)品的評分系統(tǒng)，一方面可以有效降低技術人員的工作量，另一方面還保留了很強的自主性，這對于提升企業(yè)的工作效率顯然大有裨益。
? | 
