回覆會員暱稱：陳彥廷
點數：260
等級：初學者 榮譽勳章：
發文篇數：23
回文時間：2009-08-17 01:39:37
|
由於推動資安工作主要所關注的重點在於資訊安全，往往在面對企業老闆問到：「為什麼要推動資安？推動資安對於企業的營運可以帶來什麼幫助？」時，總是很難提出具說服力的解釋，說是客戶要求，可能讓資安工作流於形式；提出為遵守法令規定之要求，必須得趕緊推動，但翻遍著名的「沙氏法案」，卻找不到任何有關於資訊安全的規定與條文；等待發生資安事件後，再來推 動資安，似乎又緩不濟急。其實，內部稽核是企業資安活動的重要推手，如同資安的工作一樣，內部稽核的目的則是在於降低企業的整體營運風險，包含：策略風險、營運風險、財務風險以及資訊風險等，而資安的推動主要是希望能降低資安風險對企業所造成的衝擊；兩者的目的其實是一致的，只是稽核所應關注的範圍不僅包含資安，更需具備宏觀的角度，來審視企業的風險，多數的資安風險其實都會引發其他關於財務及營運上的風險，甚至可能與策略風險有關係，就如同沙氏法案內容沒有半句提到資安，但為何卻迫使資安工作者必須對沙氏法案負責，純粹是因為資安風險可能威脅到企業的財務報導，因而促使企業的資安控管成為沙氏法案重要的要求之一，而這些都有賴稽核人員的協助，將這些企業關鍵風險及其關聯性明確的指出。
|
