IT GRC(治理、風險與審計)的價值主張

G-Governance治理。公司治理主要涉及建立完善的制度安排，明確責任，制定公司戰(zhàn)略目標和策略，制定和評估績效，遵循法律及制度規(guī)定，透明地披露經(jīng)營狀況，對各項經(jīng)營和管理過程本身進行有效的管理和監(jiān)督，實現(xiàn)利益相關(guān)者的利益；

R-Risk風險。風險管理則是對所有業(yè)務(wù)和法規(guī)風險進行有效的識別、評估和管理；

C-Compliance合規(guī)（遵循法律及制度規(guī)定）。合規(guī)- 遵循管理是指通過內(nèi)部控制管理機制和體系，確保各項制度和法規(guī)得以遵從、政策得以貫徹、各項經(jīng)營和管理目標得以有效達成。

GRC 代表治理、風險（管理）與合規(guī)（審計）。大多數(shù)企業(yè)都熟悉這些術(shù)語，但在過去它們是分開使用的。IT GRC將治理、風險管理與合規(guī)結(jié)合在一個協(xié)調(diào)的模型中，這樣有助于企業(yè)減少浪費、提高效率、降低不合規(guī)風險，并更有效地共享信息。

• 幫助企業(yè)高級管理層做出準確的決策
• 幫助IT部門與企業(yè)目標保持一致
• 管理風險并符合所有行業(yè)和政府法規(guī)
• 有效利用信息資源并構(gòu)建可持續(xù)發(fā)展信息化機制

IT GRC之間的共生關(guān)系

盡管治理、風險和合規(guī)通常被視為獨立的功能，但它們之間存在共生關(guān)系。治理為滿足協(xié)調(diào)和支持業(yè)務(wù)的特定要求建立了戰(zhàn)略策略。風險管理將特定的控制與治理和評估的風險聯(lián)系起來，并為業(yè)務(wù)領(lǐng)導者提供他們需要的信息來確定資源的優(yōu)先級并做出風險知情的決策。合規(guī)性是對特定治理要求的控制的遵守和監(jiān)控。

實施IT GRC面臨哪些挑戰(zhàn)？

• 變更管理GRC 報告提供了指導企業(yè)做出準確決策的見解，這有助于適應(yīng)快速變化的業(yè)務(wù)環(huán)境。然而，公司需要投資于變更管理計劃，以便根據(jù) GRC 見解快速采取行動。
• 數(shù)據(jù)管理公司長期以來一直通過保持部門職能分離來運營。每個部門都生成并存儲自己的數(shù)據(jù)。GRC 通過組合組織內(nèi)的所有數(shù)據(jù)來工作。這導致了重復數(shù)據(jù)，并給信息管理帶來了挑戰(zhàn)。
• 缺乏一個完整的 GRC 框架完整的 GRC 框架將業(yè)務(wù)活動與 GRC 組件集成在一起。它適合用于不斷變化的業(yè)務(wù)環(huán)境，尤其是當您處理新法規(guī)時。如果沒有無縫集成，您的 GRC 實施可能會支離破碎且效率低下。
• 倫理文化發(fā)展讓每個員工分享符合倫理道德的文化需要付出巨大的努力。高級管理人員必須確定轉(zhuǎn)型的基調(diào)，并確保信息在組織的所有層面?zhèn)鬟f。
• 清晰的溝通GRC 實施的成功取決于無縫溝通。GRC 合規(guī)團隊、利益相關(guān)者和員工之間的信息共享必須透明。這使得創(chuàng)建政策、規(guī)劃和決策等活動變得更加容易。

如何應(yīng)對這些挑戰(zhàn)？

• 定義明確的目標首先，確定您希望使用 GRC 模型實現(xiàn)的目標。例如，您可能希望解決不遵守數(shù)據(jù)隱私法的風險。
• 評估現(xiàn)有程序評估您公司中用于處理治理、風險與合規(guī)的當前流程和技術(shù)。然后，您可以規(guī)劃并選擇正確的 GRC 框架和工具。
• 從高層開始高級管理人員在 GRC 計劃中起著主導作用。他們必須了解實施 GRC 政策的優(yōu)勢，以及它如何幫助他們做出決策和建立風險意識文化。高層領(lǐng)導者制定明確的 GRC 驅(qū)動型政策，并鼓勵組織內(nèi)部接受。
• 使用 GRC 解決方案您可以使用 GRC 解決方案來管理和監(jiān)控企業(yè) GRC 計劃。這些 GRC 解決方案為您提供了底層流程、資源和記錄的整體視圖。使用工具監(jiān)控并滿足合規(guī)要求。
• 測試 GRC 框架在一個業(yè)務(wù)部門或流程中測試 GRC 框架，然后評估選擇的框架是否符合您的目標。通過進行小規(guī)模測試，您可以在整個組織中實施 GRC 系統(tǒng)之前對其進行有益的更改。
• 設(shè)定明確的角色和職責GRC 是集體的團隊努力。盡管高級管理人員負責制定關(guān)鍵政策，但法律、財務(wù)和 IT 人員對 GRC 的成功同樣負有責任。定義每個員工的角色和職責有助于增強責任感。它允許員工及時報告和解決 GRC 問題。

實施IT GRC的指導方針

• 了解了解自己公司的背景、價值觀和文化，這樣就可以確定可靠地實現(xiàn)目標的戰(zhàn)略和行動。
• 保持一致確保戰(zhàn)略、行動和目標是一致的。可以通過在做決策時考慮機會、威脅、價值和需求來做到這一點。
• 執(zhí)行GRC 鼓勵采取能夠帶來結(jié)果的行動，避免阻礙實現(xiàn)目標的行動，并監(jiān)控運營以檢測突然的變化。
• 審視重新審視戰(zhàn)略和行動，以確保它們符合業(yè)務(wù)目標。例如，法規(guī)變化可能需要改變方法。

IT GRC實施清單

治理（Governance）

• 確定合規(guī)要求● 確定所需的合規(guī)框架（例如 HIPAA 或 PCI）和合同/協(xié)議義務(wù)。
  ● 確定云或新興技術(shù)的限制/限制。
  ● 確定要實施的要求或選擇的標準（例如 NIST、ISO、COBIT、CSA、CIS 等）。
• 進行計劃評估● 根據(jù) NIST 網(wǎng)絡(luò)安全框架 (CSF) 或 ISO/IEC TR 27103:2018 等行業(yè)流程進行計劃評估，以了解您當前配置文件的能力和成熟度。
  ● 確定所需的狀態(tài)能力和成熟度，也稱為目標配置文件。
  ● 記錄資源分配的差距（人員、流程和技術(shù)）并確定其優(yōu)先級。
  ● 建立云卓越中心 (CCoE) 團隊。
  ● 起草并發(fā)布包含采購、DevSecOps、管理和安全的云戰(zhàn)略。
  ● 定義和分配功能、角色和職責。
• 更新和發(fā)布政策、流程、程序● 根據(jù)與您的業(yè)務(wù)相一致的目標和所需功能更新策略。
  ● 更新現(xiàn)代組織和管理技術(shù)（例如 DevSecOps 和敏捷）的流程，指定如何升級舊技術(shù)。
  ● 更新程序以集成云服務(wù)和其他新興技術(shù)。
  ● 建立用于選擇控制和監(jiān)控合規(guī)性的技術(shù)治理標準。

風險管理（Risk）

• 進行風險評估● 進行或更新組織風險評估（例如，市場、財務(wù)、聲譽、法律等）。
  ● 對每個業(yè)務(wù)線（如使命、市場、產(chǎn)品/服務(wù)、財務(wù)等）進行或更新風險評估。
  ● 對每種資產(chǎn)類型進行或更新風險評估。
  * 使用預(yù)先建立的威脅模型可以簡化風險評估過程，包括初始和更新。
• 風險計劃草案● 實施計劃以減輕、避免、轉(zhuǎn)移或接受每一層、??業(yè)務(wù)線和資產(chǎn)的風險（例如，業(yè)務(wù)連續(xù)性計劃、運營連續(xù)性計劃、系統(tǒng)安全計劃）。
  ● 針對特定風險領(lǐng)域（如供應(yīng)鏈風險、內(nèi)部威脅）實施計劃。
• 授權(quán)系統(tǒng)● 使用 NIST 風險管理框架 (RMF) 或其他流程來授權(quán)和跟蹤系統(tǒng)。
  ● 使用 NIST 特別出版物 800-53、ISO ISO/IEC 27002:2013 或其他控制集來選擇、實施和評估基于風險的控制。
  ● 實施對控制和風險的持續(xù)監(jiān)控，盡可能地采用自動化。
• 將風險信息納入決策● 將系統(tǒng)風險與業(yè)務(wù)和組織風險聯(lián)系起來
  ● 自動將持續(xù)的系統(tǒng)風險監(jiān)控和狀態(tài)轉(zhuǎn)換為業(yè)務(wù)和組織風險
  ● 包含“有什么風險？” （財務(wù)、網(wǎng)絡(luò)、法律、聲譽）納入領(lǐng)導決策

合規(guī)（Compliance）

• 監(jiān)控政策、標準和安全控制的合規(guī)性● 自動化技術(shù)控制監(jiān)控和報告（高級成熟度將導致 AI/ML）。
  ● 對非技術(shù)控制實施手動監(jiān)控（例如定期審查訪客日志）。
  ● 將合規(guī)監(jiān)控與安全信息和事件管理 (SIEM) 以及其他工具聯(lián)系起來。
• 持續(xù)自我評估● 自動化應(yīng)用程序安全測試和漏洞掃描。
  ● 從控制抽樣、整個功能區(qū)域和滲透測試中進行定期自我評估。
  ● 對假設(shè)、觀點過于挑剔
• 應(yīng)對事件和風險變化● 將安全操作與合規(guī)團隊集成以進行響應(yīng)管理。
  ● 建立標準操作程序以應(yīng)對控制的意外變化。
  ● 減輕影響并重置受影響的控制；盡可能自動化。
• 傳達事件和風險變化● 為每種類型的事件建立報告樹和閾值。
  ● 在報告中包括總法律顧問。
  ● 確保在需要時通知適用的監(jiān)管機構(gòu)。
  ● 在適當?shù)牡胤阶詣踊?/i>