美章网 资料文库 安全管控企业信息论文范文

安全管控企业信息论文范文

时间:2022-02-06 10:20:18

安全管控企业信息论文

一、文件化的信息安全管理体系的原则

文件化是有效沟通方式的一种,尤其是在一对多的模式中。在中小企业,文件沟通不见得是最好的方式,当面沟通可能更有效。但是在大型集团企业中,甚至一国政府,当面沟通不但低效,而且存在诸多弊端,例如,信息传递过程中的失真。几乎所有的大型组织最终都会选择文件作为主要的沟通载体之一,由此便导致了“文山会海”的弊端。因此,对于文件化的信息安全管理体系设计应该遵循以下两个原则:

(一)按照组织的最小需求设计文件,降低文件数目

制度是一个广泛的概念,其中包括了明确的或隐含的规则,实际上对于制度而言,表现形式是最次要的一部分。在实践中,更表现出了这样的特点,许多法律法规文件可能效力远不如某些潜规则。组织追求庞大的文件体系,原因可能有很多。例如,主管部门为了追求“尽职,免责”。由于立法、执法和监督部门往往都是分离的1,组织内部不免会陷入相互推诿。信息安全事件发生后,负责执行的部门往往会归结为由于缺乏相应的立法,导致“无法可依”。在这种情况下,立法部门往往会尽量设计更全面的制度。但立法部门最关注的不是制度的可实施性,换句话说,他们最关心的是“有法可依”,而不是“有法必依”。国家的法律虽然繁杂,但是有专业的律师提供服务,普通人不需要了解其中的细节。但是一个组织的制度则不同,组织内部不可能提供类似律师一样的专业服务。每一个制度,原则上员工都需要了解。显然,员工不可能花太多的精力去学习更多的文件。所以,过多庞大的制度体系不但不会提升组织的正规化,反而使组织落入“制度在墙”的尴尬境界。

(二)可以由上级统一文件化的,下面不再文件化

许多制度的关键点不在于好或坏,而在于能够被统一的执行,例如,左侧行驶或者右侧行驶,没有本质的区别,重要的是,在特定的范围内能够被统一的,无差别的执行。组织内部的制度也遵循同样的道理。在大型集团企业内,如果某个制度能够被统一,应该尽量由上级统一文件化,下级机构可以据此执行,或者适当修改后执行。这样做的目的是形成统一的规则,降低不确定性带来的成本。综上所述,以上两个原则应该贯穿信息安全管理制度文件架构的始终,即(1)只在必要的时候才单独成文;(2)尽量在全集团内设计推行统一的制度文件。

二、集团企业信息安全管控模式设计

大型集团企业的整体管控模式,按照母子公司的集权分权程度,可以划分为财务管控、战略管控和运营管控三种。信息安全管控模式首先要适应整体的集团管控模式,如上所述,ISO/IEC27001:2013默认部署的范围是一个组织或者组织的一部分,并没有考虑集团企业的情况。集团企业往往是由诸多独立运营的公司所组成,这就关系到管控问题,信息安全管控模式的本质是信息安全管理制度的顶层设计。我们以大都控股集团2的组织结构为例设计管控模式,大都控股集团的组织机构如图1所示。根据《信息安全管理体系实施指南》的文件架构设计,我们将大都控股集团的文件分为四级。

三、结语

虽然ISO/IEC27001:2013强调了适用于所有的组织,但是并没有专门对大型集团企业或小型组织3做相应的指导,本文针对这种不足,设计了一种适合大型集团企业的信息安全管控模式,保留了实践中较为通用的ISO/IEC27001:2013的四级文件架构,但是按照集团企业的母子公司进行了重新划分,使得一级文件与二级文件“对事不对人”,三级文件“对事也对人”,但尽量保证“一个角色,一件事,只对应一个文件”,从而降低了员工阅读文件的负担,最大限度的避免了文件与实际执行存在的“两层皮”现象,提高了文件的可实施性。

作者:李心阳谢宗晓单位:神华天津煤炭码头有限责任公司信息中心南开大学商学院

被举报文档标题:安全管控企业信息论文

被举报文档地址:

https://www.meizhang.comhttps://www.meizhang.com/gllw/qyxxlw/665444.html
我确定以上信息无误

举报类型:

非法(文档涉及政治、宗教、色情或其他违反国家法律法规的内容)

侵权

其他

验证码:

点击换图

举报理由:
   (必填)