某研究院业务流程风险评估案例分析.pdfVIP

某研究院业务流程信息安全风险评估案例分析 高风险时代的企业如何防范IT 风险 ——某研究院业务流程信息安全风险评估案例分析 本文编者：北京谷安天下科技有限公司 网 址： 地 址：北京市海淀区中关村南大街2 号数码大厦A 座806 电 话：010（北京） 021（上海） 0755（深圳） 0991-6999166 （新疆） 手 机 1 某研究院业务流程信息安全风险评估案例分析 高风险时代的企业如何防范IT 风险 ——某研究院业务流程信息安全风险评估案例分析 作者：陈岌 谷安天下咨询经理 引子： 随着全球化的业务大集中、数据大集中趋势，IT 越来越渗透到企业运营的每一个环节 和流程，企业对IT 系统的依赖度与IT 风险的关系犹如水与船的关系，水涨船高，依赖度越 强，IT 风险越大。恰逢去年以来，来势汹涌的金融危机又使全球经济环境发生了剧烈变化。 风险这个词汇再一个撞击着世人的神经，企业亟待普及风险意识，以及如何有效防范IT 风 险，建立IT 风险管理机制，成了各行各业不可回避的问题。 当前国内信息化走在前列的企业如银行、电信等在IT 风险管理方面也做了不少的工作， 比如说参照国家标准《GB-T20984-2007 信息安全风险评估规范》或者国际标准《ISO13335 IT 安全管理指南》对企业内部的信息资产做了全面风险评估，IT 资产的风险基本上做了控制， 但是整个业务流程总是不断的发生或这或那的安全问题，这问题为什么会发生，问题的根源 在哪，这需要我们去探索与研究。本人有幸全面参与了某研究院业务流程风险评估的项目， 在此非常荣幸的与大家分享企业流程风险评估的一些经验。 项目背景： 电信业重组之后，三大电信巨头进入全业务的竞争时代，竞争会更加激烈，现在铺天盖 地的3G 业务广告拉开了这场白热化竞争的序幕。某研究院（以下简称研究院）是某电信运 营商下属的科研机构，主要研究电信技术发展趋势与战略，网络、技术与业务发展规划，决 策软科学，信息情报，进行负责网络管理和业务管理等支撑系统的开发，应用软件研究与系 统集成，开发电信新业务和增值业务等，是知识密集型组织。 研究院在08 年初知识管理系统正式上线，知识管理要更好地服务研究院的核心业务流 程，为知识增值做出更多贡献。随着知识管理系统的应用不断深入，知识共享与研究院内部 信息保密的矛盾一日突出。知识共享与信息保密是天生的矛盾体，前者要求知识广泛共享， 强调提升知识价值，而信息保密强调的是把知识限制在许可的范围内，强调维护企业知识产 权甚至商业机密。为了最大限度的达到知识共享，同时又要防止信息泄密，该研究院启动了 对知识管理流程风险评估项目，旨在全面评估知识管理流程安全风险，提出合理的解决方案。 为什么要实施业务流程风险评估？ 2 某研究院业务流程信息安全风险评估案例分析 (1) 流程的概念 业务流程是以一种或者多种输入为条件，从而为企业创造某种价值输出的活动的集合。业务 流程有特定的目标，同时也受到外部环境或者其他过程中发生事件的影响。业务流程一般具 有以下特征：  具有特定的业务目标  遵照有一定的业务规则  有明确的输入和输出  使用必要的资源，包括如人、原料、信息和产品  由一系列相互关联又相互依赖的活动组成  为企业或组织创造价值。 以上这些概念都相互联系：一个规则可以影响到资源组织的方式；一个资源被分配给一 个特定的过程；一个目标与一个特定的过程执行相关联。 (2) 流程风险示例 假设某一业务流程包含顺序的30 个子