在今天的商业环境中，IT已成为企业业务发展和管理不可或缺的重要组成部分，其作用和影响力已扩散到企业的每一个领域。但IT给企业带来活力、利润和竞争力的同时，也给企业带来了风险。例如，日益依赖IT的企业面临着因信息安全导致的业务灾难风险。因此，如何最大限度地保证信息安全成为每个企业都必须正视的问题。
近日在深圳召开的“中国信息化与IT治理高层研讨会”上，信息安全架构和IT治理成为众多CIO关注的热点。会议认为加强信息安全离不开IT治理，完善的IT治理是信息安全的保障；而建立有效的信息安全架构则是IT治理的基石，企业才可以在很大程度上防御IT带来的信息安全风险。那么，信息安全架构是什么？为什么没有信息安全架构，IT治理就容易成为空中楼阁？
一、IT治理面临的信息安全挑战
在中国经济强劲复苏的背后，企业的业务发展与创新对IT的依赖程度越来越高。但任何事物都有它的两面性。正确、恰当地使用IT系统能为企业带来飞速的发展，但系统缺陷、人为误操作、系统攻击等不可预料的各种IT风险也同样会使企业面临巨大的灾难。长期以来，人们对保障信息安全的手段偏重于依靠技术，例如加密技术、数据备份、防病毒、防火墙等手段。而且在大多数IT管理人员的视角中，信息安全也仅仅局限在技术层面的操作，信息安全经常被看作只是一个技术问题，很少认为它是企业必需的并需要优先考虑。事实上，仅仅依靠技术来保障信息安全的愿望往往是难尽人意的，因为面对复杂多变的安全威胁和隐患单靠技术手段是无法消除的。
据实践经验表明，信息安全治理是与IT治理密不可分的。假如把信息安全治理比作指引组织进行安全项目的路标，那么信息安全架构的设计便是组织通往信息安全这个目标所用的交通工具。因此，没有了信息安全架构，IT治理根本无从谈起。信息安全架构是指企业管理层利用它来监督企业在信息安全战略上的过程、结构和联系，以确保IT运营处于正确的轨道之上。因此，缺乏良好信息安全架构的企业，就是说缺乏健全的风险控制机制，因而不可能很好的进行信息安全管理，进而也不可能取得IT治理的成功；同样，没有信息安全管理体系的畅通，IT治理也只能是一个美好的蓝图，而缺乏实际的内容。
二、为什么信息安全架构是IT治理的基石？
（1）IT治理要以IT风险防治为核心
目前，信息系统已在企业和政府组织中得到了广泛的应用，IT治理成为企业治理越来越关键的一部分。在复杂的现实环境中，不安全因素总是存在的。各种各样的资料都显示着信息安全风险以及灾难性事件的数量，正随着时间的推移而增加。IT治理的一个重要内容是估计相关风险对企业的经营收益和IT绩效的影响，并有效控制IT风险，避免IT资产的损失。IT风险是一种潜在的可能，是指某些威胁将会造成IT资产甚至其它相关资产损失或者破坏的潜在可能性。安全从来就不是一种非黑即白的概念。目前的信息安全早已不只是人们传统意义上的安全，即添加防火墙或路由器等简单的设备就可保证安全，而是成为一种系统和全局的观念。信息安全是指使信息避免一系列威胁，保障业务连续性，最大限度地减少业务损失，从而最大限度地获取投资和回报的一种保障机制。
传统的信息安全管理基本上是一种静态的、局部的、突击式、事后纠正式的管理方式，导致的结果是不能从根本上避免和降低各类风险，也不能降低信息安全故障导致的综合损失。而基于信息安全架构的思想是一个系统化、程序化和文件化的管理体系，基于系统、全面、科学的安全风险评估，体现预防控制为主的思想，强调遵守有关信息安全的法律法规及要求，强调全过程动态控制，本着控制费用与风险平衡的原则合理选择安全控制方式保护关键信息资产，使信息风险的发生概率和结果降低到可接受收水平。COSO（美国内部控制委员会）在最新一期的IT治理指南中将IT信息安全架构界定为内部控制和风险防范的起点与核心，足以说明IT治理应以信息安全的识别和防范为着力点。因此，企业需要建立完善、健全的信息安全架构来规范IT治理行为，通过建立详尽的风险控制机制来降低企业的IT风险。
（2）信息安全是IT治理的基石
信息安全不是一个孤立静止的概念，它是一个多层面、多因素的、综合的、动态的过程。不同的企业对信息安全会有不同的理解，长期以来信息安全被看作是消极因素，不产生价值。然而，全球网络的出现和企业传统边界地的延伸，使其成为价值和机会的创造者，特别在提升IT利益各方的信任感方面。因此，信息安全必将成为IT治理一个重要且必不可少的部分，忽略信息安全将使IT价值的创造无法持久。信息安全的涵义体现在三个方面：一是安全性，是指确保信息仅可让授权的人获取和访问；二是完整性，是指保护信息和处理方法的准确和完善；三是可用性，是指确保授权人需要时可以获取信息和相应的资产。因此，实现信息安全是一个需要完整的体系来保证的持续过程。有效的安全防卫不仅是技术问题，也是一个管理问题。
一般来说，信息安全架构是通过实施一套恰当的控制措施来实现的，该控制措施包括政策、实践、程序、组织结构和工具软件组成。因此，信息安全架构模型和其它模型一样，具有以下几个方面的优点或作用：①信息安全架构模型涉及信息安全和业务需求的各个方面，能以简单方式测定差异，并有助于确定有关安全性方面的相对水平；②信息安全架构成熟度是测量安全管理处理等级的一种方法，这些等级是一个给定的信息安全管理处理的惯例，体现各个成熟层次的典型模式，有助于企业将主要精力投入到关键的管理方面；③信息安全架构模型等级有助于专业人员向管理层解释信息安全管理存在的缺陷，并把组织的控制惯例与最佳惯例对照起来，从而确定企业的未来发展目标。因此，信息安全架构和IT治理不但是息息相关的，也是IT治理的基石。
三、建立高效信息安全架构的流程和方法
信息安全经常被看作只是一个技术问题，很少有企业认为它是必需的并需要优先考虑的。所以，治理和管理信息安全的责任常常被限制在CIO身上。事实上，这是一个误解。现在信息安全正越来越成为业务成功的关键因素，信息安全架构将能有效的帮助企业达到业务目标或创造新的竞争机遇，而不仅仅是一个技术环节。本部分提出建立信息安全架构的流程和常规步骤：
（1）宣传和推广信息安全对业务的重要性
首先是高层管理者必须意识到IT信息安全架构对业务的重要性，这是设计信息安全架构的前提。其次是充分了解企业的业务安全需求。例如，了解和分析组织业务所处的风险环境，并在此基础上提出安全保障措施；定义合理的安全投资规模和计划，制定出合理的安全政策和制度。包括对业务内容、性质、目标及其价值进行分析，在信息安全中业务一般是以资产形式表现出来，它包括信息/数据、软/硬件、无形资产、人员及其能力等。
（2）定义信息安全驱动方向和策略
企业应采取最高管理层级的行动及时了解信息安全状况，以确定信息安全的驱动方向和战略。信息安全策略是组织信息安全的最高方针，需要根据组织内各个部门的实际情况，分别制订不同的信息安全策略。例如，规模较小的组织单位可能只有一个信息安全策略，并适用于组织内所有部门、员工；而规模大的集团组织则需要制订一个信息安全策略文件，分别适用于不同的子公司或各分支机构。信息安全策略应该简单明了、通俗易懂，并形成书面文件，发给组织内的所有成员。同时要对所有相关员工进行信息安全策略的培训，以使信息安全方针真正植根于组织内所有员工的脑海并落实到实际工作中。
（3）进行信息安全风险评估
ISO/IEC把风险定义为特定的威胁利用资产的一种或一组薄弱点，导致资产的丢失或损害的潜在可能性。风险评估是对信息和信息处理的威胁、影响和薄弱点及三者发生的可能性评估，即利用适当的风险评估工具用定性与定量的方法，确定资产风险等级和优先控制顺序。简单的说，风险评估主要是对信息安全架构范围内的信息资产进行鉴定和估价，然后对信息资产面对的各种威胁和脆弱性进行评估，同时对已存在的或规划的安全管制措施进行鉴定。
信息安全风险评估的复杂程度将取决于风险的复杂程度和受保护资产的敏感程度，所采用的评估措施应该与组织对信息资产风险的保护需求相一致。由于信息安全是一个动态的系统工程，企业应实时对选择的管制目标和管制措施加以校验和调整，以适应变化了的情况，使企业的信息安全得到有效、经济、合理的保护。
（4）成立安全管理小组，编制安全基线分析报告
CIO应要根据安全基线分析报告制定企业信息安全架构，包括成立一支专业、高效的信息安全管理的队伍，一般由信息安全主管为核心，并由信息安全日常管理、信息安全技术操作两方面的人员组成。这对建立有效的信息安全是非常有必要的。安全基线分析报告是指运用各种手段从各个层面广泛收集IT风险状况，进行全面、彻底的自我分析与诊断的报告。包括对组织业务特征、组织文化、安全意识、人员状况及信息风险评估的综合分析，详细描述当前企业的信息安全状况，为进一步制定信息安全投资预算计划、信息安全投资回报分析、制定安全政策、引入安全控制措施而提供基础数据。
（5）平衡信息安全架构中的风险
有业内人士指出，风险控制是一门系统科学，风险降得越低需要的支出就会越多。因此，企业需要寻找一个合适的平衡点来保障企业能够在可接受的风险范围内支出尽量少的钱。而要想平衡IT架构中的安全风险，就必须在信息安全架构设计的过程中平衡多种需求，这些需求可能是来自业务部门，或者来自企业的方方面面。平衡信息安全架构通常需要根据组成构架的每个元素的重要性来确定如何进行取舍和开发。基于此，许多信息安全专家一致认为信息安全架构需要从整体安全角度来审阅整个架构，以平衡架构设计与应用中的安全风险。
总而言之，信息安全是一个相对的概念，安全威胁时时刻刻存在。IT信息的安全涉及方方面面，任何一个地方的疏漏都会成为整个IT治理的致命短板。因此，当没有建立起信息安全架构时，IT治理根本无从谈起。IT技术本身可能是信息安全体系里最不重要的部分，但IT信息安全架构却是重中之重。IT 信息安全架构不仅是IT治理的一部份，更是企业持续经营重要基石。
