“IT治理與信息安全管理”實(shí)訓(xùn)班教學(xué)現(xiàn)場
2013年8月3日-4日，由福建信息主管（CIO）網(wǎng)、DNV管理服務(wù)集團(tuán)等單位共同舉辦的“2013年福建CIO IT治理與信息安全管理實(shí)訓(xùn)班”在廈門順利開班。本次實(shí)訓(xùn)班由DNV管理服務(wù)集團(tuán)大中國區(qū)培訓(xùn)課程經(jīng)理劉玉節(jié)、福建星網(wǎng)銳捷通訊股份有限公司信息安全顧問王貴光、廈門海翼集團(tuán)有限公司信息中心總經(jīng)理郭松、福建信息主管（CIO）網(wǎng)CEO謝磊等為學(xué)員授課。來自三棵樹涂料股份有限公司、福建南方路面機(jī)械有限公司、漳州片仔癀藥業(yè)股份有限公司、廈門海翼集團(tuán)有限公司、萬利達(dá)集團(tuán)有限公司、萬利(中國)太陽能科技有限公司、百威英博雪津啤酒有限公司等部門信息主管、內(nèi)部顧問、信息安全負(fù)責(zé)人，近20人參加了本次實(shí)訓(xùn)班。
福建信息主管（CIO）網(wǎng) 謝磊
第一講：福建信息主管（CIO）網(wǎng)謝磊解讀了工業(yè)企業(yè)兩化融合評估規(guī)范與評估工作推廣價(jià)值。首先，謝磊從評估規(guī)范的目標(biāo)與意義、制訂起草、組成等方面為學(xué)員解讀了工業(yè)企業(yè)兩化融合評估規(guī)范，并分享了行業(yè)兩化融合評估實(shí)例，同時(shí)介紹了評估工作推廣思路與計(jì)劃，分析區(qū)域評估應(yīng)用及推廣價(jià)值，強(qiáng)調(diào)信息安全管理在兩化融合就緒度方面的重要性。
DNV管理服務(wù)集團(tuán)大中國區(qū)培訓(xùn)課程經(jīng)理 劉玉節(jié)
第二講：COBIT 5框架與原則。COBIT(Control Objectives for Information and related Technology) 是目前國際上通用的信息系統(tǒng)審計(jì)的標(biāo)準(zhǔn)，由國際信息系統(tǒng)審計(jì)與控制協(xié)會（ISACA）在1996年公布。這是一個(gè)在國際上公認(rèn)的、權(quán)威的安全與信息技術(shù)管理和控制的標(biāo)準(zhǔn)，目前已經(jīng)更新至5.0版。DNV管理服務(wù)集團(tuán)大中國區(qū)培訓(xùn)課程經(jīng)理劉玉節(jié)介紹分析了ISACA開發(fā)COBIT5的兩個(gè)驅(qū)動因素。同時(shí)指出，IT治理非常重要，不管是對于全球和跨國業(yè)務(wù)、國家和地方政府、慈善和非盈利機(jī)構(gòu)、小到中型企業(yè)，還是俱樂部和協(xié)會。運(yùn)用COBIT會帶來哪些收益呢？
一、 根據(jù)企業(yè)IT的利益相關(guān)者需求，定義治理和管理活動的起點(diǎn)；
二、創(chuàng)造更整體、集成和完整的企業(yè)IT治理和管理視圖，提供一個(gè)IT相關(guān)的端到端視圖和提供整體視圖；
三、為企業(yè)IT治理和管理創(chuàng)造IT和業(yè)務(wù)的共同語言；
四、與公認(rèn)的企業(yè)治理標(biāo)準(zhǔn)一致，幫助滿足法規(guī)遵從要求。
COBIT5的演化過程
COBIT5原則：1、滿足利益相關(guān)者需要；2、端到端覆蓋企業(yè)；3、運(yùn)用單一整合式框架；4、采用一個(gè)整體全面的方法；5、區(qū)分治理和管理。
通過COBIT 5框架改善客戶滿意度（練習(xí)-1）
練習(xí)-1：某一企業(yè)為其規(guī)定了若干個(gè)戰(zhàn)略目標(biāo)，其中改善客戶滿意度為重中之重，為此，該企業(yè)希望了解到在與IT 相關(guān)的千頭萬緒中何處需要改進(jìn)。通過COBIT 5框架的企業(yè)目標(biāo)分解原理，把上述企業(yè)的戰(zhàn)略目標(biāo)分解到相關(guān)IT流程。
分組改善客戶滿意度（練習(xí)-1）
通過客戶滿意度練習(xí)，讓學(xué)員明白怎么分析出客戶滿意度相關(guān)聯(lián)系，有針對性改善客戶滿意度。
COCOBIT5的七個(gè)動力：原則、政策和框架；流程；組織結(jié)構(gòu)；文化、道德和行為；信息；服務(wù)、基礎(chǔ)架構(gòu)和應(yīng)用；人員、技能和能力。
分組流程練習(xí)（練習(xí)-2）
練習(xí)-2：一個(gè)組織已經(jīng)為IT 相關(guān)流程任命了一位“流程經(jīng)理”，負(fù)責(zé)在良好的企業(yè)IT 治理和管理環(huán)境中定義和運(yùn)行有效和高效的IT 相關(guān)的流程。通過COBIT 5框架動力模型，為流程經(jīng)理定義流程管理的相關(guān)維度。
COBIT5和其他IT治理框架
COBIT 5實(shí)施。企業(yè)內(nèi)部和外部因素，關(guān)鍵成功因素：高管層提供及時(shí)指導(dǎo)和授權(quán)，以及切實(shí)有效的承諾和支持；所有各方支持治理和管理流程以理解業(yè)務(wù)和IT 目標(biāo)；確保對必要變革的推進(jìn)和有效的溝通；根據(jù)企業(yè)獨(dú)特的環(huán)境量身定制COBIT 和其他配套的良好實(shí)踐以及標(biāo)準(zhǔn)；注重速贏，并優(yōu)先實(shí)施最易實(shí)現(xiàn)和最具效益的改進(jìn)方案。
福建星網(wǎng)銳捷通訊股份有限公司信息安全顧問 王貴光
第三講：黑客常識及企業(yè)安全防御
怎樣提高企業(yè)的安全防御能力：
第一步，了解黑客行為。黑客的攻擊思路一般分為偵查、掃描、獲取權(quán)限、鞏固訪問權(quán)限、清除罪證等幾個(gè)過程，而企業(yè)的防御措施也可以圍繞這幾個(gè)過程針對性展開，有的放矢。
第二步，加強(qiáng)企業(yè)信息安全審計(jì)。企業(yè)要重視信息安全審計(jì)，指派專業(yè)人員定期檢查系統(tǒng)漏洞、多余服務(wù)、異常端口、弱密碼、員工安全違規(guī)行為等，發(fā)現(xiàn)問題限期整改，最大程度提高企業(yè)的信息安全。
第三步，制定信息安全相關(guān)政策和制度，約束企業(yè)員工的日常行為。安全制度是安全管理思想的體現(xiàn)，是一種至上而下的管理模式，上層要有大的方針大的原則，下層要有具體的標(biāo)準(zhǔn)、指南、操作步驟來具體實(shí)現(xiàn)。此外，信息安全制度結(jié)構(gòu)要清晰，行文恰當(dāng)，且符合公司實(shí)際，才能最終得以落地。
通過理論學(xué)習(xí)和模擬實(shí)驗(yàn)，企業(yè)信息人員了解了黑客行為及其危害性，掌握了有效的安全防護(hù)措施，通過強(qiáng)化安全審計(jì)，加強(qiáng)網(wǎng)絡(luò)安全技術(shù)培訓(xùn)，加大安全投入，最大限度地提高企業(yè)的安全防御能力。
廈門海翼集團(tuán)有限公司信息中心總經(jīng)理郭松
第四講：COBIT在企業(yè)中的應(yīng)用（領(lǐng)域及價(jià)值）。
COBIT應(yīng)用領(lǐng)域
一個(gè)好的IT模型必須是什么樣的？一、業(yè)務(wù)導(dǎo)向的。IT離開業(yè)務(wù)導(dǎo)向也就沒有生存價(jià)值。二、關(guān)注客戶，掌握客戶資源。
COBIT實(shí)施案例-項(xiàng)目管理
COBIT對信息化建設(shè)指南。目前企業(yè)普遍存在的問題，欠缺長期的規(guī)劃。原因：一、對業(yè)務(wù)的理解不夠深或是業(yè)務(wù)本身的規(guī)劃不夠長遠(yuǎn)。二、即使企業(yè)制定了5年戰(zhàn)略規(guī)劃，每年應(yīng)用時(shí)可能做些微調(diào)，企業(yè)CIO需要借助一些好的工具來制定，COBIT是其中一個(gè)。企業(yè)信息化建設(shè)更多的關(guān)注點(diǎn)在哪里？基礎(chǔ)建設(shè)。它更多是以項(xiàng)目的形式來產(chǎn)生的，企業(yè)運(yùn)用COBIT時(shí)建議多取些項(xiàng)目管理，這樣做容易把項(xiàng)目管理領(lǐng)域做到從無級別到有級別。那么它的重心會在哪里？運(yùn)維。選擇COBIT做流程，COBIT有十二個(gè)方面的流程，COBIT 4.1的版本大概34個(gè)流程，34個(gè)流程沒有全做，12個(gè)主流程是全做，但是可能有的企業(yè)花了三年時(shí)間真正做了四個(gè)流程，四個(gè)流程里有第一個(gè)就是IT戰(zhàn)略，第二個(gè)就是項(xiàng)目管理，第三個(gè)是用戶管理和第三方的管理，第四個(gè)是信息安全管理。從實(shí)施經(jīng)驗(yàn)來看，要選擇一個(gè)控制點(diǎn)，對現(xiàn)狀進(jìn)行分析、找出差距，然后再增加，使得企業(yè)在控制點(diǎn)應(yīng)用上更熟練，項(xiàng)目管理也是一樣，開始依賴于一兩個(gè)人，然后讓他們總結(jié)經(jīng)驗(yàn)，把經(jīng)驗(yàn)進(jìn)行分享找出關(guān)鍵節(jié)點(diǎn)進(jìn)行推廣，讓更多的人用這種模式。
COBIT自評估流程
企業(yè)確立項(xiàng)目目標(biāo)一段時(shí)間后會遇到一些問題，只有目標(biāo)確立好邊界才可以做項(xiàng)目管理流程。通常軟件項(xiàng)目分幾個(gè)階段，第一個(gè)階段是應(yīng)用項(xiàng)目都會比較簡單清晰，通常都是定義、對象、啟動后就是實(shí)施項(xiàng)目前準(zhǔn)備，藍(lán)圖設(shè)計(jì)、調(diào)研、開發(fā)、測試、數(shù)據(jù)準(zhǔn)備、上線。第二個(gè)階段應(yīng)用項(xiàng)目就可以較快總結(jié)出來，還應(yīng)該能傳承。第三個(gè)階段就是文檔，在立項(xiàng)階段中要完成哪些文檔，在藍(lán)圖調(diào)研中有產(chǎn)出物或輸出物，測試階段要求每個(gè)階段都是可操作、可檢驗(yàn)、可追蹤，只做文檔還是不夠，還要?dú)w納成知識。
COBIT價(jià)值帶來思維觀念的改變。COBIT在制定目標(biāo)以后，從中間抽出一部分作為工作目標(biāo)，繃緊腦袋去實(shí)施。工作方式的轉(zhuǎn)變會注重于做完一件事后會習(xí)慣把它做成文檔，沒有形成文字就是隱性的知識，總結(jié)歸納出來就是顯性知識。
審計(jì)工作主要是通過量化管理，審計(jì)要作為一種自檢工具。審計(jì)工作一般有兩種方法：一是自上而下，也可以自下而上。自下而上會更難點(diǎn)，通常是沒有發(fā)生事情是不會去想這件事，一定是要亡羊才能補(bǔ)牢，未雨綢繆就比較少。
通過本次實(shí)訓(xùn)班學(xué)習(xí)，學(xué)員收獲良多。掌握了COBIT應(yīng)用于IT治理相關(guān)項(xiàng)目的設(shè)計(jì)框架、流程設(shè)計(jì)，IT治理實(shí)施應(yīng)用領(lǐng)域及其價(jià)值，為做好兩化融合工作奠定了基礎(chǔ)。
福建信息主管（CIO）網(wǎng) 網(wǎng)址：www.fjcio.org
電話：0591-87315438 傳真：0591-87335281
聯(lián)系人：蔣文萍 邱磊 郵箱：fjcio@139.com
《福建CIO活動簡報(bào)》
責(zé)任編輯：謝磊
編輯人員：鄭小霞 邱磊 蔣文萍 林忠英
