IT GRC(治理、风险与审计)的价值主张

G-Governance治理。公司治理主要涉及建立完善的制度安排，明确责任，制定公司战略目标和策略，制定和评估绩效，遵循法律及制度规定，透明地披露经营状况，对各项经营和管理过程本身进行有效的管理和监督，实现利益相关者的利益；

R-Risk风险。风险管理则是对所有业务和法规风险进行有效的识别、评估和管理；

C-Compliance合规（遵循法律及制度规定）。合规- 遵循管理是指通过内部控制管理机制和体系，确保各项制度和法规得以遵从、政策得以贯彻、各项经营和管理目标得以有效达成。

GRC 代表治理、风险（管理）与合规（审计）。大多数企业都熟悉这些术语，但在过去它们是分开使用的。IT GRC将治理、风险管理与合规结合在一个协调的模型中，这样有助于企业减少浪费、提高效率、降低不合规风险，并更有效地共享信息。

• 帮助企业高级管理层做出准确的决策
• 帮助IT部门与企业目标保持一致
• 管理风险并符合所有行业和政府法规
• 有效利用信息资源并构建可持续发展信息化机制

IT GRC之间的共生关系

尽管治理、风险和合规通常被视为独立的功能，但它们之间存在共生关系。治理为满足协调和支持业务的特定要求建立了战略策略。风险管理将特定的控制与治理和评估的风险联系起来，并为业务领导者提供他们需要的信息来确定资源的优先级并做出风险知情的决策。合规性是对特定治理要求的控制的遵守和监控。

实施IT GRC面临哪些挑战？

• 变更管理GRC 报告提供了指导企业做出准确决策的见解，这有助于适应快速变化的业务环境。然而，公司需要投资于变更管理计划，以便根据 GRC 见解快速采取行动。
• 数据管理公司长期以来一直通过保持部门职能分离来运营。每个部门都生成并存储自己的数据。GRC 通过组合组织内的所有数据来工作。这导致了重复数据，并给信息管理带来了挑战。
• 缺乏一个完整的 GRC 框架完整的 GRC 框架将业务活动与 GRC 组件集成在一起。它适合用于不断变化的业务环境，尤其是当您处理新法规时。如果没有无缝集成，您的 GRC 实施可能会支离破碎且效率低下。
• 伦理文化发展让每个员工分享符合伦理道德的文化需要付出巨大的努力。高级管理人员必须确定转型的基调，并确保信息在组织的所有层面传递。
• 清晰的沟通GRC 实施的成功取决于无缝沟通。GRC 合规团队、利益相关者和员工之间的信息共享必须透明。这使得创建政策、规划和决策等活动变得更加容易。

如何应对这些挑战？

• 定义明确的目标首先，确定您希望使用 GRC 模型实现的目标。例如，您可能希望解决不遵守数据隐私法的风险。
• 评估现有程序评估您公司中用于处理治理、风险与合规的当前流程和技术。然后，您可以规划并选择正确的 GRC 框架和工具。
• 从高层开始高级管理人员在 GRC 计划中起着主导作用。他们必须了解实施 GRC 政策的优势，以及它如何帮助他们做出决策和建立风险意识文化。高层领导者制定明确的 GRC 驱动型政策，并鼓励组织内部接受。
• 使用 GRC 解决方案您可以使用 GRC 解决方案来管理和监控企业 GRC 计划。这些 GRC 解决方案为您提供了底层流程、资源和记录的整体视图。使用工具监控并满足合规要求。
• 测试 GRC 框架在一个业务部门或流程中测试 GRC 框架，然后评估选择的框架是否符合您的目标。通过进行小规模测试，您可以在整个组织中实施 GRC 系统之前对其进行有益的更改。
• 设定明确的角色和职责GRC 是集体的团队努力。尽管高级管理人员负责制定关键政策，但法律、财务和 IT 人员对 GRC 的成功同样负有责任。定义每个员工的角色和职责有助于增强责任感。它允许员工及时报告和解决 GRC 问题。

实施IT GRC的指导方针

• 了解了解自己公司的背景、价值观和文化，这样就可以确定可靠地实现目标的战略和行动。
• 保持一致确保战略、行动和目标是一致的。可以通过在做决策时考虑机会、威胁、价值和需求来做到这一点。
• 执行GRC 鼓励采取能够带来结果的行动，避免阻碍实现目标的行动，并监控运营以检测突然的变化。
• 审视重新审视战略和行动，以确保它们符合业务目标。例如，法规变化可能需要改变方法。

IT GRC实施清单

治理（Governance）

• 确定合规要求● 确定所需的合规框架（例如 HIPAA 或 PCI）和合同/协议义务。
  ● 确定云或新兴技术的限制/限制。
  ● 确定要实施的要求或选择的标准（例如 NIST、ISO、COBIT、CSA、CIS 等）。
• 进行计划评估● 根据 NIST 网络安全框架 (CSF) 或 ISO/IEC TR 27103:2018 等行业流程进行计划评估，以了解您当前配置文件的能力和成熟度。
  ● 确定所需的状态能力和成熟度，也称为目标配置文件。
  ● 记录资源分配的差距（人员、流程和技术）并确定其优先级。
  ● 建立云卓越中心 (CCoE) 团队。
  ● 起草并发布包含采购、DevSecOps、管理和安全的云战略。
  ● 定义和分配功能、角色和职责。
• 更新和发布政策、流程、程序● 根据与您的业务相一致的目标和所需功能更新策略。
  ● 更新现代组织和管理技术（例如 DevSecOps 和敏捷）的流程，指定如何升级旧技术。
  ● 更新程序以集成云服务和其他新兴技术。
  ● 建立用于选择控制和监控合规性的技术治理标准。

风险管理（Risk）

• 进行风险评估● 进行或更新组织风险评估（例如，市场、财务、声誉、法律等）。
  ● 对每个业务线（如使命、市场、产品/服务、财务等）进行或更新风险评估。
  ● 对每种资产类型进行或更新风险评估。
  * 使用预先建立的威胁模型可以简化风险评估过程，包括初始和更新。
• 风险计划草案● 实施计划以减轻、避免、转移或接受每一层、​​业务线和资产的风险（例如，业务连续性计划、运营连续性计划、系统安全计划）。
  ● 针对特定风险领域（如供应链风险、内部威胁）实施计划。
• 授权系统● 使用 NIST 风险管理框架 (RMF) 或其他流程来授权和跟踪系统。
  ● 使用 NIST 特别出版物 800-53、ISO ISO/IEC 27002:2013 或其他控制集来选择、实施和评估基于风险的控制。
  ● 实施对控制和风险的持续监控，尽可能地采用自动化。
• 将风险信息纳入决策● 将系统风险与业务和组织风险联系起来
  ● 自动将持续的系统风险监控和状态转换为业务和组织风险
  ● 包含“有什么风险？” （财务、网络、法律、声誉）纳入领导决策

合规（Compliance）

• 监控政策、标准和安全控制的合规性● 自动化技术控制监控和报告（高级成熟度将导致 AI/ML）。
  ● 对非技术控制实施手动监控（例如定期审查访客日志）。
  ● 将合规监控与安全信息和事件管理 (SIEM) 以及其他工具联系起来。
• 持续自我评估● 自动化应用程序安全测试和漏洞扫描。
  ● 从控制抽样、整个功能区域和渗透测试中进行定期自我评估。
  ● 对假设、观点过于挑剔
• 应对事件和风险变化● 将安全操作与合规团队集成以进行响应管理。
  ● 建立标准操作程序以应对控制的意外变化。
  ● 减轻影响并重置受影响的控制；尽可能自动化。
• 传达事件和风险变化● 为每种类型的事件建立报告树和阈值。
  ● 在报告中包括总法律顾问。
  ● 确保在需要时通知适用的监管机构。
  ● 在适当的地方自动化。