本文來自微信公眾號“GoUpSec”。
在信息技術(shù)領(lǐng)域，評估和管理風(fēng)險是一項至關(guān)重要的任務(wù)。合適的主動風(fēng)險管理框架和方法論能夠幫助企業(yè)減少主觀猜測，準(zhǔn)確識別和應(yīng)對IT風(fēng)險，從而確保業(yè)務(wù)的連續(xù)性、彈性和安全性。
本文將對六大主流的IT風(fēng)險管理框架進(jìn)行分析和點評，以幫助企業(yè)選擇適合自身需求的工具。
1
COBIT
COBIT（信息與相關(guān)技術(shù)控制目標(biāo)）是由信息系統(tǒng)審計與控制協(xié)會（ISACA）推出的IT管理和治理框架。COBIT是一個全面且結(jié)構(gòu)化的框架，旨在幫助企業(yè)理解、設(shè)計并實施IT管理和治理系統(tǒng)。
功能:COBIT 2019版本提供了一個全面的框架，涵蓋六大治理原則，包括為利益相關(guān)者創(chuàng)造價值、整體性方法和動態(tài)治理系統(tǒng)等。通過定義IT管理的通用流程和指標(biāo)，COBIT確保IT系統(tǒng)與業(yè)務(wù)目標(biāo)緊密對接。
特點:COBIT的實施非常靈活，對企業(yè)IT治理和管理的高度關(guān)注，它不僅關(guān)注IT管理，還涵蓋從策略到執(zhí)行的全過程。這些特點使COBIT其成為企業(yè)定制IT治理戰(zhàn)略的理想選擇。
2
FAIR
FAIR（信息風(fēng)險因素分析）是唯一一個國際標(biāo)準(zhǔn)的信息安全和運(yùn)營風(fēng)險定量模型，專注于風(fēng)險的量化管理。
功能:FAIR框架提供了理解、分析和量化網(wǎng)絡(luò)和運(yùn)營風(fēng)險的模型，特別是在金融領(lǐng)域。與傳統(tǒng)的定性評估方法不同，F(xiàn)AIR側(cè)重于通過量化來提供具體的財務(wù)影響分析。其組成部分包括信息風(fēng)險分類法、信息風(fēng)險術(shù)語的標(biāo)準(zhǔn)化命名法、建立數(shù)據(jù)收集標(biāo)準(zhǔn)的方法、風(fēng)險因素的測量尺度、計算風(fēng)險的計算引擎以及分析復(fù)雜風(fēng)險情景的模型。
特點:FAIR框架廣泛適用于多個行業(yè)，熱點應(yīng)用領(lǐng)域是供應(yīng)鏈風(fēng)險管理、AI和物聯(lián)網(wǎng)（IoT）安全。其定量方法使企業(yè)能夠更好地分配安全預(yù)算，平衡風(fēng)險與回報。
3
ISO/IEC 27001
ISO/IEC 27001是國際標(biāo)準(zhǔn)化組織（ISO）與國際電工委員會（IEC）共同發(fā)布的信息安全管理標(biāo)準(zhǔn)，適用于各類規(guī)模的企業(yè)。
功能:提供了一種結(jié)構(gòu)化的方式來處理公司私有數(shù)據(jù)并確保其安全。該標(biāo)準(zhǔn)在全球范圍內(nèi)使用，可幫助企業(yè)確保信息安全并對其進(jìn)行管理。ISO/IEC 27001還提供了建立、實施、維護(hù)和持續(xù)改進(jìn)信息安全管理體系的指導(dǎo)。通過系統(tǒng)化的風(fēng)險管理，可幫助企業(yè)確保數(shù)據(jù)安全和網(wǎng)絡(luò)彈性。
特點:ISO/IEC 27001提倡采取整體信息安全方法，包括審查人員、政策和技術(shù)。符合ISO/IEC 27001標(biāo)準(zhǔn)意味著企業(yè)已經(jīng)建立了應(yīng)對數(shù)據(jù)安全風(fēng)險的管理體系。其全球適用性使其成為企業(yè)保護(hù)敏感信息的基礎(chǔ)標(biāo)準(zhǔn)。
4
NIST風(fēng)險管理框架
NIST的風(fēng)險管理框架（RMF）由美國國家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）開發(fā)，提供了一個全面、可重復(fù)和可測量的七步流程，用于管理信息安全和隱私風(fēng)險。
功能:RMF將安全、隱私和網(wǎng)絡(luò)供應(yīng)鏈風(fēng)險管理活動整合到系統(tǒng)開發(fā)生命周期中，確保在法律法規(guī)的要求下選擇最有效的控制措施。該框架鏈接到NIST的一套標(biāo)準(zhǔn)和指南，以支持風(fēng)險管理計劃的實施，并滿足聯(lián)邦信息安全現(xiàn)代化法案（FISMA）的要求。
特點:NIST的RMF框架通過七個步驟，將安全納入整個系統(tǒng)開發(fā)生命周期，從而保證從一開始就考慮到安全問題。
5
OCTAVE
OCTAVE（操作關(guān)鍵威脅、資產(chǎn)和漏洞評估）由卡內(nèi)基梅隆大學(xué)的計算機(jī)應(yīng)急響應(yīng)小組（CERT）開發(fā)，是一個用于識別和管理信息安全風(fēng)險的框架。OCTAVE從物理、技術(shù)和人力資源的角度審視安全，識別關(guān)鍵任務(wù)資產(chǎn)、威脅和漏洞，并設(shè)計策略以降低風(fēng)險。
功能:OCTAVE模型通過識別關(guān)鍵的信息資產(chǎn)、威脅和漏洞，幫助企業(yè)理解信息安全風(fēng)險并設(shè)計保護(hù)策略。有兩個版本的OCTAVE可供選擇：OCTAVE-S是一種專為具有扁平層次結(jié)構(gòu)的小型組織設(shè)計的簡化版本；OCTAVE Allegro則是一種更全面的框架，適用于大型組織或具有復(fù)雜結(jié)構(gòu)的組織。
特點:OCTAVE框架特別適合關(guān)注組織風(fēng)險和戰(zhàn)略問題，希望確保IT風(fēng)險管理與業(yè)務(wù)目標(biāo)保持一致的企業(yè)。
6
TARA
TARA（威脅評估與緩解分析）是由MITRE開發(fā)的工程方法學(xué)，專注于識別和評估網(wǎng)絡(luò)安全漏洞，并選擇能夠緩解這些漏洞的對策。TARA是MITRE系統(tǒng)安全工程實踐的一部分，專注于在收購過程中改善系統(tǒng)的網(wǎng)絡(luò)安全衛(wèi)生和彈性。TARA最初于2010年開發(fā)，已用于30多項網(wǎng)絡(luò)風(fēng)險評估。
功能:TARA使用存儲數(shù)據(jù)目錄來識別可利用系統(tǒng)漏洞的攻擊向量，并推薦相應(yīng)的緩解措施。
特點:TARA框架尤其適用于威脅頻繁變化的環(huán)境中，其面向威脅的評估方法幫助組織決定應(yīng)重點應(yīng)對哪些風(fēng)險。
總結(jié)
選擇合適的IT風(fēng)險評估框架取決于企業(yè)的具體需求。
COBIT適合需要全面IT治理的企業(yè)，而FAIR則更適合需要量化風(fēng)險管理的公司。ISO/IEC 27001提供了國際通用的安全管理標(biāo)準(zhǔn)，NIST的RMF框架則特別適合需要遵循美國聯(lián)邦法規(guī)的組織。OCTAVE和TARA則分別適用于強(qiáng)調(diào)組織風(fēng)險和威脅評估的場景。
通過合理選擇和應(yīng)用IT風(fēng)險管理框架，企業(yè)可以有效管理其IT風(fēng)險，確保業(yè)務(wù)的持續(xù)性和安全性。
