读数据安全架构设计与实践25GRC

1. 风险

1.1. 萨班斯法案

• 1.1.1. SOX法案

• 1.1.2. 必须控制IT风险在内的各种风险以保障财务数据的准确可靠

• 1.1.3. 促成了GRC理论的诞生

1.2. GRC

• 1.2.1. Governance,Risk management and Compliance

• 1.2.2. 即治理、风险管理与合规，是一种企业风险治理的框架模型

1.3. 风险

• 1.3.1. 未经安全设计、方案评估、安全测试就对外提供不安全的IT产品或服务

• 1.3.2. 隐私合规风险

• 1.3.3. 战略/市场风险，例如进入的行业不符合产业政策、并购重组、大股东撤资、市场份额下降等

• 1.3.4. 采购风险，例如管理人员吃回扣引入不符合要求的供应商、原材料供应中断等

• 1.3.5. 财务风险，例如现金流中断、投资失败、成本超支、财务报告不真实、融资带来的控制权丧失等

• 1.3.6. 生产管理风险，例如火灾、不安全操作等

• 1.3.7. 人力资源风险，例如招聘了不合格的人员、核心人才流失、用工风险、职业健康等

• 1.3.8. 质量管理风险，比如残次品

• 1.3.9. 法律合规风险，如隐私法律合规、国际贸易合规，以及各种法律纠纷

• 1.3.10. 合同管理风险、投资风险、信用风险、公关风险、知识产权风险

1.4. 如果一个企业不能管理好跟自身有关的各种风险，提前做好预防，那么企业顺利存活下去的风险就比较高

• 1.4.1. 战略方面：缺乏健康的盈利模式

• 1.4.2. 管理方面：九龙治水，权责不清，造成资源浪费了，事情没有做好

• 1.4.3. 员工方面：疏忽、营私舞弊、内外串通、滥用权力

• 1.4.4. 流程方面：缺乏流程管控导致不合规的结果，如未经安全测试对外提供不安全的IT产品或服务、缺少对供应商的尽职调查导致上游产品或服务不合格

• 1.4.5. 企业文化方面：缺乏诚信的文化以及问责机制

1.5. 一个领域风险管理的方法，可以加以借鉴，运用到另一个领域

• 1.5.1. 隐私保护领域就是一个非常适用的领域

2. GRC简介

2.1. GRC由国际智库组织OCEG所倡导的一种风险治理框架

2.2. GRC是通过解决不确定性以及诚信行事，保障组织可靠地实现目标的能力集合

• 2.2.1. 这一能力集合，被称为*“有原则的绩效”​（Principled Performance）​

2.3. 不确定性，就是无法事前预防或无法提前预知何时发生的风险事件

• 2.3.1. 对于隐私保护领域，外部隐私法律法规的变化、没有明确标准的处罚金额也是一种不确定性

2.4. “有原则的绩效”就是在内外合规的前提下，在管理不确定性和保持正直诚信的同时，可靠地达成目标

• 2.4.1. “有原则的”​（Principled）一词，确定了治理活动的边界，即确保所采取的各种活动不越过设定的边界

• 2.4.1.1. 最低要求，就是合法合规，企业可在此基础上，设定自己的边界，也就是企业内部的内部政策，以追求卓越和竞争力优势

• 2.4.2. 绩效（Performance）

• 2.4.2.1. 结果，是否达成目标

• 2.4.2.2. 行为，实现目标过程中的行为表现是否合规

• 2.4.2.3. 考核，将员工的技能、发展潜力和是否诚信的价值观纳入考核

3. GRC三领域

3.1. 三个要素分别是治理、风险管理、合规，但这三个要素并不互相独立，而是深度有机地融合

3.2. 治理

• 3.2.1. Governance

• 3.2.2. 治理，是一种自上而下所采取的整体制度性安排，是企业所有部门和员工管理性工作的总和

• 3.2.3. 主要工作

• 3.2.3.1. 建立战略与边界

• 3.2.3.2. 组织架构与权责划分

• 3.2.3.3. 政策的制定与流程管控

• 3.2.3.4. 绩效监督

• 3.2.4. 治理通过一种分工协作而又互相制衡的组织和制度设计，采用合适的治理框架，使每个人都能发挥主观能动性，但又不至于偏离太远，让各团队总是能朝着“大致正确”的方向前进

• 3.2.5. 在组织架构设计上，按照“三道防线”进行组织架构设计

• 3.2.5.1. 在各业务体系建立风险防控团队，构建第一道防线

• 3.2.5.2. 在公司层面，建立整体的风险管理团队，整体负责领域内的风险管理

• 3.2.5.3. 审计部门也建立相应的审计机制

• 3.2.6. 建立战略和边界

• 3.2.6.1. 战略（Strategy）​，原指军队将领指挥作战的谋略，现在主要用来指为了实现长期目标而采取的全局性规划

• 3.2.6.2. 在安全领域，如果高层领导只是口头上支持，而不提供实际的资源支持和资金预算，这就说明安全并没有纳入公司的战略规划

• 3.2.6.3. 战略，需要通过高层决议、讲话让全体员工知悉，并提供实际的资源支持

• 3.2.6.4. 边界，包括强制性边界和自愿性边界。强制性边界是由法律法规、合同义务、监管要求等构成的必须满足的合规边界

• 3.2.6.5. 自愿性边界，是由企业内部建立的政策、管理规定、规范、流程控制点、选定的合规框架等内部政策，以及基础设施和技术限制所构成

• 3.2.7. 制定政策，需要建立并完善该领域内的文件体系​，将管理要求、流程文档化，作为风险管理的依据

• 3.2.7.1. 对隐私保护领域来说，最终交付的政策文件体系

3.3. 风险管理

• 3.3.1. 主要在于管理各种确定性的风险和不确定性的风险，包括对所有业务和法规风险进行结构化地识别、评估、处置、监视和控制，将风险控制在可接受的水平之内

• 3.3.2. 可接受的水平，通常位于强制性边界（法律法规）和自愿性边界（内部政策）之内

• 3.3.3. “确定性的风险”​，就是可以通过流程规定的活动降低或消除的风险

• 3.3.4. “不确定性风险”​，就是无法事前预防或提前预知何时发生的意外风险

• 3.3.5. 风险的分类

• 3.3.6. 风险的评估方法

• 3.3.7. 风险处理

• 3.3.8. 风险报告机制

• 3.3.9. 风险管理体系其实就是以政策（Policy）为中心的PDCA体系

3.4. 合规

• 3.4.1. 合规（Compliance）即符合法律法规、监管要求、行业标准、合同以及内部管理政策的要求

• 3.4.2. 外部合规就是要符合所有适用的法律法规、监管要求、行业标准、合同的要求

• 3.4.3. 内部合规就是要符合内部政策、管理规定、技术规范的要求

• 3.4.4. 主要工作

• 3.4.4.1. 各种不合规风险的文档化

• 3.4.4.2. 定义流程中的合规控制点并文档化

• 3.4.4.3. 评估控制点的有效性

• 3.4.4.4. 解决发现的合规问题

• 3.4.5. 通过内部控制的管理机制和体系，确保内部各项管理规定、规范、流程得以遵从

• 3.4.6. 合规不仅仅是结果合规，也包括过程合规、人员合规

4. GRC控制模型

4.1. 设目标、定政策、融流程

• 4.1.1. “设目标”​，对于企业来说，是设定长期经营目标，通常由业务管理层规划并在董事会决策确定

• 4.1.2. “定政策”​，就是制定内部管理的各种政策、规定、标准、规范等文件，将其文档化，并基于这些内部政策文件，确定需要融入流程的控制点，输出到控制矩阵

• 4.1.2.1. 内部政策文件也是风险控制的依据

• 4.1.3. “融流程”​，是将风险控制活动嵌入到业务流程中去，从而让确定性的风险得到正确处置，让结果合规

4.2. 合规控制，就是为了达成合规这个目标而制定的控制措施，比如要发布什么管理规定，或在某流程里面添加一个什么活动才能覆盖法律法规的要求

4.3. 合规，包括外部合规和内部合规，外部合规即符合法律法规的要求，内部合规即符合内部政策文件的要求，如果已经将外部的法律法规转化成了内部的政策文件，则只需要满足内部合规即可

4.4. 不合规，不一定会给企业或组织带来技术上的风险（如数据泄露）​，但有可能带来监管层面的处罚等风险，比如隐私声明的透明性不够，没有充分尊重用户的知情权，可能导致数据保护机构的罚款

4.5. 在产品开发设计过程中构建安全

4.6. 通过项目建设，构建并完善安全防御体系，在产品运行过程中执行防御

4.7. 通过管理政策，比如禁止将高危服务向互联网开放

4.8. 通过流程控制，在适当的时间节点，执行规定的任务，比如发布前的漏洞扫描、发布后的安全加固等

4.9. 通过监控和人力投入，在监控告警时人工干预，控制风险

4.10. 制定的政策不一定能够覆盖到业务所遇到的风险，还会有意外的风险发生

4.11. 业务人员在执行流程的时候，不一定按照政策设定的控制活动执行，可能被不诚信的员工忽视或绕过了，导致过程不合规

4.12. 就算执行了规定的活动，结果也不一定达到预期的效果

4.13. 负反馈

• 4.13.1. 由维纳（Norbert Wiener）于1948年在《Cybernetics》​（控制论）中正式提出

• 4.13.2. 广泛应用于各种控制系统，如温度调节、转速调节、方向调节等

• 4.13.3. 负反馈是将输出的一部分（偏离目标的那一部分）​，重新作为输入，对控制系统进行负向调节，从而让系统达到平衡状态

• 4.13.4. 任何一个平衡的系统都需要依赖负反馈机制来维持平衡，避免崩溃性的风险发生

• 4.13.5. 负反馈机制其实就是一种纠偏机制

4.14. 当不确定性的风险事件影响到业务时，可将其作为风险控制的输入，将这种不确定性转化为确定性，即通过流程中的控制点覆盖该风险

4.15. 中间的控制矩阵，是基于合规管理、风险管理和绩效管理，而做出的控制决策的集合

4.16. 决策，可用于下一个PDCA循环的输入，对接下来的工作进行改进，以及改进控制矩阵