投资回报计划
通常人们只是认为信息安全只是花钱的部门,不能产生直接的经济效益。
在一个企业内我们经常看到这样的情景:年终总结会上,销售经理们在为不断提高的销售业绩而沾沾自喜、弹冠相庆时,安全主管对自己的最高奖赏只能是向总经理汇报“平安无事”。 因此安全预算经常受到质疑,特别是在企业经营状态不佳时,首先受到压缩就是信息安全预算,然而企业决策者们往往没有意识到,过度压缩的安全预算,往往会使企业蒙受很大的风险。
“911”事件中,当Morgan Stanley 集团和American Express等公司能在世贸中心遭受攻击后数小时内迅速恢复服务时,没有人怀疑灾难恢复计划的重要性;“SARS”肆虐时,成功实施业务持续性计划的亚信、摩托罗拉、惠普等公司使人们看到面对这样的重大灾害时,企业怎样才能避免束手无策。
安全计划只有在安全事例发生后,才能证明其价值,然而只有在安全事件发生前,取得企业决策者们的支持才更有意义。这就需要安全主管与企业决策者们进行有效的沟通,不要企图用高深的技术数据说服高层管理者们。这样往往适得其反,安全主管与决策者们的最佳沟通方式就是投资回报计划,安全主管应当为安全预算做出一份有说服力的投资回报计划,来获得决策者们的理解与支持。
信息安全投资回报计划就是要研究信息安全的成本效益,其成本效益组成如下:
上一页 [1] [2] [3] 下一页 |