企业信息安全控制研究——以H公司信息化安全建设为例

• 作 者: 杨柳
• 机 构: 苏州大学
• 出 处: 苏州大学
• 发表日期: 2012年期
• 关键词: 利益相关者理论 信息安全控制 COSO框架 企业管理 激励机制

随着信息技术的发展，数据库在企业中的应用越来越广泛，企业越来越依赖信息技术的应用来提升企业自身的竞争优势和运转效率，然而，伴随而来的信息安全问题也让企业面临着重大的经济损失，因此，在知识经济时代，信息越来越成为企业的重要资产，其安全性直接关系到企业资产的安全性和企业的生存。所以，研究企业信息安全控制具有重要意义和价值。　　
本文通过对信息安全管理中存在的问题，应用利益相关者理论和COSO框架，就企业中存在的信息安全问题、信息安全问题的成因进行了分析。本文认为现阶段企业信息安全控制中存在的主要问题有：人员信息安全意识不强、运行机制尚不完善、责任体系难以到位、缺乏战略思考和决策、原有管理模式与现行管理模式的冲突等问题。对于问题的解决，本文将企业信息安全为中心，利用利益相关者理论对信息安全利益相关者的权利和权力进行了分析，发现出现以上问题的主要原因是：企业员工维护信息安全的激励不够；企业管理人员的管理不到位；股东忽视信息安全管理。而归根结底，利益相关者权利和权力的不对称是由于信息价值对大部分企业还没有显现出来以及企业信息安全技术的制约。针对此，本文就加强信息安全控制的对策从目标框架的构架，到管理措施和技术措施进行了详细分析，并且选择了H公司为案例进行了信息安全控制的分析，得出以下结论：企业的信息安全控制清晰明确的组织框架是实施信息安全控制的基础；将信息安全管理部门独立出来的组织构架有利于企业信息安全管理执行过程中地位的提升和保持独立性；企业人力资源管理中加入信息安全有利于全员信息安全意识的提升，这里主要可通过绩效考核和员工培训来完成；信息安全执行层面上，策略与流程的整合是企业信息安全控制水平得以实质提升的重要条件。