多年来，企业安然团队为筹集到收集安然所需资金而深进进行合规预算。一些企业寄望到，虽然能博得短时候本钱，但从长远来看这类做法反而会造成困扰。“合规不划一于安然”这类说法听起来像极了陈词浮名，但良多企业正在采纳办法致力于构建一个富有朝气的IT系统，而非仅仅经由过程安然审计。

　　比来，来自IT专家专业社区Wisegate的一份题为“从合规到基于风险的安然”的陈述显示，实现一个风险治理项目标最大年夜驱动是知足合规要求。此中，不到一半的受访者谈及面对报复打击的场景时神采犹如草木惊心。

　　这不安的情感足以诠释为甚么诸多企业仍逗留在消防模式---从一个安然缺口跳跃到下一个告急环境，没有任何机缘抢在风险之前。

　　当然可以十分确实并且强烈地觉得，在诸如萨班斯-奥克斯利法案、PCI DSS及大年夜量此类律例和背反数据信息透露法令等一系列的合规法令出台之前，安然并没有引发足够正视。但加倍肯定的是，从持久来看，各企业将在安然扶植方面做出进一步的尽力并且渐进佳境。令人掉看的是，良多企业只是为经由过程安然审计和达到合规要求而只往做达到最低要求的少量工作。

　　“拟定这些划定的最终启事就是为了确保企业收集加倍安然，但可悲的是合规清单却常常呈现”，LLC(LTCP)的前首席信息安然官，现任信息系统安然协会董事会成员Candy Alexander说到。这是为甚么呢?因为合规对高管、专家和首席信息安然官来讲是颇具***的生意。

　　“但是，假定你在寻觅本钱最好的商业操纵，从纯粹的投资回报率角度来看，支出大年夜量的资金用于安然扶植是不是成心义对良多高管来讲很有争议,”马萨诸塞州蓝十字蓝盾企业安然架构师Martin Sandren说到。

　　又有几个公司可以或许真正理解呢?Alexander诠释到，“他们知道本身是不是合规，并且一样知道他们或许是安然的，抑或是不服安的。”

　　这个立场同由普华永道首席安然官和首席信息官杂志展开的第十一届年度全球信息安然查询拜访成果一致。对9600多个企业和机构查询拜访后发现，只有17%的受访者知道甚么才算得上一个成熟的风险治理法度。此法度要求一个企业做到：具有整体信息安然策略、配备首席信息安然官或与之划一的向行政带领陈述的主管、及时回顾过往一年安然扶植的有效性、并且可以或许准确掌控过往一年该企业产生过何种类型的安然事务。

　　那么，企业若何从合规清单心态改进到更周全的风险治理?“这是一个大年夜的飞跃，” 加拿大年夜阿尔伯塔当局首席信息安然官Tim McCreight说。从安然事务产生时作出反应，到试图强迫企业利用安然节制，再到使企业理解风险并做出恰当的基于风险的决定计划。“这需要企业往理解本身风险承受能力的等第，”McCreight说。

　　这听起来简单，事实尽非如斯。安然治理人员若何做到既关心IT安然风险，又能清晰掌控承受太多IT风险的商业后果呢?

　　Sandren介绍了企业应若何采取杰出的安然指标。“我们在蓝十字蓝盾的一个公司治理布局，基于已完成的风险评估来进行营业摆设，”他说，“这做起来并不是易事，因为对一个企业而言接管风险成本十分坚苦，高管们常常要么拒尽接管任何风险，要么就想忽视风险。”

　　IT安然公司Securosis阐发师兼主席迈克·罗思曼暗示，不管坚苦与否，最好的说服者就是数据。“员工向公司报告请示之前要汇集尽可能具体的数据和指标。若何经由过程更快速的反应来削减风险和对安然的投资若何呵护关头营业及资产将会引发高管的寄望，”他说。“高管喜好图表和数字，他们觉得越准确越可托越好。”

　　回根结底，它是一个不那么眇乎小哉的改变——从合规到使方针系统被报复打击时应变能力更强。别的，没有一个简单的合规清单可以或许完全实现信息安然。“没有达到那边的编制没有对错之说。企业的路径各不不异，因为各自所面对风险状况不合，并且风险承受等第各别，”亚历山大年夜说，“所以能做的工作就是尽力争夺。”