【宏儒顧問】六大錯誤讓CIO所做的合規努力泡了湯
合規是指企業的經營活動與法律、規則和準則保持一致。遵循安全規范絕非易事。而且，如果企業在制定自己的合規項目時，沒有吸取其它企業的錯誤教訓，會使合規更困難。
雖然許多企業已經為合規付出了很多時間和努力，但企業是否確信自己能夠順利通過相關的安全審計呢?
其實，許多企業的合規努力遭到挫敗的原因在于總是犯同樣的錯誤。下面就是這些企業常犯的六大錯誤：
貪多嚼不爛
不知不覺間有太多的合規要求進入了企業，但許多企業在做好準備之前還有很多工作要做。
在企業準備遵循某些規范要求之前，需要確保自己為此過程做好了準備，并且確信此過程確實有效且符合企業的目標。
企業對合規問題的最大失誤在于貪多但嚼不爛。常聽說類似這樣的豪言壯語，我們需要ISO認證。但說者卻沒有真正理解該規范意味著什么。因此，最后只能是為了獲得證書而做事情，卻無法真正地遵循自己保證過的策略;或者合規工作的負擔太重，但為了獲得一紙證書而對審計人員采取掩飾。
管理員不能像審計人員那樣思考
有太多的中高級IT管理員總能把合規工作搞得一團糟，因為他們并沒有真正理解自己將要遵循的規范或標準。許多企業不能滿足審計人員的要求，因為它們并不擁有能夠用審計者的眼光來看待其目標的管理員。
從西方企業的成功案例來看，在合規和安全兩方面最成功的企業都有從內部提拔審計人員的策略。有些公司在雇傭審計人員兩三年之后，就會將其提拔到管理層。如果企業打算留住人才，不讓審計人員帶著管理經驗和審計技能離職，就應當大膽地讓他們進入企業的管理層。
資源與需求不匹配
缺乏資金支持似乎也成為無法遵循規則的理由。事實上，合規需要人力和技術才能運轉。而這兩方面都需要資源。但合規并不僅僅是錢的問題，它還涉及到將適當的人員與工作努力結合起來。
有些公司將安全責任分配給那些最不可能很好地完成的員工。例如，讓沒有經過安全培訓或沒有安全經驗的初級雇員來擔當此任。這又怎能實現合規呢?
合規努力不能適應未來的發展
有些企業并沒有用靈活的語言來反映和說明業務及技術的變化，這會使企業自身的合規努力遭遇失敗。
合規失敗的企業，其安全策略要求了一些不會隨著時間的推移而變化，而是在所有環境中都真正可用的方法和技術。但是，企業是不斷變化的。在策略編制之后，企業的功能可能會由于合并、規模變小、破產等而變化。由于經濟或操作上的原因，設置了硬性要求的策略未必總能為人們所遵循。
總體而言，企業不但要使內部的策略文檔適應未來的需要，還要使當前的安全實踐與有些過時的規范相適應。
例如，有些合規要求是十年前定下的，無法反映當前的工作環境。企業需要與審計人員密切協作，確認所使用的當代技術滿足合規需求環境。
完全把合規推給IT
在涉及實現合規目標時，事情常常在IT那兒“糾結”，因為業務經理和法律部門并沒有深入到整個過程中。
每個相關人員對“合規”都有不同的觀點。召集所有人在一起，對合規以及對企業的業務過程進行更好的洞察，這會減少安全風險，而且改善傳統的業務過程對于確保合規成功也是一個關鍵因素。
策略并沒有與評估或自動化綁定到一起
如果企業編制了無法正確評估的合規策略，就很難有辦法去衡量或證明是否遵循了這些策略。換言之，如果企業不能隨著時間的推移去觀察、評估合規策略，它對企業的影響就極小，因而不應當成為企業監管程序的一部分。
必須將自動化盡可能多地應用到安全進程中，因為這是在威脅環境中全面應對快速變化的唯一方法。因而，筆者建議企業每季度都檢查那些在出現新技術后無法實現自動化的進程，并采用新技術來改善此進程。
***
***
***
***
***
***
***