六大錯(cuò)誤讓合規(guī)努力泡了湯
合規(guī)是指企業(yè)的經(jīng)營(yíng)活動(dòng)與法律、規(guī)則和準(zhǔn)則保持一致。遵循安全規(guī)范絕非易事。而且，如果企業(yè)在制定自己的合規(guī)項(xiàng)目時(shí)，沒有吸取其它企業(yè)的錯(cuò)誤教訓(xùn)，會(huì)使合規(guī)更困難。
雖然許多企業(yè)已經(jīng)為合規(guī)付出了很多時(shí)間和努力，但企業(yè)是否確信自己能夠順利通過相關(guān)的安全審計(jì)呢？
其實(shí)，許多企業(yè)的合規(guī)努力遭到挫敗的原因在于總是犯同樣的錯(cuò)誤。下面就是這些企業(yè)常犯的六大錯(cuò)誤：
貪多嚼不爛
不知不覺間有太多的合規(guī)要求進(jìn)入了企業(yè)，但許多企業(yè)在做好準(zhǔn)備之前還有很多工作要做。
在企業(yè)準(zhǔn)備遵循某些規(guī)范要求之前，需要確保自己為此過程做好了準(zhǔn)備，并且確信此過程確實(shí)有效且符合企業(yè)的目標(biāo)。
企業(yè)對(duì)合規(guī)問題的最大失誤在于貪多但嚼不爛。常聽說類似這樣的豪言壯語(yǔ)，我們需要ISO認(rèn)證。但說者卻沒有真正理解該規(guī)范意味著什么。因此，最后只能是為了獲得證書而做事情，卻無法真正地遵循自己保證過的策略；或者合規(guī)工作的負(fù)擔(dān)太重，但為了獲得一紙證書而對(duì)審計(jì)人員采取掩飾。
管理員不能像審計(jì)人員那樣思考
有太多的中高級(jí)IT管理員總能把合規(guī)工作搞得一團(tuán)糟，因?yàn)樗麄儾]有真正理解自己將要遵循的規(guī)范或標(biāo)準(zhǔn)。許多企業(yè)不能滿足審計(jì)人員的要求，因?yàn)樗鼈儾⒉粨碛心軌蛴脤徲?jì)者的眼光來看待其目標(biāo)的管理員。
從西方企業(yè)的成功案例來看，在合規(guī)和安全兩方面最成功的企業(yè)都有從內(nèi)部提拔審計(jì)人員的策略。有些公司在雇傭?qū)徲?jì)人員兩三年之后，就會(huì)將其提拔到管理層。如果企業(yè)打算留住人才，不讓審計(jì)人員帶著管理經(jīng)驗(yàn)和審計(jì)技能離職，就應(yīng)當(dāng)大膽地讓他們進(jìn)入企業(yè)的管理層。
資源與需求不匹配
缺乏資金支持似乎也成為無法遵循規(guī)則的理由。事實(shí)上，合規(guī)需要人力和技術(shù)才能運(yùn)轉(zhuǎn)。而這兩方面都需要資源。但合規(guī)并不僅僅是錢的問題，它還涉及到將適當(dāng)?shù)娜藛T與工作努力結(jié)合起來。
有些公司將安全責(zé)任分配給那些最不可能很好地完成的員工。例如，讓沒有經(jīng)過安全培訓(xùn)或沒有安全經(jīng)驗(yàn)的初級(jí)雇員來?yè)?dān)當(dāng)此任。這又怎能實(shí)現(xiàn)合規(guī)呢？
合規(guī)努力不能適應(yīng)未來的發(fā)展
有些企業(yè)并沒有用靈活的語(yǔ)言來反映和說明業(yè)務(wù)及技術(shù)的變化，這會(huì)使企業(yè)自身的合規(guī)努力遭遇失敗。
合規(guī)失敗的企業(yè)，其安全策略要求了一些不會(huì)隨著時(shí)間的推移而變化，而是在所有環(huán)境中都真正可用的方法和技術(shù)。但是，企業(yè)是不斷變化的。在策略編制之后，企業(yè)的功能可能會(huì)由于合并、規(guī)模變小、破產(chǎn)等而變化。由于經(jīng)濟(jì)或操作上的原因，設(shè)置了硬性要求的策略未必總能為人們所遵循。
總體而言，企業(yè)不但要使內(nèi)部的策略文檔適應(yīng)未來的需要，還要使當(dāng)前的安全實(shí)踐與有些過時(shí)的規(guī)范相適應(yīng)。
例如，有些合規(guī)要求是十年前定下的，無法反映當(dāng)前的工作環(huán)境。企業(yè)需要與審計(jì)人員密切協(xié)作，確認(rèn)所使用的當(dāng)代技術(shù)滿足合規(guī)需求環(huán)境。
完全把合規(guī)推給IT
在涉及實(shí)現(xiàn)合規(guī)目標(biāo)時(shí)，事情常常在IT那兒“糾結(jié)”，因?yàn)闃I(yè)務(wù)經(jīng)理和法律部門并沒有深入到整個(gè)過程中。
每個(gè)相關(guān)人員對(duì)“合規(guī)”都有不同的觀點(diǎn)。召集所有人在一起，對(duì)合規(guī)以及對(duì)企業(yè)的業(yè)務(wù)過程進(jìn)行更好的洞察，這會(huì)減少安全風(fēng)險(xiǎn)，而且改善傳統(tǒng)的業(yè)務(wù)過程對(duì)于確保合規(guī)成功也是一個(gè)關(guān)鍵因素。
策略并沒有與評(píng)估或自動(dòng)化綁定到一起
如果企業(yè)編制了無法正確評(píng)估的合規(guī)策略，就很難有辦法去衡量或證明是否遵循了這些策略。換言之，如果企業(yè)不能隨著時(shí)間的推移去觀察、評(píng)估合規(guī)策略，它對(duì)企業(yè)的影響就極小，因而不應(yīng)當(dāng)成為企業(yè)監(jiān)管程序的一部分。
必須將自動(dòng)化盡可能多地應(yīng)用到安全進(jìn)程中，因?yàn)檫@是在威脅環(huán)境中全面應(yīng)對(duì)快速變化的唯一方法。因而，筆者建議企業(yè)每季度都檢查那些在出現(xiàn)新技術(shù)后無法實(shí)現(xiàn)自動(dòng)化的進(jìn)程，并采用新技術(shù)來改善此進(jìn)程。
以上列舉了導(dǎo)致合規(guī)失敗的六大錯(cuò)誤，其實(shí)，在法規(guī)的遵從上，有一個(gè)重要的因素，即人的本性。許多企業(yè)合規(guī)失敗主要是由于沒有向用戶們解釋清楚。所以，最終用戶必須得到適當(dāng)?shù)呐嘤?xùn)，他們需要了解不遵守策略的后果，這樣才能確保合規(guī)的成功。
【編輯推薦】
