SCI期刊发表

　　针对信息安全外包管理进行深入的分析，对于很好掌握其中的风险并且确立基本的信息安全外包管理的框架，有着关键性的价值和意义。文章将针对这一方面的内容展开论述，详细分析了信息安全外包管理的主要风险，同时对基本的管理框架以及外包风险管理的实施等对策方案进行了全面的研究，旨在为有关信息外包管理质量的进步做出积极贡献。

　　信息安全外包，指的是客户将部分资料或者是全部的安全信息指定专业公司完成工作的一种服务模式。信息安全外包工作有着多方面优势，主要来讲，信息安全公司具有一定的技术优势，并且有着专业化的工作团队，针对信息渠道也更加专业，各类信息的传输通畅、迅速，同时，信息外包公司还有着广泛的厂商支持。另外，每一个安全技术公司，对于具体的信息，有着其独特的管理保障方案，通过一系列科学化的操作流程，保证信息的安全管理，针对安全的策略进行规范，进而确保信息安全服务可以更加可靠、及时。但是，在实践工作当中还存在有一定的信息安全外包工作风险，诸如信任风险、依赖风险以及共享环境的风险等。还须要确立基本的信息安全外包管理框架，根据规范来进行操作，保证程序的可靠性。

　　一、信息安全外包工作的风险研究

　　针对信息安全外包工作的风险进行深层次研究，是开展一系列工作的基础性环节。主要的风险有信任风险、依赖风险、所有权风险等几个方面的内容。

　　1.信任风险

　　各个企业之间能否建立起良好的协作关系，是决定安全服务外包一个非常重要的影响因素。因为外包信息的特殊性以及其安全性的严格要求，所以往往企业外包的信息会涉及与企业相关的敏感信息，同时通过外包信息，可以深入了解到一个企业安全系统的工作状况、运营的主要情况等，而如果将这些信息资料散播出去，无疑会对企业造成巨大的不良影响，对于企业经济效益将产生极为不利的因素。如果企业难以信任外包商，不对外包商公布一些相应的数据信息，则会导致整个外包运作的过程不完善、不稳定，信息存储不健全等，最终会导致某些环节出现失误，并且对整个服务项目质量造成不良的影响。所以，信任风险是一个很重要的影响因素。

　　2.依赖风险

　　同样，依赖风险也是一个重要的影响因素。企业对于外包商的过度信赖，也会导致一定的风险，并且容易受到其他商业伙伴和企业的影响，将安全信息外包至更多的外包商，最终导致经费的增加、成本的加大以及管理上的困难，并且使企业失去了一定的管理灵活性。另外一个层面，在短期的事件范围中，信息外包是一种全新的处理方式，并且可以对企业业务流程和倡议能力起到调整和加强的作用，而依赖风险存在则使得相关工作的开展难以得到有效的保障。

　　3.所有权风险

　　不论信息管理外包商所提供的服务质量高低好坏或者是服务的范围是怎样，企业对于相关的关键操作、安全技术的流程以及基础性设施建设，都有着所有权和管理的责任，这一点不容忽视。另外，企业在外包信息的过程当中，也须要明确外包服务商可以具备足够的能力，承担信息管理的风险，同时，还须要严格按照合同范本上有关规定，保证职责可以正确地履行，保证风险可以得到妥当的管理。有关工作人员也须要将信息安全管理作为一项重要的工作任务来进行，以减少工作过程当中的风险，保证基本的业务操作流程的稳定性和可靠性。

　　二、信息安全外包的管理框架研究

　　根据上文的概述和研究，可以对信息安全外包的管理风险有着细致的掌握。下文将针对信息安全外包管理的主要框架进行论述，力求更进一步为管理工作的加强做出积极的贡献。

　　确立基本的外包信息框架是进行成功的信息外包活动的基本要素之一，而要想保证框架的完整性，首要的一点就是须要全面地协调企业和外包商之间的关系，这一点非常重要。在协调的过程之中，须要尽可能地降低管理的风险，按照既定的流程和规划方案来进行信息外包。相关的工作须要分步骤进行，首先，企业以及外包商，须要根据相关的外包安全信息，制定出详细的规划管理方针，确立基本的安全标准，然后，企业针对实际情况，对外包信息进行风险的评估与测定，根据评估的实际情况，来逐步地确定主要的外包流程，保证项目执行的可行性和稳定性，保证外包管理工作可以有序地进行。最后，企业和外包商之间还须要根据外包信息的风险强弱程度，确立控制方案，对企业的各个安全部门的管理和各项工作进行协调和优化，最终保证外包信息工作可以有序地开展，减少其中的阻碍，降低风险。

　　三、信息安全外包风险管理的方案实施

　　信息安全外包管理方案的实施是最为关键的步骤，在针对风险进行全面评估和研究的基础之上，结合企业的现状和运营的特点，确立出最终的外包方案。首先，须要制定出详细的信息安全管理方针计划，其次，则是确定基本的信息安全外包的工作流程。根据所制定出来的安全管理标准，在规则的引导之下，保证企业外包结构的合理性和管理工作的可靠性，降低管理过程之中的风险，提升工作的效率和水准。

　　1.制定详细的信息外包安全管理计划

　　计划的制定又可以称为安全策略的制定，须要在制定的工作范围之内，对敏感信息以及资产等，进行全面的指导和分配，最终确立工作的基本方向。首先须要对信息安全进行定义，定义的主要内容包含有信息安全的共享性、共享信息的重要性以及信息安全管理的范畴。其次，还须要对管理层的主要工作目标进行概述和研究，制定出相关的信息管理标准以及管理原则，确立出详细的总体信息管理性质的定义，协调各个安全部门的工作。

　　2.确立信息安全外包的主要工作流程

　　界定的时候须要考虑如下两个方面：第一，须要保护的信息系统、资产、技术；第二，实物场所(地理位置、部门等)。

　　信息安全的外包商应该根据企业的信息安全方针和所要求的安全程度，识别所有须要管理和控制的风险的内容。

　　3.信息外包的结构管理研究

　　第一，首席安全官：CSO是公司的高层安全执行者，他要直接向高层执行者进行工作汇报；

　　第二，安全小组：安全小组的人员组成包括信息安全外包商的专业人员以及客户企业的内部工作人员和信息安全专员；

　　第三，管理委员会：这是信息安全服务外包商和客户双方高层解决问题的机构；

　　第四，咨询委员会：咨询委员会的会议主要解决计划性问题；

　　第五，安全工作组：安全工作组的人员主要负责解决信息安全中某些特定的问题。工作组的人员组成也是来自服务外包商和企业双方。

　　四、结束语

　　综上所述，根据对信息安全外包管理的主要方针和对策进行全面的探究和阐述，并且从企业自身的角度着手，对信息安全外包工作之中的主要风险和管理过程当中的难处等，进行了详细的分析，以求更进一步提高外包信息工作的安全性，全面降低信息管理的风险，加强企业和外包商之间的合作，保证工作可以有序地进行。

　　参考文献：

　　[1]张江.浅议信息外包管理工作的加强[J].财经资讯,2012(9):67-68.

　　[2]何超华.试论企业信息外包的风险以及防范的方案[J].民营科技,2011(5): 45-48.

　　[3]林俊.浅议企业信息外包风险控制[J].民营科技,2011(4):33-37.

　　[4]张海军.浅析现代化信息外包工作的开展[J].企业发展建设,2012(2):23-25.

　　[5]刘伟.试论企业外包信息的合理化分配[J].经济建设,2012(4):34-35.