提高企业IT风险管理能力

2009/2/18 10:14:27 | 3243次阅读 | 来源：网友转载【已有0条评论】发表评论

各关键业务流程的影响等各方面因素。只有正确分析和面对可能存在的各类风险，并正确评估各类风险可能造成的影响，才能采取正确有效的措施来规避风险。
    值得一提的是，一直被低估的停机成本事实上高得超乎想象。InfoneticsResearch是一家国际市场调研公司，专门从事北美、欧洲与亚洲地区的数据网络与电信行业调研工作。Infonetics近期实施了一项客户调查项目，调查内容是关于网络中断及其对于大型企业的影响。该调查的研究报告称，美国大企业每年的IT停机成本占其收入的3.6％，其中制造企业的停机成本在收入中所占比例为9％，金融服务机构则高达16％。此外，停机还使企业面临员工效率降低以及企业在客户与股东中的声誉受损等其它难以量化的潜在风险。停机对中国企业业务运营产生的不利影响究竟如何，目前还没有特别准确的调研分析，但可以肯定的是，停机成本在中国企业中也是不容忽视的。
    巧妙平衡：规避风险与保护成本
    企业在进行风险的规避和管控的过程中，往往要面临着如何平衡风险管理与业务保护成本的挑战。根据惠普多年来在该领域的经验，我们建议企业IT管理者采取分层次、分步骤的方式来做出合理决策，实现风险规避与成本之间的巧妙平衡。
    一般情况下，我们会建议企业首先认真分析每个业务流程可能遭遇的风险及其影响，力求解决下列关键问题：
    · 需要何种级别的可用性？
    · 一旦发生重大停机事故，业务对数据损失的承受能力有多大？
    · 业务流程能够承受的停机时间极限？
    · 需要何种级别的安全性？
    作为业务连续性及高可用性解决方案方面的资深专家，惠普通常会和企业客户一起，从业务连续性与可用性研讨会入手来解决上述问题。在这个互动会议上，惠普顾问专家们将与企业团队合作，对企业的机会、风险、优势与劣势进行评估，协助企业制订无中断的、可用的IT计划。
    然而，风险管理是一个系统性的工作，上述的分析、咨询只是企业规避IT风险的第一步。基于多年大量的实践基础，惠普专家采用一套完整的方法论，以企业的业务用户需求为出发点，帮助企业IT管理者了解目前的IT风险管理状况，以及要构建灵活安全的基础设施还需解决的问题。同时，惠普推荐相应的解决方案，并提供高度可用的IT基础设施，帮助企业实现恢复时间、数据损失、安全性与可用性方面的目标。
    一般来说，一套完整的IT风险管理方法包括以下4个步骤。
    步骤1：确定业务需求。对整个企业内所有涉及合规性、可用性、安全性和业务连续性的业务流程和应用的要求进行评估。衡量停机对各业务应用与流程的影响。
    步骤2：评估风险等级。对可用性、安全性与持续性进行全面且深入的评估，以确定风险领域，制定保护IT环境、改善IT服务的策略。将企业目前现行的实践与“最佳信息技术基础设施信息库（ITIL）”推荐的最佳实践进行比较，了解差距，根据业务影响确定风险等级。
    步骤3：设计与实施解决方案。将需求转化为切实可行的技术与服务解决方案，其中包括存储、数据库、应用、系统、网络和环境基础设施等。制定持续性服务改进计划。
    步骤4：监控、管理与发展。制定IT服务管理政策，建立培训机制，采用最佳实践调整人员与优化流程。在业务发展过程中，对持续性与可用性计划进行再评估、监控、审计与测试。
    通过以上4步骤，完整考虑企业IT风险管理的需求及其实现方式，可以帮助企业更准确地估计业务保护的成本，从而确保企业的投资水平在成本最优的前提下满足风险管理的需要。
    此外值得一提的是，拥有充足资源，能够自己实施全面战略的企业并不多。此种情形下，借助一些专业公司的经验往往比企业纯粹自己摸索，闭门造车要更经济，更有效。惠普公司在业务持续性与可用性咨询及解决方案方面积累了非常丰富的经验，并且形成了一套相对科学完整的方法论和工具体系。惠普还拥有全面的解决方案，可以帮助企业应对数据保护与完整性；应用的冗余与备份；数据库、系统与网络、数据中心的物理安全性与备份；身份认证和管理；入侵检查、病毒防范；漏洞检测和主动修补；现场和办公场所备份与恢复；广泛领域内的灾难恢复等业务风险。在惠普的帮助下，企业不仅可以有效利用具有相似需求的行业客户在数十年中总结积累的经验，还可以利用惠普已经通过最佳实践验证的工具与方式，获取做出正确投资决策所必需的精确数据。因此，选择与专业公司合作，往往也是巧妙平衡风险管理与保护成本的有效方法之一。