評(píng)估自動(dòng)化GRC工具時(shí)需考慮的7個(gè)問(wèn)題

申請(qǐng)免費(fèi)試用、咨詢電話：400-8352-114

金融服務(wù)公司需要將行政管理、風(fēng)險(xiǎn)管理、法規(guī)遵從（GRC）自動(dòng)化，目前的市場(chǎng)上有利于GRC的工具并不短缺。Gartner公司在今年早些時(shí)候估計(jì)，2009年GRC軟件的市場(chǎng)規(guī)模達(dá)到1.17億美元，預(yù)測(cè)下一年度還會(huì)有穩(wěn)定的小幅增長(zhǎng)。

隨著金融服務(wù)公司的規(guī)章數(shù)目的增加，在整理政府機(jī)構(gòu)所需的各種報(bào)告時(shí)，這些GRC工具至關(guān)重要，也可以把它作為一個(gè)更加積極主動(dòng)的手段。多數(shù)產(chǎn)品都提供簡(jiǎn)單的儀表板，通過(guò)它，用戶一眼就能發(fā)現(xiàn)公司的哪個(gè)部分遵從了某個(gè)特定的規(guī)章。

許多IT和風(fēng)險(xiǎn)經(jīng)理人初次接觸GRC分析的情景都很類似——使用一個(gè)簡(jiǎn)單的電子表格對(duì)風(fēng)險(xiǎn)和安全政策進(jìn)行跟蹤。不過(guò)，這不是一個(gè)可靠的、可廣泛使用的方法，它需要大量人力，而且容易出錯(cuò)。一個(gè)更好的策略是使用自動(dòng)GRC評(píng)估工具對(duì)從現(xiàn)有IT安全設(shè)備獲得的信息進(jìn)行評(píng)估，如防火墻配置日志、漏洞掃描、包含客戶信息的數(shù)據(jù)庫(kù)及其它類似的數(shù)據(jù)。利用這些工具找出缺陷，然后交給審計(jì)人員或法律顧問(wèn)，讓他們制定更加合符法律的規(guī)范，以減少公司可能面臨的風(fēng)險(xiǎn)。

GRC工具的供應(yīng)商包括：Agiliance公司（RiskVision）、 Archer科技（今年早些時(shí)候被EMC公司收購(gòu)）、Wolter Kluwer's ARC Logics unit（Axentis）、BWise公司（GRC Platform）、eGestalt科技公司（Secure GRC）、Global Velocity公司（GV- 2010）、Lumension安全公司（Risk Analyzer）、兆豐國(guó)際（MEGA Suite）、MetricStream公司（GRC Platform）、OpenPages公司（General Compliance Management）、Thomson Reuters公司（Paisley Enterprise GRC）、QUMAS公司（Compliance Solution）、Relational Security公司（rSam）和賽門鐵克公司（Control Compliance Suite）。

在你深入評(píng)估這些自動(dòng)化工具之前，請(qǐng)回答以下7個(gè)問(wèn)題，它們可以決定你的分析方向：

現(xiàn)有的安全設(shè)備如何與你將要部署的GRC工具集成使用？有些工具，如Rsam和Agiliance，它們本身有連接器，可以直接和一些不同的漏洞掃描產(chǎn)品（如Qualys和Nessus）配合使用。其它的工具則需要你將信息通過(guò)XML、SQL查詢、逗號(hào)分隔文件等方式進(jìn)行解析，這無(wú)疑需要更多的時(shí)間。

你是否想要為所有對(duì)外的企業(yè)應(yīng)用程序提供統(tǒng)一的風(fēng)險(xiǎn)識(shí)別框架？如果貴公司只有一個(gè)負(fù)責(zé)風(fēng)險(xiǎn)評(píng)估的部門，那么這種統(tǒng)一的框架或許是不必要的。另一方面，如果不同的部門做出了互相沖突的風(fēng)險(xiǎn)評(píng)估，那么一個(gè)共同的起點(diǎn)將有助于加速風(fēng)險(xiǎn)評(píng)估過(guò)程。

報(bào)告部分是否足夠靈活、便于閱讀？預(yù)覽這些部分，了解生成對(duì)分析師和管理人員有意義的報(bào)告需要做多少工作，這對(duì)你有幫助。

當(dāng)發(fā)現(xiàn)有規(guī)則遵從或者風(fēng)險(xiǎn)方面的問(wèn)題時(shí)，權(quán)限升級(jí)過(guò)程是如何工作的？最終將由誰(shuí)來(lái)負(fù)責(zé)解決這些問(wèn)題？你所選擇的工具應(yīng)有助于推動(dòng)這一升級(jí)過(guò)程，而且集成了一些相應(yīng)的工作流程。同時(shí)它還應(yīng)該能比較容易地融入到現(xiàn)有的身份驗(yàn)證系統(tǒng)中，如活動(dòng)目錄（Active Directory）或LDAP。

GRC供應(yīng)商來(lái)自軟件銷售的收入與來(lái)自服務(wù)的收入各占多少？如果你正在尋找易用、易于部署的產(chǎn)品，那么你就應(yīng)該考慮一個(gè)主要收入來(lái)自軟件銷售的供應(yīng)商；如果你樂(lè)意支付顧問(wèn)費(fèi)和配置費(fèi)，那么就應(yīng)該選擇主要收入來(lái)自軟件服務(wù)的供應(yīng)商。

你是選擇一個(gè)本地安裝的軟件，還是選擇軟件即服務(wù)的方式（SaaS）？像Agiliance這類產(chǎn)品，軟件中帶有針對(duì)上述兩種方式的配置信息；而另外一些軟件，如eGestalt，則只提供對(duì)托管方式的支持。后者可能會(huì)更易于安裝和配置，當(dāng)然也能減少成本，你需要根據(jù)自己的情況進(jìn)行選擇。但有些公司不愿意使用基于云計(jì)算的服務(wù)，它們?nèi)匀粌A向于使用本地安裝的軟件來(lái)完成工作。

隨軟件一起的有多少個(gè)預(yù)置的模板？有些產(chǎn)品提取規(guī)則遵從中的問(wèn)卷調(diào)查，然后將其直接納入到自己的軟件產(chǎn)品。而其他的產(chǎn)品，如Global Velocity，則根本沒有多少模板。

正如你所看到的那樣，無(wú)論是在評(píng)估方面還是實(shí)現(xiàn)方面，GRC工具都涉及到很多東西。未來(lái)幾年，隨著市場(chǎng)需求不斷增長(zhǎng)，這些工具會(huì)逐漸成熟起來(lái)。屆時(shí)，也能看到GRC功能集成到現(xiàn)有的安全設(shè)備。