信息安全的主观定量和客观定性

摘要

企业信息安全管理者总是希望能有些具象化的信息安全指标来评判其关注范围内信息安全的状态,如果存在有效的机制来度量信息安全,那么就能有效地做出信息安全相关的决策.例如,若能确切地刻画出企业信息资产的风险状态,就不会无的放矢地采用数据资产保护策略和安全控制.在管理上常讲,没有度量就没有控制,没有控制就没有管理,这对信息安全管理也不例外.但长期以来,在企业信息安全管理实践中没有发现类似“库存”、 “现金流”这样有效地运用于企业管理并可进行横向比较的评价指标.