企业信息安全:为什么需要企业信息安全框架

一、为什么需要企业安全框架？

我们一般在企业做信息安全框架或者信息安全规划的时候，我们可能会遇到一些问题，假如你是业务部的，你是人事部的，你是行政部的，我是IT部的，我们说的一些事情，说的一些语言，说的一些术语都是很不一样的，这样就变得两者之间的沟通可能会出现一些障碍，一些问题。业务不能理解技术上的花在方案上面的一些耗时，例如说为什么技术做一个方案要做那么久，耗那么多时间，到底进度做了没有。同时技术上也不理解做这个业务利润的价值，或者是说不理解这个业务平时到底在做什么样的事情，那我们怎样把所有的部门拉在一起，我们有一个共同的话题，共同的方向，共同的一个内容。这时就需要一个框架或者架构去解决这个问题。

举一个案例，比如说我们在医院里面，我们会看到一些不同的医生，有骨科医生，牙科医生，或者是其他科室的医生？那他们是怎么样聚在一个办公室里面去讨论一件事情的呢？因为中医也好，西医也好，大家都是为一个组织架构去做工作的，那他们怎么创造一个共同的一个话题，或者是达成共识？只需要让大家有一个共识，让大家知道自己是承包了身体的那一个模块就可以，大家针对这个模块对症下药就好。

其实在企业当中也需要有一个类似于身体的这样的框架，嵌套在企业里面日常的事务之中。假如存在一个这样的框架，当业务部门，技术部门，人事部门行政部门跑过来的时候，我们就可以告诉他，IT是做整个框架的底层的一个部分,业务呢，是IT上面的一个部分，我们IT做完了这个部分之后，能帮助到企业优化了具体什么样的事情。人事部，行政部帮忙做了整个框架的哪一个部分，或者正在完善哪一个部分，这样的话，每一个部门，每一个人他们就有会议里面的一些共同的话题，大家都达成了共鸣，不会说你到底在平时在干嘛，其他人在干嘛，没有共识，没有共同的语言这个企业就很难凝聚在一起做一些事情。

所以说如何化解业务跟技术之间的一个火星文的沟通呢？答案就是利用信息安全框架或者是利用框架模型架构这个概念，这也是创建框架的其中的一个目标。

二：企业架构开发模型(Zachman框架)

这里跟大家介绍一下Zachman框架，Zachman是一个人名，他最早开发了这个模型，那大家就可以看到模型考虑的因素，方向，设计都是采用纵横坐标的。

首先来看一下这个模型，首先大家注意一下，这是一个架构开发模型。什么叫做架构开发模型呢？我们首先看一下模型的纵坐标，纵坐标这里我们可以看到呢，它包括了计划人员，所有人员，设计人员，建设人员，实施人员，工作人员，它是基于人去做开发的一个模型跟模型框架，那我们看一下它的横坐标是什么，横坐标是什么人做了什么样的事情，也就是常说的5W1H法，对选定的项目、工序或操作，都要从原因（何因Why）、对象（何事What）、地点（何地Where）、时间（何时When）、人员（何人Who）、方法（何法How）等六个方面提出问题进行思考。

这个模型的框架有什么用呢？其中的一个目标是有利于企业里面各个工作人员去识别其他人在做什么样的事情，有什么样的作用，在哪里做，什么样的人做，什么时间做，什么什么原因去做，这个就是Zachman框架的其中的一个目标。

三：企业架构开发模型(TOGAF框架)

再说一下TOGAF框架，开放群组架构框架，是The Open Group Architecture Framework的缩写，由国际标准权威组织The Open Group制定。我们看一下这个模型里面说了一个件什么样的事情，这个模型呢，其实是根据需求管理去做的。一般来说呢，在企业里面，可能我们有一些新增的IT需求,比如企业需要做架构的一个开发，那怎样对需求进行管理呢？

这里我们来看一下这个模型对需求的管理的整个过程是怎么样的执行循环的。

首先，需要有预备的一个阶段，然后这些预备的阶段出来了之后然后执行一个ABCDEFGH的一个过程，这就是整个的需求管理，当然每一点，你看大家可以看到每一点都是可以直接循环的过程。

首先我们看预备的阶段，预备阶段意思就是收集管理层的目标，策略，方向，或者收集各个小组或者部门的需求，然后架构的愿景也是一个策略的方向性的东西。然后就是业务架构，系统的架构，技术的架构等待，综合了ABCDEFG之后呢，我们可以发现模型达到什么样的效果呢？

首先它是一个迭代的步骤方法，实现了一个开发过程。这里我们可以看到这个ABCDEFG就是一个迭代，这个框架同时也是一份详细的一个产品的模型。所谓满足一个需求就是满足一个产品，这样产品开发也就有了连续性。这就回到我们原来所说的，我们有了框架，框架实现的其中一个意义就是实现整个企业可以连贯在一起，所有的框架基本上都能实现企业的一个连续性或者是企业的连续统一。同时这也是一个需求管理的一个模型。