評估自動化GRC工具時需考慮的7個問題
金融服務(wù)公司需要將行政管理、風(fēng)險管理、法規(guī)遵從（GRC）自動化，目前的市場上有利于GRC的工具并不短缺。Gartner公司在今年早些時候估計，2009年GRC軟件的市場規(guī)模達(dá)到1.17億美元，預(yù)測下一年度還會有穩(wěn)定的小幅增長。
隨著金融服務(wù)公司的規(guī)章數(shù)目的增加，在整理政府機構(gòu)所需的各種報告時，這些GRC工具至關(guān)重要，也可以把它作為一個更加積極主動的手段。多數(shù)產(chǎn)品都提供簡單的儀表板，通過它，用戶一眼就能發(fā)現(xiàn)公司的哪個部分遵從了某個特定的規(guī)章。
許多IT和風(fēng)險經(jīng)理人初次接觸GRC分析的情景都很類似——使用一個簡單的電子表格對風(fēng)險和安全政策進(jìn)行跟蹤。不過，這不是一個可靠的、可廣泛使用的方法，它需要大量人力，而且容易出錯。一個更好的策略是使用自動GRC評估工具對從現(xiàn)有IT安全設(shè)備獲得的信息進(jìn)行評估，如防火墻配置日志、漏洞掃描、包含客戶信息的數(shù)據(jù)庫及其它類似的數(shù)據(jù)。利用這些工具找出缺陷，然后交給審計人員或法律顧問，讓他們制定更加合符法律的規(guī)范，以減少公司可能面臨的風(fēng)險。
GRC工具的供應(yīng)商包括：Agiliance公司（RiskVision）、 Archer科技（今年早些時候被EMC公司收購）、Wolter Kluwer's ARC Logics unit（Axentis）、BWise公司（GRC Platform）、eGestalt科技公司（Secure GRC）、Global Velocity公司（GV- 2010）、Lumension安全公司（Risk Analyzer）、兆豐國際（MEGA Suite）、MetricStream公司（GRC Platform）、OpenPages公司（General Compliance Management）、Thomson Reuters公司（Paisley Enterprise GRC）、QUMAS公司（Compliance Solution）、Relational Security公司（rSam）和賽門鐵克公司（Control Compliance Suite）。
在你深入評估這些自動化工具之前，請回答以下7個問題，它們可以決定你的分析方向：
1.現(xiàn)有的安全設(shè)備如何與你將要部署的GRC工具集成使用？有些工具，如Rsam和Agiliance，它們本身有連接器，可以直接和一些不同的漏洞掃描產(chǎn)品（如Qualys和Nessus）配合使用。其它的工具則需要你將信息通過XML、SQL查詢、逗號分隔文件等方式進(jìn)行解析，這無疑需要更多的時間。
2.你是否想要為所有對外的企業(yè)應(yīng)用程序提供統(tǒng)一的風(fēng)險識別框架？如果貴公司只有一個負(fù)責(zé)風(fēng)險評估的部門，那么這種統(tǒng)一的框架或許是不必要的。另一方面，如果不同的部門做出了互相沖突的風(fēng)險評估，那么一個共同的起點將有助于加速風(fēng)險評估過程。
3.報告部分是否足夠靈活、便于閱讀？預(yù)覽這些部分，了解生成對分析師和管理人員有意義的報告需要做多少工作，這對你有幫助。
4.當(dāng)發(fā)現(xiàn)有規(guī)則遵從或者風(fēng)險方面的問題時，權(quán)限升級過程是如何工作的？最終將由誰來負(fù)責(zé)解決這些問題？你所選擇的工具應(yīng)有助于推動這一升級過程，而且集成了一些相應(yīng)的工作流程。同時它還應(yīng)該能比較容易地融入到現(xiàn)有的身份驗證系統(tǒng)中，如活動目錄（Active Directory）或LDAP。
5.GRC供應(yīng)商來自軟件銷售的收入與來自服務(wù)的收入各占多少？如果你正在尋找易用、易于部署的產(chǎn)品，那么你就應(yīng)該考慮一個主要收入來自軟件銷售的供應(yīng)商；如果你樂意支付顧問費和配置費，那么就應(yīng)該選擇主要收入來自軟件服務(wù)的供應(yīng)商。
6.你是選擇一個本地安裝的軟件，還是選擇軟件即服務(wù)的方式（SaaS）？像Agiliance這類產(chǎn)品，軟件中帶有針對上述兩種方式的配置信息；而另外一些軟件，如eGestalt，則只提供對托管方式的支持。后者可能會更易于安裝和配置，當(dāng)然也能減少成本，你需要根據(jù)自己的情況進(jìn)行選擇。但有些公司不愿意使用基于云計算的服務(wù)，它們?nèi)匀粌A向于使用本地安裝的軟件來完成工作。
7.隨軟件一起的有多少個預(yù)置的模板？有些產(chǎn)品提取規(guī)則遵從中的問卷調(diào)查，然后將其直接納入到自己的軟件產(chǎn)品。而其他的產(chǎn)品，如Global Velocity，則根本沒有多少模板。
正如你所看到的那樣，無論是在評估方面還是實現(xiàn)方面，GRC工具都涉及到很多東西。未來幾年，隨著市場需求不斷增長，這些工具會逐漸成熟起來。屆時，也能看到GRC功能集成到現(xiàn)有的安全設(shè)備。
【編輯推薦】
