董永乐的盲窗

上周五收到同事共享的PPT，主题是信息安全管理体系，前半部分讲7799，后半部分讲ITIL。

看完以后觉得ITIL部分讲得比较生动（同事在PPT中插入了很多小例子，都是联系实际工作中的问题来讲的。

随后和同事简单聊了一下7799与ITIL的关系：

[separator]

7799是一个关于安全管理的标准，从我们现在的观点来看，7799只讲了安全管理有什么，而这些组成部分之间是什么关系讲得不多。虽然ISMS是基于业界最佳实践而提出来的，但却缺乏必要的流程。因此，在这方面ITIL正好提供了可供7799借鉴的东西。

[separator]

今天又看到Zhaol的安全管理与执行力，颇有感触。其实，信息安全管理也不能脱离整体的管理来谈。正如BS 7799-2:2002中对ISMS的定义：

"that part of the overall management system, ..."

给我的启示就是做信息安全咨询顾问也非常有必要了解一些企业管理的基本原则（诸如执行力，绩效考核之类）。

顺便附上一份文档，关于7799、ITIL、COBIT与PRINCE2之间关系的。个人以为值得一读，对于理解上述几样东西之间的关系还是很有帮助的。