前言

IT治理過程通常從為企業的IT設定目標開始，然後創建一個連續的循環衡量績效，以目標為基準並向前邁進或適當改變方向。

圖片來源:IT Governance Services

IT治理

• 管理策略
• 政策程序
• 法令法規
• 成熟度管理

IT管理

• 資源管理
• 供應商管理
• 績效管理
• 品質管理

COBIT

信息及相關技術控制目標（Control Objectives for Information & related Technology）
企業IT治理通過其IT投資為企業創造最大的增值，同時降低風險和優化資源。

ITIL

信息技術基礎架構庫（Information Technology Infrastructure Library
使IT服務可以在其整個生命週期中進行管理

圖片來源:http://effectiveitsm.com/

What’s the Difference Between ITIL and COBIT?

延伸閱讀

Information Security Architecture: Gap Assessment and Prioritization
https://www.isaca.org/resources/isaca-journal/issues/2018/volume-2/information-security-architecture-gap-assessment-and-prioritization

自上向下的企業安全體系結構方法可用於構建業務驅動的安全體系

• Architecture Framework and Gap Assessment
• Maturity Assessment
• Risk Management
• Architecture Controls Prioritization
• Conclusion
  • 將安全控制與業務風險方案映射
  • 如果控件不到位，則確定信息安全風險評分
  • 確定相關控制的業務風險評分
  • 使用公式計算總體風險評分：總體風險評分=業務風險評分x信息安全風險評分
  • 根據總體風險評分對項目進行優先排序

邦友文章[IT營運心法]
https://ithelp.ithome.com.tw/users/20000375/ironman/267