选自公众号：阿肯的不惑之年

原文链接：

不同阶段、不同规模、不同行业的企业，安全组织形态也不一样，比如：有些企业规模还小，可能一个兼职的安全人员就行，大企业一般会有完整的安全组织，包含虚拟组织和实体组织。

1、组织架构和职责

比如大型科技企业的经营组织架构一般有三层：

对比经营组织来看，企业的安全组织也是三层：

关于企业安全组织架构，这里强调3点：

2、机制和流程

很多企业设立了信息安全委员会，但是一年都不开一次会，也没有具体工作，这个组织就变成了一个摆设。而好的机制流程，以及细节的设计，就能够让大家一起共建，成事为乐。比如上面提到大型科技制造企业的委员会，就有会议、评议、通报、检查、表彰等机制流程。

3、以数据分类分级工作为例，看一个实际的组织流程例

基于上面介绍的安全组织架构、机制和流程，这里以数据分类分级工作为例，来看下集团与各个单位之间具体是如何运作的。

第一步：收集信息，策划项目

信息安全部，作为信息安全管理委员会的办公室，是一个实体团队，有专业人员和能力。可以由这个专业部门研究相关法律法规、安全标准、同行实践，然后会同自己企业自身的商业秘密，制定数据分类分级的分级标准，识别流程和工具规划，以及推动工作的项目策划。

第二步：高层共识

如果企业安全委员会运作机制比较成熟，可直接通过委员会来做项目推进的评议，言简意赅讲清楚这个工作的背景，目标。数据分类分级是信息安全管理的源头性，至关重要，定的准不准，决定管的对不对。同时，国家也在强调数据分类分级，以及数安法、个保法的立法执法，在这种管理趋势下应进行推进。同时明确做这个工作的职责和时间节点，比如信息安全部门负责数据分级的顶层标准，识别流程和工具；一线业务部门负责基于标准和流程和模板，识别业务数据，并使用工具做好标识；法律合规部门负责对国家法定的重要数据、个人信息定义、解释和指导。各委员一旦表决心，后续推动工作更加顺畅。评议通过后，应进行对评议记录和决议进行发布。

如果没有安全委员会，或者还没有常态化运作起来，建议考虑寻找公司自身的运营管理机制去推动工作。比如项目立项，企业要事上报的专项会议等来推动这个工作在较高管理层的一致认知，一旦同意就是获得了管理政策支持。

需要注意的是，在上会前一定要和主要单位的中层管理干部提前做好沟通，拉同盟，获得支持和理解，也能提前知道对方的业绩诉求或困难，从而调整好方案。上会的目的是达成共识，获取管理政策支持，资源支持，而不是把矛盾放到会上解决。这里还有一点，平时和关键干系部门多走动，多支持，才能在关键时刻获得支持。比如：某科技企业要立一个项目解决企业存在的高危风险，但涉及金额数千万，需要上升到董事会决策，安全负责人当时通过提前与安全委员会主要成员逐一沟通，并得到支持，再上会汇报。汇报过程中，某研发负责人在会上就从他的角度阐述了项目的必要性，以及他之前所在500强企业也是类似做法，最终项目顺利立项。

第三步：向下推动

如果评议通过，向下推动时，主要有3个主要举措：

第四步：业绩宣传

大家跟着一起折腾这么久，都希望能有业绩。这时候通过宣传渠道，来表扬合作中表现优异的单位，表扬他人就是宣传了项目的业绩。这点至关重要。当然，在项目启动时我们应该想好最终会怎么做宣传来推动工作。比如数据分类分级，可以从业务单位如何认知和参与这个事情，识别的更加精准、聚焦，提供了工具来做自动化识别提效等方面来做立体的宣传。

总之，安全负责人如果能推动企业建立安全决策层、管理层和执行层的三层组织，集团的安全舞台就搭建起来了，大家可以一起唱戏。如果能把会议、评议、检查、通报、表彰等机制运作起来，集团上下就能形成共同的安全方向和原则、大家协同共建、安全投入与产出的价值达成一致、业务效率与安全效果达成平衡，安全体系将逐步走向成熟。