9.0 Information Risk Management Org

9.0 Information Risk Management Organization
Effective Information Technology (IT) risk management ensures IT related risks (IT Risk) are
appropriately governed and effectively addressed within the organization and is enabled by establishing
a management framework that initiates and controls the deployment of IT and risk management both
internally and in conjunction with contracted Third Parties (where a business need for external services
exist).
Minimum Requirements:
9.1 Information Security & IT Risk Management
9.1.1 Accountability and responsibility for the management of IT Risk and the ACE IT
Risk Management Framework must be clearly assigned and documented.
9.1.2 There must be a clearly defined and documented IT Risk Management structure
in place globally which includes regional participation.
9.1.3 Compliance with the ACE IT Risk Management Framework must be reviewed by
the Global CISO on an annual basis.
9.1.4 Regular assessment of IT controls will be completed by regional IT resources and
the Global Security Team, with independent audits performed by ACE Internal
Audit.
9.1.5 IT Risk Management is scheduled to be a standing agenda item at quarterly
Global Operations Risk Management meetings and reported annually to the ACE
Enterprise Risk Management Board (or as required).
9.1.6 Periodic reporting of IT Risks facing the region and enterprise must be reported
to the Global CISO and Regional CXO executives.
9.1.7 An IT Risk Management Framework must be defined, documented and reviewed
annually.
9.2 Policy and standards
Page 9 of 40
9.2.1 Framework
9.2.1.1 The Policy and supporting standards must be defined or reviewed by
the Global Security Team and must follow the framework as set forth in
this Policy and certified by the Global CISO.
9.2.1.2 The Policy must be reviewed annually. Draft policies and standards
must be referred to other stakeholders (as required e.g. audit, human
resources, legal, etc.) for comment prior to certification.
9.2.1.3 The security architecture standards matrix will be reviewed annually by
the Global Security Team and made available on the ACE Intranet.
This document

ผลลัพธ์ (ไทย) 1:

9.0 องค์กรฝ่ายบริหารความเสี่ยงข้อมูลบริหารความเสี่ยงของเทคโนโลยีสารสนเทศ (IT) มีผลบังคับใช้ให้แน่ใจว่า มันเกี่ยวข้องกับความเสี่ยง (ความเสี่ยง IT) มีเหมาะสมได้รับการดูแลอย่างมีประสิทธิภาพอยู่ภายในองค์กร และเปิดใช้งาน โดยการสร้างกรอบการจัดการที่เริ่มต้น และควบคุมความเสี่ยงและการจัดการทั้งการใช้ภายใน และร่วมกับบุคคลที่สามสัญญา (ที่ธุรกิจจำเป็นสำหรับการบริการภายนอกมีอยู่)ข้อกำหนดขั้นต่ำ:9.1 ข้อมูลความปลอดภัยและบริหารความเสี่ยง9.1.1 ความรับผิดชอบและความรับผิดชอบในการบริหารความเสี่ยง IT และเอมันกรอบการบริหารความเสี่ยงต้องชัดเจนกำหนด และจัดทำเอกสาร9.1.2 ต้องมีโครงสร้างการบริหารความเสี่ยงได้กำหนดอย่างชัดเจน และมีเอกสารใน ทั่วโลกซึ่งรวมถึงมีส่วนร่วมของภูมิภาค9.1.3 ACE มันความเสี่ยงจัดการกรอบปฏิบัติตามต้องถูกตรวจทานโดยCISO สากลเป็นประจำ9.1.4 ปกติประเมินควบคุมมันจะเสร็จสมบูรณ์ภายในภูมิภาคทรัพยากร และทีมรักษาความปลอดภัยทั่วโลก มีการตรวจสอบอิสระที่ดำเนินการ โดยภายในหนึ่งการตรวจสอบ9.1.5 มันเสี่ยงจะได้กำหนดให้มีวาระโดยยืนที่รายไตรมาสประชุมบริหารความเสี่ยงการดำเนินงานส่วนกลาง และรายงานเอสเป็นประจำทุกปีคณะกรรมการบริหารความเสี่ยงองค์กร (หรือเป็นที่จำเป็น)9.1.6 งวดรายงานความเสี่ยงมันหันหน้าไปทางภูมิภาคและองค์กรต้องมีรายงานเพื่อผู้บริหาร CISO ส่วนกลางและภูมิภาค CXO9.1.7 เป็นกรอบการบริหารความเสี่ยงจึงต้องกำหนด จัดทำเอกสาร และตรวจทานปี9.2 นโยบายและมาตรฐานหน้า 9 จาก 409.2.1 กรอบ9.2.1.1 นโยบายและสนับสนุนมาตรฐานต้องกำหนด หรือตรวจทานโดยทีมรักษาความปลอดภัยทั่วโลกต้องทำ ตามกรอบที่เป็นมาในชุดนโยบายนี้ได้รับการรับรอง CISO สากล9.2.1.2 นโยบายต้องทบทวนเป็นรายปี แบบร่างนโยบายและมาตรฐานต้องอ้างถึงเสีย (เป็นที่จำเป็นเช่นตรวจสอบบัญชี บุคคลทรัพยากร กฎหมาย ฯลฯ) สำหรับข้อคิดเห็นก่อนการรับรอง9.2.1.3 การรักษาความปลอดภัยสถาปัตยกรรมมาตรฐานเมตริกซ์จะถูกทบทวนเป็นรายปีโดยทีมรักษาความปลอดภัยระดับโลก และปรากฏบนอินทราเน็ตเอสเอกสารนี้

ผลลัพธ์ (ไทย) 2:

9.0 ข้อมูลองค์การบริหารความเสี่ยง
ที่มีประสิทธิภาพเทคโนโลยีสารสนเทศ (ไอที) เพื่อให้แน่ใจว่าการบริหารความเสี่ยงที่เกี่ยวข้องกับความเสี่ยงด้านไอที (IT ที่มีความเสี่ยง) จะถูก
ควบคุมอย่างเหมาะสมและมีประสิทธิภาพที่ภายในองค์กรและเปิดใช้งานโดยการสร้าง
กรอบการบริหารจัดการที่เริ่มต้นและการควบคุมการใช้งานของไอทีและการบริหารความเสี่ยงทั้งสอง
ภายในและร่วมกับการหดตัวบุคคลที่สาม (ที่ความต้องการทางธุรกิจสำหรับการให้บริการภายนอก
อยู่).
ความต้องการขั้นต่ำ:
9.1 ความปลอดภัยของข้อมูลและการบริหารความเสี่ยงด้านไอที
9.1.1 ความรับผิดชอบและความรับผิดชอบในการบริหารจัดการความเสี่ยงด้านไอทีและ ACE ไอที
กรอบงานการจัดการความเสี่ยงที่จะต้อง ที่ได้รับมอบหมายได้อย่างชัดเจนและเอกสาร.
9.1.2 ต้องมีการกำหนดไว้อย่างชัดเจนและจัดโครงสร้างการบริหารความเสี่ยงด้านไอที
ในสถานที่ทั่วโลกซึ่งรวมถึงการมีส่วนร่วมในระดับภูมิภาค.
9.1.3 การปฏิบัติตาม ACE ไอทีกรอบการบริหารความเสี่ยงจะต้องถูกตรวจสอบโดย
CISO ทั่วโลกเป็นประจำทุกปี .
9.1.4 การประเมินปกติของมันจะควบคุมจะแล้วเสร็จในภูมิภาคทรัพยากรไอทีและ
ทีมรักษาความปลอดภัยทั่วโลกที่มีการตรวจสอบที่เป็นอิสระดำเนินการโดย ACE ภายใน
ตรวจสอบ.
9.1.5 ไอทีบริหารความเสี่ยงมีกำหนดที่จะยืนอยู่ในวาระที่ไตรมาส
เสี่ยงดำเนินงานทั่วโลก การประชุมการจัดการและการรายงานเป็นประจำทุกปีเพื่อ ACE
องค์กรคณะกรรมการบริหารความเสี่ยง (หรือตามที่กำหนด).
9.1.6 รายงานธาตุของไอทีเสี่ยงหันหน้าไปทางภูมิภาคและองค์กรต้องมีการรายงาน
ไปยังทั่วโลก CISO และผู้บริหารในภูมิภาค CXO.
9.1.7 การบริหารความเสี่ยงด้านไอที กรอบจะต้องกำหนดเอกสารและมีการทบทวน
เป็นประจำทุกปี.
9.2 นโยบายและมาตรฐาน
หน้า 9 จาก 40
9.2.1 กรอบ
9.2.1.1 นโยบายและมาตรฐานการสนับสนุนจะต้องกำหนดหรือตรวจสอบโดย
ทีมรักษาความปลอดภัยทั่วโลกและจะต้องปฏิบัติตามกรอบที่กำหนดไว้ใน
นี้ นโยบายและการรับรองจากทั่วโลก CISO.
9.2.1.2 นโยบายจะต้องถูกตรวจสอบเป็นประจำทุกปี ร่างนโยบายและมาตรฐาน
จะต้องเรียกผู้มีส่วนได้เสียอื่น ๆ (เช่นการตรวจสอบเป็นที่ต้องการของมนุษย์
ทรัพยากรทางกฎหมาย ฯลฯ ) สำหรับความคิดเห็นก่อนที่จะมีการรับรอง.
9.2.1.3 เมทริกซ์มาตรฐานสถาปัตยกรรมความปลอดภัยจะถูกตรวจสอบเป็นประจำทุกปีโดย
ทีมรักษาความปลอดภัยทั่วโลกและให้บริการ บนอินทราเน็ต ACE.
เอกสารฉบับนี้

ผลลัพธ์ (ไทย) 3:

9.0 ข้อมูลองค์กรบริหารความเสี่ยงเทคโนโลยีสารสนเทศที่มีประสิทธิภาพ ( มัน ) การบริหารความเสี่ยงให้มันเกี่ยวข้องกับความเสี่ยง ( Risk ) คือ ควบคุมและมีประสิทธิภาพ addressed
เหมาะสมภายในองค์กร และเปิดใช้งานโดยการสร้างกรอบที่เริ่มต้น
การจัดการและการควบคุมการใช้งานของมัน และการบริหารความเสี่ยงทั้ง
ภายในและร่วมกับบุคคลภายนอกสัญญา ( ที่ธุรกิจต้องการบริการนอก

อยู่ ) . ความต้องการขั้นต่ำ :
9.1 ข้อมูลความปลอดภัย&บริหารความเสี่ยง
9.1.1 ความรับผิดชอบและความรับผิดชอบสำหรับการจัดการของความเสี่ยงและเอซมัน
การบริหารความเสี่ยงต้องชัดเจนได้รับมอบหมายและเอกสาร
9.1 .2 ต้องมีการกำหนดไว้อย่างชัดเจนและเอกสารการจัดการความเสี่ยงโครงสร้าง
ในสถานที่ทั่วโลกซึ่งรวมถึงการมีส่วนร่วมในระดับภูมิภาค .
9.1.3 สอดคล้องกับ Ace กรอบบริหารความเสี่ยงจะต้องถูกตรวจสอบโดย
ซิโซ ทั่วโลก ในแต่ละปี .
9.1.4 ปกติการประเมินควบคุมจะแล้วเสร็จ โดยภูมิภาคทรัพยากรและ
ทีมรักษาความปลอดภัย ระดับโลกกับอิสระตรวจสอบดำเนินการโดย Ace ภายใน

9.1.5 ตรวจสอบ บริหารความเสี่ยงกำหนดเป็นวาระที่ 3
) การบริหารความเสี่ยงและรายงานการประชุมต่างๆเอซ
ความเสี่ยงขององค์กรการจัดการบอร์ด ( หรือต้องการ ) .
9.1.6 ประเมินผลรายงานของความเสี่ยงที่ต้องเผชิญกับภูมิภาคและองค์กรจะต้องรายงาน
กับซิโซผู้บริหาร CXO ระดับโลกและภูมิภาค
9.1.7 เป็นกรอบบริหารความเสี่ยงจะต้องกำหนด เอกสารและทบทวน

9.2 ปี นโยบายและมาตรฐาน
หน้า 40

9.2.1.1 9.2.1 กรอบนโยบายและสนับสนุนมาตรฐานจะต้องกำหนดหรือตรวจสอบโดย
ทีมรักษาความปลอดภัยทั่วโลกและจะต้องเดินตามกรอบที่กำหนดไว้ในนโยบายนี้ และได้รับการรับรองโดย
ซิโซทั่วโลก .
9.2.1.2 นโยบายจะต้องผ่านการพิจารณาเป็นรายปีนโยบายและมาตรฐาน
ร่างต้องเรียกว่าผู้มีส่วนได้เสียอื่น ๆ ( ตามที่ต้องการเช่นการตรวจสอบทรัพยากรมนุษย์
, กฎหมาย , ฯลฯ ) สำหรับความคิดเห็นก่อนที่จะมีการรับรอง .
9.2.1.3 ความปลอดภัยมาตรฐานสถาปัตยกรรมเมทริกซ์จะถูกตรวจสอบเป็นรายปีโดย
ทีมรักษาความปลอดภัยทั่วโลกและทำให้ใช้ได้ใน Ace อินทราเน็ต .
เอกสารนี้