方案3:管理服務(wù)部門

5。7展示了另一種方案，它在方案1和方案2的基礎(chǔ)上做了重大改進。它提出信息安全部門應(yīng)向管理服務(wù)部門（也可稱為管理支持部門）匯報。這樣，也就是信息安全部門經(jīng)理向管理服務(wù)部門經(jīng)理或副總經(jīng)理匯報。該方案假定信息安全部門在實質(zhì)上是一個咨詢性部門（也稱為參謀部門），為機構(gòu)員工提供服務(wù)，與人力資源部門極為相似。這是一個令人稱道的方案，因為在信息安全部門經(jīng)理和

CEO之間只包括了一位中層管理者。這樣的解決方案也是很可取的，因為它認(rèn)為在機構(gòu)中隨處可見信息與信息系統(tǒng)，而且員工應(yīng)該配合信息安全部門的工作。同時，這樣的方案也具有吸引力，因為它支持任何形式的（書面的、口頭的等）信息安全工作方法，而并非將信息安全孤立為僅僅是面向計算機和網(wǎng)絡(luò)的工作。

許多情況下，該方案的實施取決于誰擔(dān)任管理服務(wù)副主管，因為若副主管對信息系統(tǒng)技術(shù)不甚了解，這會妨礙他同CEO交換有關(guān)信息安全的意見。

該方案對于那些正在裁員的機構(gòu)來說，也許是火上澆油，互聯(lián)網(wǎng)商(a“dot- com”firm)就是這樣。對于這些公司，該方案并未賦予信息安全應(yīng)有的重要性，同時也未給予信息安全所需的戰(zhàn)略的和長期的重視。所以，若采用該方案，信息安全部門受到高層要求削減成本的壓力要比其采用方案4或5更多。然而，對于一 些信息并不是高度敏感的機構(gòu)來說，比如連鎖餐館，該方案仍是令人滿意的值得推薦的。