COBIT
COBIT 是一个 IT 治理与管理框架，较少涉及具体的技术控制措施，更关注决策如何做出、谁对什么负责，以及 IT 目标如何真正与业务目标相连。审计和治理部门广泛使用它，安全团队直接用到它的情况则不那么常见，但它对安全的重要性超出人们的假设，因为许多安全失败其实是披着技术外衣的治理失败。
一个典型的例子：一个已知漏洞数月未打补丁，并不是因为没人知道，而是因为没有人明确负责决定是接受风险还是修复，也没有治理结构迫使这个决定真正做出。COBIT 的价值恰恰在于弥合这类缺口，确保关于 IT 风险的决策有一个明确、有记录的负责人。
我会关注的重点
我不会全面铺开实施 COBIT，而是看您现有的治理结构在安全方面究竟哪里是沉默的：谁批准风险接受，当安全要求与业务期限冲突时由谁拍板，IT 投资决策如何考虑安全债务。这些治理缺口会悄悄催生技术上的缺口。
与其他框架如何配合
COBIT 与 ISO 27001 或 NIST CSF 这类更偏技术的框架相辅相成，而不是取而代之：COBIT 提供治理与问责这一层，其他框架提供其下的控制细节。只做其中之一的组织，通常要么控制措施不错却无人负责，要么责任清晰却没有具体内容可供追责。
如果贵组织中关于安全风险的决策常常因没有明确负责人而卡住，让我们谈谈治理究竟在哪里出了问题。