OKR是一套定義和跟蹤目標及其完成情況的管理工具和方法。本文定位於一個公司的資訊保安工作OKR設計，提供了一個設計嘗試與示例參考。幫助大家理解怎麼使用OKR來幫助設計資訊保安工作的目標和管理相關的任務。

一、願景

為公司的產品服務和技術系統的持續執行運營提供所需的資訊保安保障。

二、戰略

1. 通過資訊保安標準認證

引入ISO27000和國家資訊保安等級保護標準，規劃公司資訊保安方針與制度，通過27001認證；

2. 實施資訊保安專案建設

實施重點資訊保安建設專案，通過專案推動資訊保安標準落地，以點帶線、以線帶面，強化公司整體資訊保安；

3. 部署資訊保安管控系統

上線商業或開源定製開發的資訊安全系統和資訊保安管理系統，提高資訊保安工作的自動化與資訊化水平。

三、2018年1季度目標

1. 協助公司通過27001標準認證
   KR1: 提供或補充設計標準認證相關的資訊保安方針、制度、操作規程以及各種記錄檔案；
   KR2: 應標準認證管理要求，對不符合要求的認證材料進行修訂；
   KR3: 應標準認證的現場稽核要求，配合演示相關係統或出示相關檔案材料等；
2. 設計並開始實施XX產品技術系統資訊保安專案
   KR1: 獲得批准並啟動專案，整理技術系統的總體概況並確定專案實施的初步範圍、制定專案推進計劃；
   KR2: 調研/分析現狀，進行現狀/目標的差異分析；
   KR3: 建立安全方針，設計檔案層級與檔案格式；
   KR4: 建立資訊系統清單，對專案範圍內的資訊系統進行梳理，為資訊系統安全保護定級；
   KR5: 設計資產分類/分級標準，統計資產；
   KR6: 設計等級保護測評方案，設計ISMS風險評估方案，設計風險處置程式；
3. 設計並開始實施公司辦公網資訊保安專案
   KR1: 獲得批准並啟動專案，整理技術系統的總體概況並確定專案實施的初步範圍、制定專案推進計劃；
   KR2: 調研/分析現狀，進行現狀/目標的差異分析；
   KR3: 建立安全方針，劃分安全域，設計檔案層級與檔案格式；
   KR4: 建立資訊系統清單，對專案範圍內的資訊系統進行梳理，為資訊系統安全保護定級；
   KR5: 設計資產分類/分級標準，統計資產；
   KR6: 設計等級保護測評方案，設計ISMS風險評估方案，設計風險處置程式；
4. 建設資訊保安管控系統與管理流程
   KR1: 釋出WEB安全掃描管理流程，定時執行WEB安全掃描，掃描、通報、加固、複查；
   KR2: 採購和部署終端安全管理系統，辦公網防病毒、補丁管理與安全審計等；
   KR3: 資訊保安管理系統的功能需求分析與設計方案；
   KR4: 設計和推廣系統安全配置基線；

四、2018年2季度目標

1. 協助公司通過27001標準認證（續）
2. 繼續實施XX產品技術系統資訊保安專案
   KR1: 進行等保測評，編寫等保測評報告；
   KR2: 實施ISMS風險評估，編寫風險評估報告；
   KR3: 整合等保測評和風險評估結果，設計風險處置計劃和控制措施；
   KR4: 準備適用性宣告（SOA）;
3. 繼續實施公司辦公網資訊保安專案
   KR1: 進行等保測評，編寫等保測評報告；
   KR2: 實施ISMS風險評估，編寫風險評估報告；
   KR3: 整合等保測評和風險評估結果，設計風險處置計劃和控制措施；
   KR4: 準備適用性宣告（SOA）;
4. 建設資訊保安管控系統與管理流程
   KR1: 定時執行WEB安全掃描，掃描、通報、加固、複查；
   KR2: 釋出終端安全管理系統的管理流程與操作規程；
   KR3: 部署系統基線安全監控與報警系統；
   KR4: 部署系統完整性檢查監控與報警系統；
   KR5: 成立資訊保安管理系統的專案開發團隊，釋出原型系統；

五、2018年3季度目標

1. 繼續實施XX產品技術系統資訊保安專案，
   KR1: 規劃設計組織處理風險選擇的控制目標和控制措施，包括設計安全組織，設計檔案體系，設計資訊保安策略以及開發安全制度及規程；
   KR2: 規劃技術和物理安全措施，通過等保測評發現的技術安全風險需要通過設計、實施技術安全控制措施控制風險，不符合ISMS控制措施的專案也需要通過技術措施進行安全加固；
   KR3: 設計管理體系關鍵要素；
2. 繼續實施公司辦公網資訊保安專案
   KR1: 規劃設計組織處理風險選擇的控制目標和控制措施，包括設計安全組織，設計檔案體系，3. 設計資訊保安策略以及開發安全制度及規程；
   KR2: 規劃技術和物理安全措施，通過等保測評發現的技術安全風險需要通過設計、實施技術安全控制措施控制風險，不符合ISMS控制措施的專案也需要通過技術措施進行安全加固；
   KR3: 設計管理體系關鍵要素；
3. 建設資訊保安管控系統與管理流程
   KR1: 定時執行WEB安全掃描，掃描、通報、加固、複查；
   KR2: 定時執行終端安全管理系統的管理任務；
   KR3: 部署安全日誌的採集、分析與審計系統；
   KR4: 部署原始碼安全審計系統；
   KR5: 完成資訊保安管理系統v1.0的功能開發，完成基礎功能需求的開發任務；

六、2018年4季度目標

1. 繼續實施XX產品技術系統資訊保安專案
   KR1: 確定正式的專案計劃，將前期工作中討論和設計的主要活動做成正式的專案計劃；
   KR2: 體系試執行；
   KR3: 資訊保安意識與資訊保安制度培訓；
   KR4: 內審/外審；
2. 繼續實施公司辦公網資訊保安專案
   KR1: 確定正式的專案計劃，將前期工作中討論和設計的主要活動做成正式的專案計劃；
   KR2: 體系試執行；
   KR3: 資訊保安意識與資訊保安制度培訓；
   KR4: 內審/外審；
3. 建設資訊保安管控系統與管理流程
   KR1: 定時執行WEB安全掃描，掃描、通報、加固、複查；
   KR2: 定時執行終端安全管理系統的管理任務；
   KR3: 部署入侵防禦IPS與DDos防護系統；
   KR4: 部署資料庫安全審計系統；
   KR5: 完成資訊保安管理系統v2.0的功能開發，交付大部分功能；