近來，業內主張將根源分析納入企業風險管理計劃。對于已經非常繁冗的安全審計流程來說，這貌似是額外一筆。那么根源分析的好處是什么?對于企業安全計劃來說，真的有用嗎?

[[147618]]

Mike O. Villegas：根源分析(RCA)解答了這四個基本問題：發生了什么、怎樣發生的、為什么會發生以及該如何做以防止其再次發生。這些都是安全事故發生后極具代表性的問題。一項風險管理計劃應明確計劃、組織、領導以及控制企業活動的流程以便將風險最小化。

事件響應計劃(IRPs)為企業提供了處理和解決安全泄漏或攻擊事件發生后的方法。在一個事件響應計劃中，最為關鍵的是“已知教訓”——IRP團隊分析了事件極其處理方式，以便將來遇到事故發生時能更好地響應，防止統一事件的再次發生。這就需要進一步地了解該事件發生的起因經過結果。這樣，安全團隊才能做出更好的決定防止事件再度發生。這一過程就應該包括根源分析了。

無疑，含有根源分析的風險管理計劃是有益的，特別是對于那些關注信息安全風險的首席信息安全官們來說，事件響應計劃中最好包含根源分析。

當事件響應計劃從根源分析中得到結果以及測試可行的事故發生場景以確保事件響應計劃團隊可以熟練地管理實際事故的發生的時候，事件響應計劃才能最大程度地發揮其作用。