इन्फॉर्मेशन सिक्योरिटी गवर्नेंस, रिस्क और कंप्लायंस (GRC) वह तरीका है जिससे कोई ऑर्गनाइज़ेशन तय करता है कि वह अपनी जानकारी को कैसे सुरक्षित रखेगा, यह जाँचता है कि सुरक्षा काम कर रही है या नहीं, और दूसरों को इसका सबूत देता है। GRC टीम आमतौर पर फ़ायरवॉल कॉन्फ़िगर नहीं करती या कोड नहीं लिखती। यह दिशा तय करती है, खतरों का आकलन करती है और सबूत इकट्ठा करती है।
यह इसलिए ज़रूरी है क्योंकि सिर्फ़ सिक्योरिटी टूल्स से भरोसा नहीं बनता। कस्टमर सबूत माँगते हैं, रेगुलेटर अनुशासन की उम्मीद करते हैं, और लीडर्स को यह जानने की ज़रूरत होती है कि किन जोखिमों (risks) के लिए फ़ंड दिया जाए। GRC तकनीकी काम को ऐसे फ़ैसलों और रिकॉर्ड्स में बदलता है जिन पर लोग भरोसा कर सकें।
GRC का हर अक्षर एक अलग सवाल का जवाब देता है।
ये सब मिलकर भरोसा (assurance) दिलाते हैं, जिसका मतलब है कि इस बात का पक्का यकीन होना कि कंट्रोल मौजूद हैं और काम कर रहे हैं। आइए हर एरिया को उससे मिलने वाले आउटपुट (deliverables) से जोड़कर देखें:
GRC जिन कामों की देखरेख करता है, उन्हें वह खुद शायद ही कभी करता है। ये काम दूसरी टीमें करती हैं, इसलिए इस काम में आपसी संबंध बहुत अहम होते हैं।
उदाहरण के लिए, ‘एक्सेस रिव्यू’ (access reviews) को लें, जिसमें मैनेजर यह कन्फर्म करते हैं कि किन लोगों को अभी भी किन सिस्टम का एक्सेस चाहिए। GRC ज़रूरतें तय करता है और काम पूरा होने पर नज़र रखता है। IT इस प्रोसेस को चलाता है और यूज़र की लिस्ट निकालता है। इंजीनियरिंग अपने सिस्टम में एक्सेस ठीक करती है। लीगल और प्राइवेसी टीमें डेटा से जुड़ी ज़िम्मेदारियों पर सलाह देती हैं। बाद में इंटरनल ऑडिट यह चेक करता है कि काम हुआ या नहीं। प्रोक्योरमेंट ऐसे वेंडर लाता है जिनकी भी वैसी ही जांच-पड़ताल ज़रूरी होती है। इस एक कंट्रोल के लिए ज़िम्मेदारियाँ इस तरह बंटी होती हैं: