确保安全万无一失是人们的美好愿望，甚至被人们当做口号和政治任务。可是从科学角度讲，安全事故无法百分百避免，安全事故后的应急响应便成为一项关键安全控管流程。

旨在降低可能损失的应急响应流程在最后的输出往往是事件的根本原因分析和防范未然之道。不可否认，信息安全事故的原因往往都是人为的，即使是信息系统或者外界环境方面的因素，往往也会有适当的防范和补救方案。说到底，不管什么因素，都需要流程方面的防范措施，通过有效的流程控管和优化，可以在很大程度上减少安全事故的发生，并且降低可能造成的损失。

如何知晓在信息安全管理流程上缺乏什么呢？如何知道将如何改善安全作业流程呢？这不是看表面拍脑袋想当然的事情，需要科学的调研、分析和总结。内部人员能隐约觉察出问题的原因，但是可能并非所称的根源root cause。即使有明眼人能看出来，可能也局限于自身的地位或办公室政治因素而避开不谈。所以，再讲到改善流程，则希望渺茫，无疑让人们为安全事故所付出的代价付之东流。

当局者迷，旁观者清。安全负责人无疑需要请来外部第三方的审核队伍，帮忙找寻安全管理流程中的不足之处，并加以咨询和探讨。安全事故五花八门，起因似乎也是如此。但是在专业的安全审核人员看来，微小的失误和明显的过失还是有很大区别的。

流程评审的关键已经不再是看看文档，不少公司的文档只是文档，缺乏真实性。现场巡查、人员走访和随机抽检才是发现安全问题和隐患的关键。昆明亭长朗然科技有限公司信息安全咨询顾问James Dong说：一名懂信息安全的负责任的审核员足够，沟通交流出期望的输出，比如找出安全管理流程中的哪些不足甚至错误之处，与行业最佳实践的差距，以及改进建议。

通常第三方中立的信息安全审核人员并不会受制于内部环境的束缚，所以能够较为客观和中立地给出审核报告。当然在提及改进方案之时，往往也会提供专业的建议，比如推荐一些产品和服务。这都无可厚非，而且确实在很大程度上能够为供需双方牵线搭桥。

总之，一起安全事故的起因看似聚集在一个点，其实并非孤立的，要进行全面的安全管理流程审核分析，才是防范同类安全事故再次发生的正确措施。当然，要让信息安全委员会成员们以及相关的决策者们认识到这一点，还需要足够的安全观念碰撞和沟通交流。无疑，在安全认知的校正和安全观念的启蒙方面，针对管理层的信息安全意识宣导课程可以帮上忙。