最近20年以来,信息化已经逐渐成为所有企业发展的动力之一,所有的企业都非常重视信息化建设工作。在此过程中,信息技术外包由于其经济性、时效性和专业性得到了很多企业的青睐,成为企业信息化不可或缺的手段之一。但信息技术外包过程中,不可避免地会使外包方接触了解企业的数据或资料,信息安全问题成为企业非常关心的问题之一。本文探讨的正是在实现信息技术外包过程中如何控制信息安全风险。本文以一家保险集团公司(文中简称“A公司”)为例,分析了该企业在信息技术外包中遇到的信息安全问题及其成因,并结合信息技术外包和信息安全风险管理的有关理论提出了一些控制理念,重点包括制订合适的外包策略、对信息安全风险进行全面的分析和分类以及构建事先、事中和事后三道防线。A公司以此控制理念为基础,结合自身实际,在日常管理中加以细化,形成了自己的一套控制方法,取得了较好的效果。本文最后以A公司近期实施的W项目为例,验证了这些控制方法的有效性。