随着计算机信息技术的蓬勃发展,企业纷纷开启了数字化转型之路。由于信息技术（IT）的专业性与复杂性以及出于成本的考虑,很多企业都选择将信息科技化工作外包,利用外包公司的专业性和现有资源帮助企业快速解决问题,节约成本,降低风险。在推行IT外包过程中,发包方一般只提供核心技术和项目管理,开发人员、设备、网络、场地、物理支持等都由外包商在第三现场实现,任意一方在任何环节中发生数据泄露、信息盗取等风险就必定对企业造成巨大影响。本文以T公司IT外包项目中的信息风险管理作为研究对象,对研究背景和意义进行了分析,全面了解国内外信息风险管理的研究现状,确定了本文的研究框架和方法,结合风险识别方法、识别过程的基础理论,根据全过程寿命周期理论,将项目分为实施前阶段、实施阶段和实施后阶段,再运用问卷调查法识别出主要风险因素,依据风险要素清单及计算结果排序并构建风险评估模型,采用层次分析法、模糊综合评价法完成整体风险评估。最后,根据评估结果结合风险管理理论,采取风险回避、风险转移、风险缓解以及风险自留的防范对策,建立一套完善的信息风险监管机制、预警和突发状况反应机制。首先构建起事先预防、事中控制、事后评估的三道信息风险控制防线,然后针对性的制定管理类政策进行“软约束”、加大技术约束“硬手段”、完善组织架构、加强对外包供应商、外包人员的监管、制定文档分级管理办法、信息安全培训教育计划、优化落地一系列信息风险问责等级划分及奖惩制度等,将各个阶段风险出现的概率降到最低,减少风险带来的损失。T公司结合自身情况,形成了适合企业自身的控制策略,取得了良好的预防控制效果,最终实现了与外包商双方利益最大化的双赢局面,也为我国类似IT外包项目的信息风险管理工作提供了有益借鉴和参照依据。