IT系統(tǒng)管理的終極規(guī)章化

申請(qǐng)免費(fèi)試用、咨詢(xún)電話：400-8352-114

規(guī)章化（Regulation）一詞按照字面理解，其定義為“權(quán)威方發(fā)布并維護(hù)的規(guī)章制度”；不過(guò)在工程領(lǐng)域和醫(yī)療領(lǐng)域，規(guī)章化可以基本等同于“風(fēng)險(xiǎn)控制”。Matt在文中一上來(lái)就推薦了《Risk Society》這本書(shū)（中文名稱(chēng)叫《風(fēng)險(xiǎn)社會(huì)》），這本書(shū)在上世紀(jì)90年代中期對(duì)工程領(lǐng)域的運(yùn)作規(guī)則造成了不小的影響。按照Matt的超級(jí)簡(jiǎn)版介紹，這本書(shū)的中心思想就是：“社會(huì)太復(fù)雜了，工程學(xué)的方式不可能將風(fēng)險(xiǎn)完全排除。”

目前看來(lái)，很多企業(yè)的上網(wǎng)行為架構(gòu)已經(jīng)發(fā)展成為非常復(fù)雜的系統(tǒng)，以至于它們面臨著跟社會(huì)一樣的風(fēng)險(xiǎn)問(wèn)題。所謂風(fēng)險(xiǎn)無(wú)法規(guī)避，背后的根源在于造成失效（Failure）的因素并不單一：磁盤(pán)壞了，或者交換機(jī)故障了，或者系統(tǒng)漏洞被利用了，或者管理員不小心刪除了什么重要的系統(tǒng)文件，或者網(wǎng)線的水晶頭壞了，或者掃地的大媽將服務(wù)器的電源關(guān)了……甚至很多外界的因素（比如空調(diào)壞了）都會(huì)造成系統(tǒng)失效。

換句話說(shuō)，你如果把一個(gè)上網(wǎng)行為架構(gòu)放在那里不管，那么系統(tǒng)失效才是它的默認(rèn)狀態(tài)，而工作狀態(tài)其實(shí)是一系列復(fù)雜因素“恰到好處”的組合在一起之后的小概率事件。與其問(wèn)它為什么會(huì)失效，倒不如問(wèn)它為什么沒(méi)有失效。

系統(tǒng)管理員在其職業(yè)生涯中會(huì)遇到很多不同原因造成系統(tǒng)失效的情況，如何將這些因素傳承下去，則是上網(wǎng)行為運(yùn)維規(guī)章化的目的。

現(xiàn)在的問(wèn)題在于，上網(wǎng)行為是一個(gè)過(guò)于年輕的領(lǐng)域（C語(yǔ)言之父Dennis Ritchie的去世在一定程度上宣告了這個(gè)領(lǐng)域已經(jīng)脫離了幼年期），雖然我們?cè)诖笮拖到y(tǒng)架構(gòu)方面已經(jīng)積累了不少經(jīng)驗(yàn)，但是經(jīng)驗(yàn)的傳承仍是個(gè)問(wèn)題。按照Matt的話來(lái)形容，“很多菜鳥(niǎo)系統(tǒng)管理員成長(zhǎng)為資深人士的過(guò)程，就好象一個(gè)特別擅長(zhǎng)搭電動(dòng)合金積木的小孩子被雇傭建造一架人行天橋；如果這架人行天橋沒(méi)有垮掉，這個(gè)小孩子將會(huì)負(fù)責(zé)建造一些跨州大橋。”

在醫(yī)療領(lǐng)域和建筑工程領(lǐng)域，由于人命關(guān)天，這種事情顯然是不可接受的；那么對(duì)于上網(wǎng)行為領(lǐng)域而言，我們難道就不需要有一些統(tǒng)一的規(guī)章來(lái)減少系統(tǒng)管理員們因?yàn)橐阎腻e(cuò)誤而再次造成系統(tǒng)失效的幾率嗎？

其實(shí)是有的。事實(shí)上，現(xiàn)在針對(duì)上網(wǎng)行為系統(tǒng)管理的規(guī)章倒不是沒(méi)有，反而倒是太多了。

首先，上網(wǎng)行為業(yè)內(nèi)人士對(duì)下面這兩個(gè)法案應(yīng)該都不陌生，這正是目前已經(jīng)進(jìn)入實(shí)踐的一些在非上網(wǎng)行為領(lǐng)域的上網(wǎng)行為風(fēng)險(xiǎn)控制規(guī)章：

◆薩班斯法案（SOX）

薩班斯法案對(duì)公司治理、會(huì)計(jì)師行業(yè)監(jiān)管和證券市場(chǎng)監(jiān)管等方面提出了許多嚴(yán)格要求，并設(shè)定了問(wèn)責(zé)機(jī)制和相應(yīng)的懲罰措施。凡在美國(guó)上市的公司，都必須實(shí)踐薩班斯法案的標(biāo)準(zhǔn)。薩班斯法案中的第302款、第404款、第409款和第802款條例都對(duì)上網(wǎng)行為操作有直接影響，其中尤其以法案404條款提到的“內(nèi)控體系”為主。企業(yè)內(nèi)控很大程度上就是上網(wǎng)行為內(nèi)控，用于控制上網(wǎng)行為信息系統(tǒng)停頓、不可用和泄密等問(wèn)題。

◆巴塞爾協(xié)議（Basel）

巴塞爾協(xié)議主要針對(duì)銀行和金融機(jī)構(gòu)，其核心內(nèi)容就是銀行的風(fēng)險(xiǎn)管理。銀行上網(wǎng)行為風(fēng)險(xiǎn)主要分為三部分，即上網(wǎng)行為環(huán)境的風(fēng)險(xiǎn)（包括組織架構(gòu)、物理環(huán)境、外包等方面），上網(wǎng)行為運(yùn)行風(fēng)險(xiǎn)（包括上網(wǎng)行為資產(chǎn)脆弱性、誤操作、欺詐、信息泄露、系統(tǒng)中斷等方面），以及基于上網(wǎng)行為的金融產(chǎn)品和服務(wù)的風(fēng)險(xiǎn)。

在醫(yī)療、航空航天等領(lǐng)域，目前也有一些針對(duì)上網(wǎng)行為人員的強(qiáng)制性規(guī)范。

另一方面，在上網(wǎng)行為行業(yè)本身，也出現(xiàn)了不少建議的規(guī)范條例：

COB上網(wǎng)行為
COSO
上網(wǎng)行為IL
ISO/IEC 17799:2005
FIPS Pub 200
ISO/IEC TR13335
ISO/IEC 15408 2005/Common Criteria/上網(wǎng)行為SEC
PRINCE2
PMBOK
Tick上網(wǎng)行為
CMMI
TOGAF 8.1
上網(wǎng)行為 Baseline Protection Manual
NIST 800-14
對(duì)于企業(yè)而言，這樣就有兩個(gè)很重要的問(wèn)題：

規(guī)章是否已落地或正在落地？——執(zhí)行規(guī)章是有成本的，如非強(qiáng)制執(zhí)行，企業(yè)未必能找到充足的理由說(shuō)服自己執(zhí)行以上規(guī)章。
不同規(guī)章各有特點(diǎn)和優(yōu)缺點(diǎn)，如何選擇合適的規(guī)章，并與自己企業(yè)的審計(jì)工作融合？——尤其是可選擇的規(guī)章多達(dá)十?dāng)?shù)個(gè)的時(shí)候。
你所在的領(lǐng)域是否人命關(guān)天（或金錢(qián)相關(guān)）？你的企業(yè)對(duì)于上網(wǎng)行為方面的風(fēng)險(xiǎn)控制進(jìn)行了什么努力？你認(rèn)為我們需要一個(gè)“終極的”上網(wǎng)行為管理規(guī)章嗎？歡迎探討！

【推薦閱讀】

◆上網(wǎng)行為運(yùn)維管理專(zhuān)區(qū)

◆怎樣才算是一個(gè)合格的上網(wǎng)行為運(yùn)維工程師

◆上網(wǎng)行為運(yùn)維工作師需要什么樣的技能及素質(zhì)

◆網(wǎng)站上網(wǎng)行為運(yùn)維管理經(jīng)驗(yàn)探討和心得分享

◆網(wǎng)管軟件專(zhuān)區(qū)