電腦保安的專案管理（轉）

計算機及其處理的資訊對於許多公司完成其使命和業務功能是至關重要的。因此高階管理人員通常將電腦保安視為管理問題，他們像保護其它任何有價資產那樣尋求對機構計算機資源的保護。為了有效地進行保護就需要制定廣泛全面的管理措施。

　　這裡介紹整個機構範圍的電腦保安措施並討論其重要的管理功能。由於機構的規模、複雜程度、管理風格和文化各不相同，不可能描述出一種理想的電腦保安專案。但是這裡還是描述了一些對於許多機構都通用的特性和問題。其中包括：

　　電腦保安專案的架構
　　核心級電腦保安專案
　　有效的核心級電腦保安專案的要素
　　系統級電腦保安專案
　　有效的系統級專案的要素
　　核心級和系統級專案的相互作用

　　1. 電腦保安專案的架構

　　許多電腦保安專案被分配給整個機構中執行不同職能的不同部門來完成。這種方法有其優點，但是許多機構中電腦保安職能的分配是隨意的，通常是基於歷史原因（如機構在有工作需要時正好可以使用的人）。理想的情況是，電腦保安職能的分配應該有計劃地按照整體的管理思路進行。

　　在多個層次進行電腦保安管理能夠帶來很多好處。每一個層次都能夠為整體電腦保安專案提供不同的專門技術、權力和資源。通常，級別越高的官員對機構整體的瞭解越全面其權力也越大。另一方面，官員的級別越低（在計算機設施和應用級的官員）對具體需求就越熟悉，其中包括技術的和規程的需求，也包括系統和使用者的問題。電腦保安專案管理的各級別應該互為補充，互相幫助會提高效率。

　　因為許多機構至少有兩個電腦保安管理級別，所以本章將電腦保安管理分為兩級：核心級和系統級（當然，每個機構可以有自己獨特的架構）。核心級電腦保安專案可以被用於處理機構整體的或機構主要部分的電腦保安管理。系統級電腦保安專案處理特定系統的電腦保安管理。

　　2. 核心級電腦保安專案

　　核心級電腦保安專案的目的是處理機構內整體的電腦保安管理。

　　與所有的資源管理一樣，可以使用多種手段和具有成本效益的方式來進行核心級電腦保安管理。良好管理的重要性是怎麼強調也不過分的。

　　對電腦保安專案的核心級管理也具有向下的趨勢。特別應該引起注意的是，這造成了決策失誤在整個機構中廣泛傳遞的巨大風險。管理者在努力達成其目標時，需要考慮建立電腦保安專案的所有可能選擇的全面影響。

　　核心電腦保安專案的益處核心安全專案應該提供兩種不同型別的益處：

　　提高整個機構中的安全效率和經濟性
　　提供集中式的執行和監督能力。
　　核心電腦保安專案幫助對整個機構中安全相關資源的有效使用進行協調和管理。　

　　這些資源中最重要的通常是資訊和金融資源。

　　管理者需要良好和及時的資訊以便有效完成其任務。但是，多數機構難以做到在金字塔式的資源架構中收集和有效處理資訊並在機構中對資訊進行分發。

　　電腦保安相關的資訊可以從私營或公共機構得到。這些機構經常做為公共服務機構提供資訊，當然也有一些私人組織提供付費資訊。但是，既使是免費或便宜的資訊，其資訊收集人員的相關費用也可能很高。

　　內部的安全相關資訊，如哪些規程是有效的、病毒的感染、安全問題和解決方案需要在機構中分享。通常，這些資訊是針對機構的執行環境和企業文化的。

　　在機構級別進行管理的電腦保安專案為在整個機構範圍內收集內部安全相關資訊和根據需要對其進行分配提供了一種途徑。有時機構也可以與外部組織分享這些資訊。

　　有效匯入資訊的另一種方法是增強核心電腦保安專案影響外部和內部決策的能力。如果核心電腦保安專案人員能夠體現整個機構的利益，那麼其建議就更能夠引起上層管理人員和外部機構的關注。但是，要有效地做到這一點，系統級電腦保安專案和機構級電腦保安專案之間就應該有很好的溝通。例如，如果一個機構考慮將其大型機整合到一個站點（或考慮將現在一個站點中的處理分佈出去），核心專案的人員就可以對其所牽涉到的安全問題提出初步意見。但是，要想使其意見更具權威性，核心專案人員就要實際瞭解將要進行的系統級電腦保安專案預計進行的資訊更改將會帶來的安全影響。

　　除了能夠幫助機構更經濟有效地使用資訊，電腦保安專案還能夠幫助機構更好地使用本來就不多的安全經費。機構可以開發專門技術然後進行分享以減少重複為同一服務簽訂合同的需要。核心電腦保安專案可以協助進行資訊分享。

　　位於核心電腦保安專案層次上的人員也可以開發他們自己領域的專門技術。例如，他們可以加強自己在應急計劃和風險分析方面的技巧以協助整個機構完成其重要的安全任務。

　　除了允許機構分享專門技術以節約金錢以外，核心電腦保安專案可以利用其所處的地位整合需求以便機構可以基於對安全硬體和軟體的批次採購來協商優惠折扣率。它還可以協助諸如戰略計劃、整個機構範圍的事件處理和安全趨勢分析等活動。

　　除了協助機構提高電腦保安專案的經濟效益和其效率，核心專案還可以包含獨立的評估或執行職能以確保機構的分支單位更經濟有效地保護資源和遵循既定策略。有多種理由需要在常規的管理管道中設立監督職能。首先，電腦保安是機構資源管理的重要部分。這是一項無法轉嫁或放棄的責任。其次，進行有效的監督可以使機構在避免導致尷尬處境的前提下發現和解決問題。第三，機構可能發現外部機構無法發現的問題。機構比外部機構更瞭解其資產、威脅、系統和規程；人們與內部人員合作時更坦白。


　　3. 有效的核心級電腦保安專案的要素

為了使核心電腦保安專案發揮效用，應該將其做為機構管理的一部分。如果系統管理者和應用擁有者不需要與安全專案始終如一地相結合，那麼它就會變成上層管理者“許諾安全”的華而不實的裝飾。

　　穩定的專案管理職能 制定良好的專案都有一個做為核心級電腦保安專案經理的整個機構公認的專案管理人。專案應該擁有稱職的人員，並且應該在專案管理職能與機構其它部門的電腦保安人員之間建立聯絡。電腦保安專案是一項複雜的職能，需要一個穩定的基礎以便指揮對資訊和經費等安全資源的管理。如果電腦保安專案在機構中沒有給與適當的專家和授權支援，監督職能的優勢就不能有效地發揮。

　　穩定的資源基礎 制定良好的專案都有穩定的人員、經費和其它支援的資源基礎。沒有穩定的資源基礎，就沒有可能有效的制定和執行計劃和專案。

　　策略的存在 策略為核心級電腦保安專案提供了基礎，是記錄和釋出重要的電腦保安決策的手段。核心級電腦保安專案還應該公佈協助策略執行和擴充套件策略的標準、規章和指導方針。

　　所釋出的使命和職能描述 所公佈的使命描述為核心電腦保安專案融入機構具體的執行環境提供了基礎。這些描述明確地確定了電腦保安專案的職能並且定義了電腦保安專案以及其它相關專案和實體的責任。沒有這些描述，就無法制定評估專案有效性的標準。

　　長期的電腦保安戰略 建立適當的專案以便對長期戰略進行探索和研究有助於將電腦保安綜合到下一代資訊科技中去。由於計算機和電信領域發展迅猛，所以對未來的執行環境作出規劃是非常重要的。

　　遵守法規的計劃 核心級電腦保安專案需要涉及到對國家政策和需求以及機構特定的需求的遵循。

　　機構內部的聯絡 機構中的許多人員能夠影響到電腦保安。資訊資源管理機構和物理安全人員是兩個明顯的例子。但是，電腦保安的職能經常與這些人員重疊，如人員安全、可靠性和質量保證、內部控制。有效的專案應該與這些團體建立關係以便將電腦保安整合到機構的管理中。這些關係不僅包括分享資訊，而且包括人員之間的相互影響。

　　與外部團體的聯絡 所建立的專案應該對外部資訊源有所瞭解並且善加利用。它還可以是資訊的提供者。

　　4. 系統級電腦保安專案

　　核心級專案涉及到整個機構範圍內的電腦保安，而系統級專案是確保每個系統具有適當和具有成本效益的安全性。這包括對實施何種控制、採購和安裝技術性控制、日常電腦保安管理、評估系統缺陷和對安全問題的響應等具有影響力的決策。

　　系統級電腦保安專案人員是電腦保安的本地擁護者。系統安全經理／官員與管轄相關係統的管理人一起提出安全問題並協助制定安全問題的解決方案。例如，應用擁有者是否明確定義了系統的安全需求？新的功能的使用是否會影響安全，如果會，那麼是怎樣影響的？系統是否容易受到駭客和病毒的攻擊？應急計劃是否透過了測試？提出這些問題將迫使系統管理人和應用擁有者確定和解決其安全需求。

　　5. 有效的系統級專案的要素

　　正如核心級電腦保安專案一樣，許多因素也影響著系統級電腦保安專案的成功與否。這些因素大多與核心專案的類似。這裡涉及到一些額外的考慮。

　　安全計劃 一些法律法規要求相關機構制定敏感系統的電腦保安和隱私計劃。這些計劃確保相關係統具有適當的和有成本效益的安全性。系統級安全人員應該能夠制定和實施安全計劃。

　　系統特定的安全策略 許多電腦保安策略需要涉及到特定系統的問題。不同的系統有不同的問題，但是訪問控制和指定負責安全的人員大概對於每一個系統都是需要的。可以使用由安全目標匯出安全規則的過程來制定始終如一和廣泛全面的安全策略。

　　生存週期管理 在系統的整個生命週期中都必須進行安全管理。這特別包括在對系統的更改時確保其對安全的影響得到了關注並且完成了適當的審批手續。

　　整合到系統執行中 系統級電腦保安專案應該包括瞭解系統、系統的使命、技術和執行環境的人。有效的安全管理通常需要整合到系統管理中去。有效的整合將確保系統管理人和應用擁有者在計劃和執行系統時將安全問題考慮進去。系統安全管理人／官員應該能夠參與到選擇和實施適當的技術性控制和安全規程的過程中並且瞭解系統的弱點。系統級電腦保安專案還應該具有對安全問題進行及時響應的能力。

　　對於大型系統，如大型機資料中心，安全專案經常包括如訪問控制、使用者管理和應急與災難計劃的管理人和職員。對於小系統，如辦公室範圍的區域網（LAN），這個LAN的管理員可能會兼有安全責任。

　　與執行相分離 電腦保安和執行部門之間經常存在固有的緊張關係。在許多場合中，執行部門要變得越來越大也就越來越有影響力，就透過將電腦保安專案併入計算機執行部門來尋求解決這種緊張關係。這種機構戰略的典型結果就是電腦保安專案缺乏獨立性、缺乏權威、很少引起管理層的注意並且缺少資源。

　　這種做為系統管理一部分的需求與獨立性的需求之間的衝突可以有多種解決方案。許多解決方案的基礎是在電腦保安專案和上層管理之間的聯絡，這種聯絡經常是透過核心級電腦保安專案建立起來的。建立這種聯絡的關鍵是要確立一個不包含系統管理的彙報體系。另一種可能是電腦保安專案完全獨立於系統管理並直接向高層管理彙報。還有很多混合以及不同的方式，如電腦保安和系統管理人員在一起工作但是將其彙報（和監管）體系分開。

　　6. 核心級和系統級專案的相互作用

　　系統級專案要是不整合到機構級專案中就難以對機構重要領域的安全性產生影響。系統級電腦保安專案執行核心級電腦保安專案的策略、指導方針和規定。系統級的人員也透過核心專案釋出的資訊進行學習並利用整個機構的經驗和專用資源。如果需要，系統級電腦保安專案進一步向系統管理提供資訊。

　　但是，交流不能是單向的。系統級電腦保安專案將其需求、問題、事件和方案通知核心人員。對這些資訊的分析可以使核心級電腦保安專案體現機構管理和外部機構的各種系統並且使專案和策略更有利於所有系統的安全。

[@more@]