 |
更新日期：2008-01-10 | 看不到圖請按Here |
RSA無線網路報告，顯示全球對無線網路的熱衷和如火如荼的成長，但是如何兼顧行動通訊及打造安全的無線網路使用環境，防制無線網路安全威脅，絕對不可等閒視之。
無線網路需求大增
坐在Cafe Shop，桌上擺放著輕巧的筆記型電腦和文件，一邊啜飲著香濃的咖啡，一邊看著路上行人來來往往，是享受工作還是享受悠閒？不論是何者，無線網路正在改變我們的生活方式。享受行動通訊科技，似乎成為一種流行、高科技的象徵。但是在方便的背後，又隱藏了那些被人忽略的事實？
RSA於今年的年度無線網路報告中，公佈了倫敦、巴黎以及紐約三個國際大城市的無線網路使用成長和無線網路安全狀況。該研究的主要目的是基於保護個人資訊的迫切需求，並且管理人們以及應用程式在分享資訊時的身分驗證。研究的結果顯示，無線網路科技的應用不斷的在成長，但是網路的擁有者和管理者卻未跟上腳步，提供足夠的安全和資訊保護機制。
無線熱點持續加溫 面對安全威脅不可不慎
無線網路的存取點（APs, Access Points）正如預期持續的增加，並被擴大應用在各種場合，提供行動通訊使用者更方便的需求。而在傳輸速率、頻寬和安全技術的進步下，無線網路的優點也帶來明顯的效益。但一旦未經規劃及妥善設定，很可能不經意的就使企業置身於資安風暴之中，使企業未蒙其利反倒先受其害。
從RSA今年針對倫敦、巴黎以及紐約三個國際大城市所做的調查結果，可以發現無線網路已經成為IT基礎建設中極為重要的一部分，並且深深的影響了人們的工作和生活。調查結果顯示，APs持續增加已經成為各個大都會必然的發展趨勢(見表1)，而無線網路的存取熱點(Hotspot)也如雨後春筍般的被設置，但是在這些無線APs快速增加的背後，卻是令人擔憂的無線網路安全問題。根據RSA於此次在三大城市所做調查的APs中，不安全的比率高達20%~25%(見表2)。在RSA的無線網路安全報告中，一項值得注意的焦點，就是在那些安全的APs中，有很大的比率，管理人員已改用等級較高的802.11i和WPA(Wi-Fi Protected Access)而捨棄WEP(Wired Equivalent Privacy)的加密方式。
RSA的報告也指出，在三大城市中提供給使用者隨時可以上網的熱點數量正不斷的成長（巴黎：37%，倫敦：27%，紐約：17%）。值得注意的是有許多緊鄰著這些熱點的企業無線網路，雖然它們並不提供給一般使用者使用，但是卻因為不安全的設定，而不經意的讓人們可以連上，或是為有心人士所利用，成為企業無線網路應用的大漏洞。使用者一旦連接到這些設定不當的企業，無疑的將使企業安全和資料隱私陷入嚴重的危機。而無線熱點的普及，相對來講，也對位在熱點附近的企業造成安全的影響，使用者在搜尋熱點時，同時也會搜尋到熱點附近的企業，使得企業的APs增加了被攻擊或是被非法使用的機會。
而在另一方面，針對愈來愈多無線網路使用者的安全性問題，在RSA的報告中，也提到了Rogue Hotspots的潛在威脅性。這些假造的熱點偽裝的有如真的一般，目的在吸引不知情的使用者連結上網，並且伺機攫取那些未起疑心的使用者的重要資訊，像是帳號和密碼。對於Rogue Hotspots可說是防不勝防，因為它們可能只會短暫的存在，一旦取得有用的資訊，隨後就消失無蹤，因此它們的數量也無法估算。而一項實驗最近也證實了，透過一台手提電腦就可以快速的建立出一個測試系統，並且模擬成一般常見的熱點，使得Rogue Hotspot更難以被察覺。
從RSA無線網路的調查報告中，可以發現無線網路的應用及建置會越來越普遍，但是使用和設定的安全疑慮也必須要正視。種種的無線網路安全疑慮，如果使用單位不審慎以對，可能會給企業組織帶來直接和間接的財務損失，並使消費者失去信心，對企業的品牌和商譽造成傷害，更嚴重的話會導致官司纏身或官方的整頓行動，進而喪失競爭優勢。
瞭解駭客技倆 尋求防制之道
台灣賽門鐵克資深技術顧問莊添發表示，無線網路在安全上的漏洞和設定疏失，總是駭客們覬覦的目標，而沒有運用任何安全機制或是使用預設設定的無線網路，更是駭客攻擊時挑選的首要對象。莊添發分析無線網路的攻擊手法，駭客可以完全無聲無息的進行偵察（Reconnaissance）、連線（Piggyback）、監聽（Sniffing）、破解加密金鑰（WEP/WPA Cracking）、偽冒身分（Spoofing/Evil Twins）、攻擊其他用戶（Attack Clients）、攻擊基地台（Attack AP）、癱瘓無線網路連線（Denial of Service），或是運用社交工程學進行無線網路釣魚（Wireless Phishing）等一連串手法，達到入侵的目的(見表3)。而這些無線網路的攻擊手法，有些是利用破解現有技術做為突破口，有些則是利用使用者在設定及使用上的疏忽。運用這些攻擊手法，駭客可以有系統性的攻擊企業的無線網路，或是Hotspot的無線網路使用者。
安全威脅 小心無線網路釣魚及網頁木馬攻擊
莊添發表示，以企業來說，一般分為開放使用無線網路以及禁止使用無線網路二種。
開放員工使用無線網路的企業，駭客攻擊的方向，主要為如何突破無線網路的安全認證機制，進入使用無線網路，攻擊企業的其他無線網路使用者，伺機竊取重要的有價資訊。另外無線網路在傳送資料時，是否採用加密，也是一個重要的關鍵。沒有加密或是採用簡單WEP加密的企業無線網路，可能使員工在無線網路裡工作的資料，在駭客的監聽下，造成機密資訊的外洩，沒有加密的郵件，檔案傳送，即時通訊交談，都可能從無線封包裡被一一解出。
而沒有安全防護的企業無線網路，除了駭客攻擊外，也可能因為被只是想要利用企業無線網路上網的使用者，在無線網路裡傳染病毒蠕蟲，而感染其他企業員工的電腦。
禁止使用無線網路的企業，在無線安全的議題上，卻也不是完全沒有安全威脅。員工可能私帶無線基地台，架設毫無安全機制的無線網路，使得企業的內部網路出現漏洞，讓駭客繞過企業閘道的防火牆/入侵防禦系統，輕易的進入企業內網。即使員工沒有私架無線網路，但是以目前台灣都會地區無線網路的普及，雖然可能不會涵蓋企業辦公室的每個角落，但會議室或靠窗的辦公室可能都有足夠提供穩定上網的訊號。而這些無線網路，企業員工使用的最大誘因，就是方便性。在公司內部會議室及座位移動，於是使用無線代替有線，或是公司的有線網路限制太多（限制網站的瀏覽、禁用即時通訊等），於是員工捨棄有重重安全防護的有線網路，將自己暴露在充滿未知威脅的不明無線網路裡。而一般企業內部的電腦，大都仰賴閘道上的安全防護（防火牆/入侵防禦系統），少了這些安全防護罩，電腦可能遭受攻擊而被植入木馬，更進而將威脅帶回企業內部網路。就這樣這些電腦成為駭客入侵企業的「後門」，使得企業網路「門戶大開」。
除了企業無線網路的安全問題，莊添發也點出Hotspot的安全性問題。目前 Hotspot的使用模式，都是開放SSID廣播，讓使用者輕易的連上無線網路，利用DHCP動態取得IP，然後做網頁轉向到認證登入畫面。Hotspot提供了方便的無線網路，但卻沒有提醒使用者在連線時沒有任何加密的安全威脅。使用者在連線時傳送的資訊，任何有心人士都可以利用簡單的封包截取工具，收集到可能有用的資訊。Hotspot的另一個問題，是你不知道什麼人同時和你一起在使用這個無線網路，是否有駭客伺機攻擊，或是否有人感染病毒而不自知的利用網芳在感染其他使用者？
莊添發也特別指出網頁木馬結合無線網路攻擊的可能性。攻擊者可以利用筆記型電腦加上無線網卡，用軟體模擬啟動成為無線基地台，並且架設DNS服務或是利用防火牆，將瀏覽的網頁導向駭客藏有網頁木馬的網站，讓使用者在瀏覽網站時不自覺的被植入木馬。
無線網路的防護之道，針對開放使用無線網路的企業，需要有認證及加密的機制，配合無線網路入侵防禦系統，來偵測私接的基地台或是駭客的攻擊行為。
禁止使用無線網路的企業，在無線安全的防護，卻不是什麼都不用做。如何防止員工私自架設熱點，以及如何防止員工連到外面的熱點，是安全防護的重點，導入網路存取控控（NAC）可以阻止私帶的基地台連上公司內網，而端點電腦的裝置控管機制，或是進階的個人防火牆，可以阻止員工在公司內連上外面的無線網路。
而企業的無線網路使用者，通常也可能在外面使用無線網路，這些電腦的安全防護，IT部門不能再以公司內部使用電腦的安全等級來等同視之。一般企業內部的電腦，因為有閘道上的安全防護，所以大都只配有防毒軟體。而這些使用無線網路的電腦，在企業外面使用無線網路，不能只倚賴防毒軟體的保護，需要能有個人防火牆，主機型入侵防禦系統等進階的端點防護機制，才能有效的抵擋駭客的攻擊，同時也要養成使用VPN的習慣，為連線的資訊加密。
至於一般的 Hotspot 使用者，最重要的還是連線加密的問題，Hotspot不會提供加密的機制，因此使用者必須意識到重要的資訊在空中傳送時可能有洩露的風險，所以要避免在 Hotspot 進行重要的連線工作。而平時也要上系統的修補程式，並採用完整的端點防護機制。
提供無線安全防禦網
Aruba大中華區技術總監吳章銘表示，隨著無線網路發展成熟，企業對於無線網路的需求相對增加，相較於過去受限於線路的位置，無法隨時隨地存取所需資源，而無線網路的建置可以符合最基本的需求。但是無線網路為一開放環境，若無線網路安全設定不當，有心人士可以透過企業無線網路溢波而進入企業網路。但要解決溢波問題並非容易（RF物理特性），因此需透過嚴謹的認證與加密方式來提高無線安全應用。此外，無線網路攻擊手法日益增加，包含Rogue AP或Fake AP的偵測與防範等，因此無線網路入侵偵測防禦系統的建置將提供另外一道無線安全防禦網，透過無線網路入侵偵測防禦機制，可將無形的攻擊手法顯現並透過告警系統通知資訊管理人員，最後再結合NAC（Network Access Control）的解決方案，藉由過授權及權限管理機制來預防未經授權用戶端的破壞。
企業面臨無線網路安全威脅，除了必須建立一套無線網路入侵偵測防禦系統外，特別需注意認證及加密方式的選擇。如果要達到最嚴謹的認證加密方式，可以採用xSec方式( 256bits AES)，其次是802.11i (WPA2/AES)或是802.1x (WPA/TKIP)。強烈建議不要採用WEP、Web Portal或Mac Address方式作為認證，因為以上三種方式極為容易遭到密碼的擷取與破解，甚至可以輕易偽造他人的Mac Address。
吳章銘認為，建立一套完整且嚴謹的無線網路安全認證及加密機制是首要之務，例如：802.1x或802.11i，並將其安全認證與加密機制整合至有線網路，達到網路安全的一致性與完整性。另外，規劃完整的無線網路入侵偵測防禦機制，避免有心人士藉由無線網路進行攻擊、破壞。最後佈署無線網路防火牆機制來控制用戶端的存取權限，此防火牆機制並非網際網路與企業內部網路的閘道控制，而是無線網路用戶端對於企業內部資源的存取控制，用戶端通過認證後，系統將根據安全政策派送權限給用戶端，避免用戶端違法存取的現象發生。
無線網路對企業而言，正如水之可以載舟，亦可以覆舟，在佈建無線網路環境、安全設定以及使用上，務必小心謹慎！無線網路的建置和應用已蔚為趨勢，做好安全防護及因應之道，提供企業、使用單位和使用者一個安全的無線網路環境，才是最重要的課題。
作為一位優秀的CIO，不僅擅長「改變」，甚至可說是精於此道！他們算準時間改變，同時也驅策改變。懂得主動調整現狀到合乎時宜的態勢，可說每位CIO最主要的工作。無論喜歡改變與否，若本身位居IT領導階層，那麼符合企業型態的變遷是無可避免地。
企業變革難捉摸
「在任何形態的組織當中，成功地經營變革管理，往往被看作是至為關鍵的領導技能之一！」，從事於中小運輸業的CIO這麼地說，該CIO曾為六個不同的事業體建造出內部共享遞送的IT服務架構，「企業形態一直不斷地在變，而IT服務也更應該隨之改動。」
在過去12年當中，該CIO擔任過四個領導職位，在任職期間，他不僅重新審視過這些部門組織，同時也依公司狀況作出調整。就拿零售業的經歷來說，CIO為公司努力的成果，就是把IT部門從內需的工作形態提升為以商業導向（business-facing）的性質；而在服務業職涯當中，則是在企業策略、販售、市場行銷、營運、軟體發展以及服務遞送層面，將IT型態歷經一番調整。接著，在一家多事業體的集團，他的團隊將各自不同的小組重新組織分配，建立起了一個集中式，以企業為本的IT溝通管道。但是，在這段IT領導階層的職涯當中，改變事物原本的屬性狀態，往往就是最常遇見的危機。
此外，我們應該還要瞭解到一件事：並非每位CIO都是精於變革的大師。於是，在當期的CIO Habitat雜誌裡面，便邀請到多位CIO們（45位來自於大型企業，而另55位則來自於中小企業）暢談他們對於變革管理的認知，並剖析變革管理的流程。最終，從這裡我們可以得知，為何企業組織的變革是如此地難以捉摸！
組織變革的動向
經由演繹論當中的斷續性平衡（PE, Punctuated Equilibrium），各位可以得知一件事：變革影響所及並非具有一致性。事實上，我們可說這世代是沉默的，但同時我們也可說這是個狂熱十足的世代。無論變革發生在企業組織身上，亦或是社會，還是生命當中，它永遠不會是平順前進的情況，相反地，原本安逸狀態所應該歷經的一幕幕平和的曲目，會遭猛烈的變革打斷，而這種轉變則會開拓出另一個視野。
不過，目前我們的研究也指出，有幾項產業正面臨分裂的轉變當中，特別是零售業、媒體業、速食業、服務業以及運輸業。從幾個速食業界CIO們的口中得知，他們所待的企業在某些層面正處於改變之中，像是科技、文化和經濟這些領域都是。而其餘產業則相對穩定的多，比方像是教育界、政府部門和金融保險業等。
但姑且不論是何種產業，多數企業組織都仍需與變革拼搏高下！再者，一位變革管理學者的先賢John P.Kottee就他的觀察指出，「曾經變革失敗的人們，會對於推動改變現況者的動機，主動提出質疑。」，他補充說，「有多次失敗經驗的老鳥，會意識到：『不歷經一番寒徹骨，變革是不可能成功的！』」
是什麼原因刺激變革的念頭如此猛烈？訪談者提供了幾項看法。第一點就是要改善蹩腳的管理狀況。一家主流速食連鎖店的CIO就表示，蹩腳的管理制度，會讓我們打從一開始即認定這家企業就是注定失敗，而原因就在於相關利益既得者並不在同一條船上。該CIO曾負責過一個案子，蹩腳的管理制度給予反抗的好理由，「依受影響的範圍，會造成一堆數不清、各種形式的抗拒。」，他接著又說，「這些人不斷地透過遊說他人以降低變革的成效，或者是藉題發揮來讓整體運作程序大打折扣，他們會消極地反抗，顯示出一種他們尚未準備好的態度。」
再者，過往失敗的經驗也會弱化現階段變革的初衷。服務於某零售業者的一位CIO表示，他負責將一個重要的專案由公司總部推向超過1,000家零售商店，而該企業以前曾推行過同一案子，只不過，該方案在過去即是一個明顯失敗的案例。CIO繼續說，「自從第一次的嘗試失敗過後，公司再重啟該方案已是距離最初執行時間的三年之後！」
過往變革失敗的經驗，同時也將相關利益既得者帶向另一種不好的期望。而另一位任職於速食餐飲業的CIO也表示，整個變革花了整整四年的時間，雖然該案子先切成數個小案子進行，而這些案子又各自有其進行因素、企業案例和投注資金。他說，「因為我們受到了先前負面經驗的影響，所以對此所抱持的期待會相對低落。」但是，當該推行小組開始動起來之際，缺點反倒是從「絕對完成不了」變成了「進行的太快了」，該CIO接著說，「整體下來的費用，初估是8,000萬，但是，我們最後只花掉6,000萬就達成目標。」
在這個案例當中，堅持變革造就了實際節約的成果。不過，一個案子也易於因為相關既得利益者保留心力的多寡而遭遇到挫敗。這也就是為何聰明的CIO們會先擘畫出大範圍的變革計畫，接著再細切成易達成目標的小型專案的原因。細讀圖表看來，大範圍的變革專案從實施到完成時間，似乎是中小企業技術從業人員較大型企業的要略勝一籌。
受訪者同樣也表示變革的產生是具有眾多原因的（見「變革發生的起因」）。有時候，變革起於外在因素，而有時候又尚屬自發性質。不過，通常變革的來源也會是一些「好點子」所造成的，或者來自於更多實務經驗的發想，比方像是因實際需要改進流程的關係。根據絕大部分受訪者的經驗，重大變革的主因通常起於實際因素居多。特別是，當企業逐步發展起來的時候，我們都期盼能夠有所改變。
另外，在某些案例裡面，我們也可見到科技自然代謝的作用所帶動的變革。最明顯的例子就是速食連鎖餐飲業者，他們所使用的老舊POS系統也到了該汰換的時候，而要依次佈署新的POS系統，也會導致其他的變革，像是確保所有商家的連線通訊，並且訓練員工熟悉系統流程。
以人為本
但是變革大師們知道一件事，真實的轉變不關乎是科技或經濟因素，而是社會學當中所謂的「集體行動困境（the collective action dilemma）」造就出來的－這也意即，如何讓引發個體的興趣共同為目標奮鬥反倒才是要素。我們從受訪者身上尋求答案，看他們任職的企業是否明瞭人們面向的變革，結果相當地有趣，可能也是組織大小的關係，中小企業居然較大企業更清楚人們的需求面向。
一間處於轉變期公司的CIO表示，要掌管好人的因素，實際上就是要管理好與人力資源有關的變革成本！「不過，通常變革預算不足的情況，總是出現在『與人有關』的費用上。而針對所有與企業IT相關的專案，我給足了企業該有範圍的預算，公司需要的是好員工都能將其『會幫忙賺錢』的工作留下來，以便於他們未來在新型態的工作上，都能成為出色稱職的佼佼者。
不但如此，變革大師也清楚知道是什麼因素造成企業變革的難度。一位協助指導中小企業渡過變革時期的顧問指出，「說什麼人們不喜歡變革，那些都是迷思罷了！事實上，他們愛死了！是啊，若是在改變期間，你不去幫忙人家的話，轉變準是討人厭沒錯？暫且不論這是否對他們好，或者對公司好，還是一點好處都撈不到，他們就是死都要抗拒這種轉變。」你也知道，從現存安定的環境，要轉換到另一個公司渴求的狀態，那可是件難事！
一位加州零售業的CIO在整個的轉變過程，就巧妙地停止了這些抗拒的紛擾：「當初在規劃階段，使用者的抵抗是因為來自於拒絕新的點子和流程處理的關係。」，他接著又說，「而在訓練階段，使用者反對的是管理是否有效的問題。另外，在最後的實施和成果展示階段，詳實的報告內容更是讓大家心裡千百個不願意！在所有階段當中，當然也會有來自資深管理階層的抗拒，因為他們必須再度『接受訓練』以期能有效管理這些流程。」
這位執行長接著又說，要擁有成功變革管理，也許也要跟著轉換調整一下原本各人的職務內容和型態。「如果你原屬於知識類型的工作者，專門負責提供各種資料及資料給相關人等，而突然有一天這些資訊都通通被釋放出來，變得人人隨手可得的情形。不過，這是當然的，因為工作流程的自動化，以及對科技－而非單單個體－抱持較大信任感的緣故，這種事情也是要面對的問題。不過，老實說，分析資料這份工作反倒是個人職務裡頭，範圍較大，且全新的挑戰！雖然很多人認為他們的價值是在於蒐集和處理資料，而非提供資訊，但是，我最後還是覺得，應當不斷地調整員工的職務才是上策。」
一家效率極高的航空公司的CIO則點出，組織的轉變會無可避免地造就出贏家和輸家兩種人。「在企業擁抱變革之前，更需要敞開心胸，用新的方式去引導那些『還未上船』的傢伙，」該CIO接著說，「我沒有經歷過這個變革的課題，但倒是站在這裡的每個人，都是變革成功的過來人。我希望是先透過管道，確實地了解及面對員工需求面後，再盡可能拉更多人上船。」世界展望組織的主任建築師也說，莊嚴肅穆的組織變革，絕不允許有民主主義的奢華行為。他說，「半點也由不得你有討價還價的空間。原因是，這些傢伙怕事又嫌麻煩，所以我們寧可要的是不墨守成規的人。」
謹遵變革守則
缺少專職人員協助，或者並未為目標設下完成期限，甚至是讓事情一再延宕的話，那麼，要讓資料移轉這整件事圓滿的落幕，同樣會是艱辛萬分。所以，企業變革要能成功，不僅需要有人帶頭領導，同時，落實管理和遵守遊戲規則也是不可獲缺的因素。
守則1：千萬別自己埋頭苦幹
一位任職於中小企業運輸公司的CIO說，企業變革是需要大伙團隊合作才能完成的。「在我眼中，這跟團體運動沒有兩樣。為達目的，我們必須得在全部可能變革的範圍內作足投資！不過，這個區域應由我來認定，但是，我還是得再一一的詢問過執行長、公司領導以及IT的主管才能算數。」他說。
為確保該變革專案值得投資，IT主管仰賴企業提供指引，並在IT內部建立起專業團隊，目的就是專為公司挖掘最具影響力的專案計畫。
守則2：千萬別說變就變
對於變革一事來說，最怕遇到新手上路，或者是那些討厭「意外驚喜」的人一直在抱怨自己無法躲掉這些事。所以，變革大師不僅了解這一點，而且還會將這種轉變先融入正常的企業課題當中。如同一家中小服務企業的CIO所闡明的，「我會以急件來處理這些變革，但是，實際達成目的的方式會是：狀況評估、訂下策略，接著按部就班地執行計畫，最後才是監看成效。也就是如下所示的方式達到目的：先觀察，再行動，尋求可用的資源，花多久時間完成，然後訂出完成目標。況且，我真的不想採取這種『預備，瞄準，開火』極端方式來完成變革！」
守則3：千萬別太拘泥於形式，只要專注找出變革影響範圍
儘管企業在IT其他方面投注諸多心力，但更多企業卻未能在大興土木之前，蒐集到相關資料(見表4)。
一家快速餐飲服務業的CIO則表示，費用的範圍應該涵蓋內外部的資源、軟硬體設施、人員訓練，以及在執行之初的效能耗損。「說實在的，我並非完全清楚所有相關的費用。」 不是每個人都有辦法用詳盡的試算表拼湊出變革活動的一分一毫，還有其他正統的方法也能作到這個部分。另一間中小運輸企業的CIO也說，「量測一切費用是事前的必要手段，但是，你或多或少都應當對底限有所了解！」就像在進行IT變革時，該CIO喜歡的作法就是「作公司調查以劃清變革底限」。他說，「當擴及企業改變的專案在進行之前，我希望了解『過往』的底限在那裡？這跟專案的目標是屬於兩件事，應該獨立分開來看的。」
除了這些守則外，根據研究，我們得知兩個關鍵的建議和一項絕對的事實。首先，當著手改變之際，先讓員工有所選擇。要是人們手上多少有些籌碼在的話，他們比較願意接受改變的事實。其二，更積極主動地面對變革活動。如果你能弄明白公司在科技、人文和行政上的關係，那麼，變革這條路你就會走得很順。
最末，底限就是IT部門的主管，必須為同一條船上的人，為他們量身找出適合各人的改變。每個人必須要了解新系統運作的標準在何處。一家管線設備配置的中小企業批發商的CIO則講了一段小品作為總結：
小狗的啟示
我和太太一同出門溜狗散步，途中，家裡的小狗賴著不走。即便我太太拉扯著狗鏈，它依舊僵在那兒，動也不動。最後，老婆認為我們應該把狗先帶回車上，於是，我為小狗重新調整好鏈子，然後牽著它步下羊腸小徑。約莫走了30呎左右，它終於擺脫掉它不情願的心態，並且開始自己跟著走。現在，我家的小狗可真愛跟著我們到處遛達！
同樣的方式也適用於IT身上
基本上，我們都設法消弭種種抱怨，而恰巧這些事情就是代表著應該改善的地方，除了修正之外，另外，就是改進這些缺點。倘若辦不到，我們應虛心接受改變。而那些搞了太多反對意見的人，總是在最末一班車駛離月台之後，被遺留在原地。對於對的事物，我們是應該抱支持的態度！
安全主管想問專業廠商他們的存續能力。
小型的獨立安全廠商就只能坐以待「併」？
很難判斷Art Coviello是被太陽曬過頭了，還是被錢沖昏頭了。在舊金山死寂的二月，RSA Security的一位主管在該公司的同名研討會中告訴與會者，十年後獨立的安全市場將會煙消雲散。「單一解決方案的安全價值正在消弱中，」他在開場演講中說。
然而，你幾乎同時便可聽到演講廳的各個角落都在竊笑：「Art，你說的容易，那是因為你才剛被併購呀。」
確實，RSA是Coviello這項預測的範本：大型基礎建設廠商EMC在去年耗資$21億美元，填補了儲存以及資料管理產品之間的空窗，一頭躍進資料安全，這也是自法規遵循以來最熱門的安全領域。這並不是在說Coviello對於安全市場的論點是無法避免的，在這產業有800多家公司埋頭苦幹，有些專門聚焦在最小的利基市場中，為的就是賺取任何可能的利潤。但這些小型的獨立安全廠商就只能坐以待併嗎？他們是否能被電腦業的巨人含括在內？一些時下最佳的解決方案是否能成為EMC、IBM，或HP等廠商所提供的服務中的一部份？
一些安全主管也無法確定。
「許多的公司都是創投基金投注，而小公司才真的會有創新，」教育出版商，Houghton Mifflin的資訊安全長，Patrick A. Cote說。「我認為隨著併購的增加，你將會看到更多的新公司，因為他們有錢；他們背後有創投基金在撐腰，創投會比大型企業更要了解市場。」
『大公司也是新的小公司』
安全主管常處於危險之境，有時是因為新興的威脅，但更多的時候是因為他們的預算問題。CISO會習慣說，資訊安全不是有形的；它就像買保險一樣。要評斷新的投資是很困難的，而在大多數的情況下，安全主管都會被要求以更少的資源做更多的事情。
「我堅定地認為如果我花錢買了某項產品，而這產品的公司又被人吃下的話，那麼母公司應該會繼續維護這項產品，讓這個解決方案存活下去，」一家私人銀行的資訊安全副總，Sander Silvera說。「例如，如果IBM買下了我的供應商，我會希望IBM不會有即存的同質產品，而對我的供應商的產品產生競爭威脅。如果要是真的發生的話，我也無話可說了。」
無論技術創新與重要性為何，要談到小型安全公司是否能長期存活，對許多公司來講，結果常常不是大好就是大壞。安全技術不便宜，如果你藉由企業併購的方式將你的安全資產與大型基礎建設供應商取得聯結，或許會另人欣然接受。
Cote認為大型廠商「他們擺脫了巨大的陰影」。「不是所有的產品都是最佳的解決方案。有些的考量在於容易安裝，而當你已有既存的基礎架構時，則更容易影響到你的決策。我敢斷言有許多人會因為部署等問題，不會採用最完美的技術。」
因此，併購對於一些想要涉足安全產業的廠商來說是有益的。EMC與RSA的合併弄得沸沸揚揚，而IBM在9月時以$13億美元併購了Internet Security Systems，也是不遑多讓。IBM緊接著在12月還併購了Consul Risk Management。Cisco也沒閒著，他在過去2年中併購了閘道廠商IronPort，監控與威脅管理廠商Protego，以及Cybertrust的智慧服務資產。同時間，Symantec也以相反的腳步，由安全供應商藉由合併成為完整的基礎建設廠商，其中包括了Veritas（2005年7月）以及系統管理公司Relicore（2006年2月）與Altiris（1月）。
正如Security Incite總裁與首席分析師Mike Rothman所說的，「大公司也是新的小公司」
「早在90年代，一些公司急著採用最創新的科技。但當他們嚐到苦頭後，他們開始思考要拿什麼來做生意，」Rothman說。「趨勢會朝向集中以及更寬廣的解決方案。但我並不認為新的解決方案會沒有機會，特別是對一些特殊的企業需求而言。」
套裝組合的反擊
安全是頂尖科技的天堂。公司越大，便越可能投資在任何最好的安全解決方案上，例如從桌面保護，到網路與應用程式安全等等。只有少數幾家廠商能夠提供公司廣泛的安全保護，但這種作法的深又無法與專注在單一領域的廠商相抗衡，獨立安全廠商會這麼說。
「網路安全是很複雜的；它需要大量的專精知識，就像我們專注在威脅與監控一樣，」趨勢科技CEO陳怡樺說。「市場有限，而新的威脅又層出不窮，因此必須不斷地在這個領域上投資才能建立專業知識，如果你專注的是儲存或是其他領域的話，那就更不用提了。」
獨立廠商下注在他們的特殊產品、客戶支援與關注上，以期能與一次購足的供應商建立出差別。
「我們的顧客，我們的夥伴是在找專注在安全上的公司，而不是只是兼賣安全產品的公司，」Check Point創始人兼CEO Gil Shwed說。「這才是我們的顧客所擔心的事。他們會想找獨立廠商。」
現實對安全主管來說有時是困難的，因為他們無法如此界線分明。
「這得視情況而定，」Houghton Mifflin的Cote說。「我做事是不天馬行空的。」
Cote說他公司的電腦是以McAfee的整合方案來進行保護，其中包括了防火牆、防毒軟體，以及反間諜軟體等等。「這類的科技價值很高，」Cote說。「套裝組合運行的很好。在電腦上用一個代理程式來負責所有的之安全事務也不錯。如果你得安裝不同的代理程式，效能以及部署問題想到就另人頭痛。」
網路保護也是一樣。採用標準技術的科技對於Cisco而言，更能獲得像Cote這類CISO的歡心，Cisco需要部署大型的Cisco基礎建設。不是所有專精領域的廠商都像Check Point一樣，擁有15年的核心經驗。有些小型廠商的解決方案則存在著一些問題。
「這個產業正在收斂，但仍會一樣擁擠，」十年老牌的驗證廠商，Arcot Systems的CTO，Jim Reno說。「如果產業擁擠，就代表它仍未收斂。市場仍出現許多新的想法。放眼所有的科技[市場]；只要有新的想法，就會有人採納並開設新的公司。」
擁擠的安全市場讓買家有更多的選擇。但是不能將過度的擁擠與大量的創新混為一談，Rothman警告。
「什麼是熱門與創新？這可不是量大而已，」他說。「每個問題都有一些不同的解法。在一些領域中，例如應用程式安全性，就只要持續更新就好了。將其與網路安全做比較；應用程式安全性大概落後了三到四年。從我們上次看到實際的創新到現在也過了好一段時間了。看看NAC以及記憶體漏洞防護；那些也只是在我們之前的作法上做一些變更而已。這些公司以及解決方案實際上只是大型解決方案組裡頭的一項功能罷了。」
有些人將這些舊方案的改良視為是健康市場以及小型企廠商能夠長期存續的指標。
「找尋利基並進行開拓；總是會有新的科技出現，有些的確獨特到不會讓主要的大廠抓狂，」Burton Group分析師Peter Lindstrom說。「如果你只有單一產品，能夠賺錢，讓更多人使用且能節省成本，那麼你就更能夠存活。市場收斂的問題得視大廠如何掠奪而定。」
存續目標
Secure Computing，一家創立於1984年的閘道安全供應商，於1995年時公開上市，在過去兩年販賣產品給最大的金融機構以及政府單位，營收幾乎達到$3億美元。
坐以待斃嗎？
「我們這種規模的公司會面臨個問題，」資深行銷副總Atri Chatterjee說。同樣的問題顧客也會拿來問專注在某個領域的安全公司。組織會想要保護他們在安全科技上的投資，並詢問其退場策略，他們在所有權條款中有何選項 （請參考第xx頁，退場策略），以及合約中會安插哪些保護措施。但這些問題，並不表示安全主管能夠得到關於價值的答案。
「我可以問這些問題，但是他們不可能提供任何資訊，」銀行副總Silvera說。
而即使廠商給了你的組織任何答案，也別輕易地相信他。
「他們會欺騙你，就這麼簡單。『你們會被併購嗎？今天不會，』」Rothman說。「事實是，如果有人提出誘人的方案，基於財務責任他們還是得去注意。使用者能做的事並不多。這突顯了所有的公司都需要一份備案。公司總有可能會消失，但組織卻會留著受苦。如果你要與新創業的公司打交道，你得先做好準備。」
Secure Computing，就像Check Point、Qualys、ArcSight等安全廠商一樣，已到達該市場區隔的頂尖位置，並吸引了準備發展安全事業的大型廠商的注意。他們也可以採取另一條路線，就像Check Ponit去年做的一樣，試著去併購成功機會較大的廠商如Sourcefire，以取得Snort以及RNA等技術。
另外，像Arcot則是與大型廠商合作，以嘗試讓該公司的產品出廣泛地出現在其他公司的產品中。Arcot最好的範例就是將其驗證產品整合進Windows CardSpace，也就是之前的InfoCard中。
「如果[大型廠商]開始集縮其併購，購買了不同廠商的競爭產品，他們得花大量的時間與精神來處理你併購回來的東西，」Arcot的CTO，Reno說。「如果你併購了二到三家公司，你就得管理二到三個產品的顧客資料庫。要搞清楚怎麼運作以及維護就得耗掉大量的精力。」
這是個停不下來的世界。
「如果有800家安全公司，百分之80的營收會低於$1千萬美元。營收$1千5百萬到$2千萬美元的公司要如何延續？企業產品過時了怎麼辦？」Chatterjee問道。「最好的狀況就是，應該要找出一塊無人的市場，並提供正確的解決方案。在安全領域中，組織仍會想嘗試；他們不會把安全拿來瞎弄。只要解決方案特殊，且能夠解決沒人能解決的問題，即使是小型企業他們還是會購買。」
Chatterjee的論點與其他獨立的安全廠商並無不同。「我們的策略，有時我會稱其為星巴客策略。我們賣咖啡。我們賣頂極的咖啡。但我們不賣炸雞或披薩，」趨勢科技的陳怡樺說。「對於像趨勢這類專攻在某個領域的公司，我們必須走在我們領域的前頭。」
被規模所蒙蔽
Houghton Mifflin的Cote說安全組織必須有自己的投資策略，而不須當IBM每次瘋狂收購安全績優廠商時才在畏畏縮縮。
「如果你發明了更好的補鼠器，人們會付錢買它；這是自由市場的機制，」Cote說，他以反間諜軟體市場為例，該市場由PestPatrol、Webroot等小型公司，甚至是Spybot之類的開放原碼計畫所主導。「大型公司完全放棄了這塊市場。小型公司得以在此存活。他們有更好的產品與支援。這是一個很好的例子，而你也會持續看到這類企業在此市場中顯耀。大型的公司就不會有類似的版本。」
大型公司的確擁有併購的實力，但是即使如此，當您的專攻廠商被人併購時，你也會取得若干的籌碼。以EMC-RSA的併購案為例，原有EMC設備的顧客可轉成基礎建設供應商的產品，並在環境中加入RSA的安全產品，而這些產品也能夠與現有的EMC協同與文管軟體相互整合。
「有些功能是獨立廠商無法提供的，」Rothman說。「對於那些想要縮減供應商數量，且簡化採購與管理的公司而言，他們比較適合找較大型的廠商。」
當然，小型公司也有其利基。
「舉例來說，與Symantec、CA，或是IBM相較，像Check Point之類的獨立公司很難有完整且足以使其延續的產品，」Silvera說。「他們的成功使其能夠吸引汪洋中的大魚。我想成為頂尖。小型公司總是對新的銷售機會感興趣，他們會想要與你合作。他們是很小，但我們卻可透過他們靠得更近。」
Houghton Mifflin是Qualys的顧客之一，並在Web使用其SaaS「軟體即服務」（software delivered as a service）作為網路漏洞管理之用。該公司董事長兼CEO Philippe Courtout說Qualys很早就體認到網路邊界的分散性，以此下注在SaaS模式上。他們不進行科技創新，但其服務機制使得Qualys得以以專注廠商的方式存活下來。
「SaaS的模式是分離的。由於無法讓顧客採用基礎架構，因此廠商無法鎖住客人，且因為應用程式是在瀏覽器中執行，因此要轉換廠商也很容易，」Courtout推測。「權力的平衡正在轉移。科技已不是廠商說的算。現在已是顧客當家做主（『這也是我想要的』），而他們也能夠強迫廠商接受其（基礎建設）的選擇。」
同時，Cote並不認為市場會有多大的縮減；如果小型廠商被併購了，會有其他的廠商跳出來起而代之。但是這不表示他已不再關注像Qualys之類的專注廠商了。
「Qualys是我會考慮的廠商之一。他們有良好的信譽，」他說。「坦白說我很驚訝他們竟然還沒被併購。」
千萬別把證據給「採集」壞了？！調查行動只要踏錯一步，代價就是：咱們法院見。
CSI犯罪現場
種種跡象顯示：大事不妙了！華盛頓醫學中心（UW Medicine）的安全小組在安裝完入侵偵測防禦系統後，他們驚覺有多台機器正嘗試著與在法國的IRC僵屍網路伺服器連線。緊接著，醫學研究機構系統安全師兼任電腦鑑識專家Cindy Jenkins在了解狀況後，便立即從隱匿於可疑活動背後的線索中，展開追緝行動。
此外，她還花上數小時的時間，從被植入攻擊工具的受駭電腦硬碟當中搜尋到幾處疑點，最後得到一個結論：該程式除了rootkit特性外，尚埋藏具有FTP功能的IRC Bot。而且，在以被動式掃描過整個網路後，還發現到更多遭到入侵的系統。所以，為了節省時間，Jenkins動手作了一個hash sets容器－將它當成是惡意程式的數位指紋（digital fingerprints），如此一來，當檢查這些增加出來的影像時，她便可以只搜尋hash sets容器。最後，經她初步的瞭解，系統大約距今18~24個月，甚至是更早之前就已遭到入侵了，也就是在還未裝置IPS和佈署其他安全措施之前就已經發生的事。
華盛頓大學的醫學中心，實際上就是遭到資源獨佔（resource hog）的攻擊，簡言之，也就是攻擊者的目標並非存於系統的資料，而是相中大專院校豐沛的網路速度和巨大的儲存空間，目的為的就是可以拿來分享電影和音樂。但是，隨後Jenkins就發覺還有不對勁的地方－部份事物不符合原先的hash sets，所以，攻擊者不單單只是盜用網路資源，他們還曾經存取過醫學中心的Windows網域密碼。
「當追到這兒時，我幾乎是摒氣凝神，接著便開始釐清整件事情的來龍去脈緒。」Jenkins憶起2005年12月時，令她驚心動魄的發現。
雖然沒有任何證據顯示入侵者已經盜用這些帳號密碼，不過系統上的時戳（time stamps）指出他們曾經存取過的事實。後來，這個案例已隨著Jenkins詳盡的文件記錄，轉交由FBI負責處理。
「電腦鑑識倒還蠻像在撰寫程式，除了要聚精會神之外，還得一面仔細思考推敲。」Jenkins接著說，「我們必須將所有相關聯的小細節堆在一起，然後逐步地把整件事情拼湊起來－就如同偵探所作的一般。」
不過，正當CSI風格的電腦鑑識情節充斥在現今的電視節目上時，像Jenkins這樣的電腦犯罪追查者，則是選擇無聲無息地利用專業知識及技能，讓數位罪犯無所遁形。再者，就企業而言，他們所要面臨的是存於電腦世界中的攻擊老手，甚至有可能是來自於內部威脅，所以，現今電腦鑑識之於企業的重要性，自然是不言可喻。可是，在事件發生過後，企業仍舊會來不及應變，而且當要進行鑑識調查工作時，還可能會犯上代價高昂的錯誤。
「企業本身最大的敵人，就是自己！因為在事情爆發之後，他們只想到要準備好作電腦鑑識。」專門提供數位鑑識及安全服務的Intelguardians公司，其資深安全分析師，同時也是創辦人之一的Bob Hillery如是說。
不過，就Hillery所見，許多企業並未提供良好的鑑識環境，原因在於沒有任何系統活動的記錄，也沒有充份完善的事件通報計畫。所以，當事情發生之後，系統管理者只能噠噠噠的敲著鍵盤，找尋到底「那兒」出錯了？「因為他們並不瞭解問題的本質，所以會開始四處亂鑽，以致於後來弄得犯罪現場到處都是泥巴腳印！」Hillery說。
然而，企業該如何避免一失足成千古恨的慘事發生呢？在犯罪案件之外，除了為民事訴訟作好鑑識所需，提供適當的人力資源協助調查之外，並且，專家們認為企業還得去確認二件事：本身是否已作好準備？還有電子證據的保存是否得當？所以，當事情發生的當下，對於接下來要處理的事，理應具備的策略，就成了企業要執行的首要工作。
一步錯，步步錯
FBI特別調查幹員，同時身兼加州Menlo Park矽谷地區電腦鑑識實驗室主任的Chris Beeson表示，當下若是發生遭駭等情事，不管是來自於外部，或是內部的惡意行為，企業理應都要備妥通報計畫，以及專責之IT團隊、管理階層人員、法律和人資代表來掌控整體事件後續的發展動向。而站在第一線的人－通常為IT成員，他們必須知道首要連絡對象有誰？以及在事發的第一時間點所要採取的處理程序為何？
Beeson又說，多數情況下，他通常建議將疑似受駭的主機下線，以防杜入侵者更進一步接觸到這些機器。另外，所有與證據有關的磁碟都應先備份保存，再者，倘若系統原本便與巨量的儲存空間有所連結的話，那麼，企業就要衡量輕重，看是否真的需要將資料複製複本保存，甚至是否必要將整個系統下線數個小時，或者只是限定在某幾個區域就好。
「站在企業的角度思考這整件事，其實是不可能會存有完美無暇的處理方式。」Beeson接著說，「不過，企業需要的，便是在律師的陪同下，讓受過良好訓練，聰明的人來下決定。」
許多電腦鑑識專家指稱，最好的作法，其實就是讓企業訓練員工不要去碰觸到任何東西，目的當然就是為了保存證據。
「假如員工認為他們也許將要協助電腦鑑識工作進行的話，不管是伺服主機還是筆電，處理守則第一條，就是不要碰觸任何東西。」Jenkins繼續說，「管他需要求助於內部或外部資源與否？停止現場一切活動，並請那些知道該如何處理的人來。」
任職IT服務公司Akibia，並專責電腦鑑識的資深顧問Evan Wheeler表示，電腦鑑識人員會查看檔案最後被更動或存取的時間，以歸納出事件發生的時間點。他又說，「要是有人在一開始便『翻箱倒櫃』的話，那麼，他們極可能破壞這些重要證據的時間印記。」
一般公司行號常犯的錯誤是，關掉系統，或將系統重新啟動，不論何者，這些行為都會破壞存於系統記憶體當中的證據。「假如有必要採取立即手段，那麼，請不要關機！正確步驟是先拔除網路線，並保持系統運作。」顧問公司Montebello Partners的管理夥伴Ames Cornish說。
Cornish又表示，另外一件常常遇到的蠢事，就是馬上將離職員工的筆電配發給新進人員，如此一來，也會妨礙到對前任員工所犯惡行的調查行動。再者，假設員工是在不尋常的狀況下離職，比方說，突然辭去工作或者遭到開除等，那麼，在轉換電腦用途前，最好先持有該員工電腦一陣子，之後再移作他用。
而且，如果證據遭到蓄意破壞，或者遺失的話，鑑識調查活動便會更顯艱鉅，但並非完全沒辦法繼續。「部份聰明的鑑識調查人員會轉往他處找尋證據複本。」Cornish接著說，「可是，這些證據複本通常不是已被複寫，就是消失殆盡。而且此時，復原的費用正開始往上增加！」
記錄是最好的幫手
當今數位鑑識的範圍，早就不僅止於筆電和一般PC而已，因為調查人員也必須要有能力看懂網路和連線狀況的資料，而這些都使得相關記錄益形重要。但是，Intelguardians的Hillery也說了，有時當問起有助於調查進展的記錄檔時，通常他得到的回應都是對方呆滯的眼神。
上一次，也就是去年他所處理的一家上線的中小企業案例，其中有兩位前任員工－財務長和一位資深開發人員，秘密地盜取企業的智慧財產，為的就是著手成立與之競爭的公司。同時間，該公司的企業用戶亦遭到了電腦攻擊－網站服務停擺數小時，網站購物車的功能也被惡意關閉，而極有可能就是這些離職員工所幹的好事。
不過，單憑一張手繪的網路簡圖和幾筆Web存取記錄檔，但卻沒有任何防火牆、路由器或IDS所留下的記錄，那麼，要證明的確曾經發生過這等竊盜情事，是幾乎不可能的。最後，該公司不但放棄從法庭上獲取對方賠償的希望，並且，還附帶了一個新的競爭者回到了商場。
「原公司只能無奈地大喊，『到底在搞什麼啊我們？怎麼一點準備也沒有！？』」Hillery說。
風險管理公司Abraxas，其資訊保全與數位鑑識部門主管David Lang，也碰過在作鑑識調查卻缺乏記錄檔的問題。系統管理者給定的理由是，他們之所以關閉記錄檔的原因，是在於記錄檔會拖慢系統很多事情。「的確，開啟記錄檔服務會耗損掉一部份系統效能，不過，假若今天的角色，換作是重要系統的話，那麼，你必須將其視為是在作風險管理的決定。」Lang說。
盡到連帶保管職責
數位鑑識涉及到一個很重大的部份，就是謹慎地記錄相關證據的處理過程，目的為的就是能在法庭上呈現事實。再者，要是沒能盡到這連帶的保管職責，律師團可以以證據毀壞為由，阻止被告遭到起訴。
「你所作的每一項決定，還有每一個在鑑識過程當中所執行的步驟，你都得記錄下來。」華盛頓醫學中心的Jenkins又說，「包含你作過些什麼？這樣作的理由何在？什麼時候作的？還有，若照這樣子處理的話，預期可以帶來什麼樣的效益？」
如果企業想要自己動手作鑑識工作，那麼，就必須得有一個程序：提供員工遵從電子證據該如何拷貝和傳遞的細節。
「這無疑是鑑識工作的箴言！因為在調查過程當中，你要保護這些資料，詳實的記錄每一道步驟，並保證資料不致遭到變更。」Jenkins說。
另外，專門提供鑑識與其他資訊安全服務的Mandiant公司，其身兼總裁和執行長二職的Kevin Mandia也說，要堅守住這個連帶的保管職責，可以透過下列的步驟：
�� 在調查人員全程陪同下，或者在其視線範圍內保存證據。
�� 記錄證據蒐集的過程。
�� 記錄證據從調查人員手中轉讓的過程。
�� 適當地保全證據，使其不致於受到篡改。
目前擔任顧問，也是Experian公司資訊安全、證據查核暨事件回應處理部門的前任主管Bill Spernow說，除了盡到連帶的保管責任外，還有一點，就是該為每一件證物都造一個hash值，這也是相當重要的。因為hash值－「可以證實，這就是星期一當天的那件證據；而且，就算六個月之後把它拿上法庭，我們仍舊可以證實一點變化也沒有－就是原本的證物。」他說。
傳統上，鑑識調查的作法，都會是將受駭的系統或者是證物作成好幾份的複本，然後才針對這些複本進行分析。Jenkins通常會複製三份，隨後便將原先的系統放入證物袋，作好安全保存。
Spernow說，法庭也會接受經由企業正常程序所採集到的證據。比方說，若是防火牆管理師如往常一般檢查每日系統記錄檔，並且發現到入侵的證據，那麼，這些記錄檔還是會被認為是正常營運所留下的記錄。
尋求協助不可少
部份企業自己內部便擁有獨力鑑識調查的能力，不過，許多企業還是得求助於顧問。所以，找尋到專家的資源，包括專業研究工作者，鑑識工具廠商，還有鑑識認證提供者－像是SANS機構，就可以列舉出目前有那些人是取得GIAC鑑識認證的。
不過，現在卻沒有任何清楚明確的辦法，去評估一個鑑識專家的好壞程度。或許，從證照來判斷當然也是評估的方法之一，不過，在此領域當中，還是存有一般廠商與中立廠商的相關認證，但這依舊難以訂出衡量標準。事實上，Mandia表示，就他的工作上來說，聲譽和經驗會是較證照來的重要許多！
「若曾經參與過許多大大小小的案例，這倒是件更要緊的事！」他說。
鑑識調查人員會使用很多不同種類的工具－有商業類型，或開放原始碼，甚至是自製的工具都有，全部都是取決於當下手邊的工作而定，所以，也很難光靠工具來評斷調查者的素質。「我不認為只單憑工具就能斷定他人的優劣好壞！」Montebello的Cornish說。
「你要的是一個你可以信賴的人。」他接著補充，「這個人應該了解IT系統，並且不能像蠻牛般的橫衝直撞，因為他要知道一點：企業目前尚在營運當中。」
當Spernow在面試挑選企業內部鑑識小組的成員時，他看中的是那些對網路架構有深度瞭解，並且還瞭解系統記錄檔怎麼運作的員工。「這樣一來，鑑識者對於企業資訊架構才能有個完整的認識！」
就Jenkins而言，她擅長多種作業平台－Unix、Windows和Macintosh，並且會使用多項工具－包含了像是Guidance Software的EnCase和Helix，以及開放原始碼的Linux live CD－以進行鑑識工作，再者，她還擁有EnCase的鑑識證照，和SANS的事件處理證照。另外，Jenkins也說，研究所修習古代史與圖書科學的課程，讓她可以為自己的工作作更好的準備。
建立自家的鑑識團隊對某些企業，特別是大型企業來說，目標是再清楚明確不過。波音發言人Tim Neale說，波音公司自行處理電腦鑑識問題已有數年的時間，就是因為它划算的關係。
從2004年的統計數據顯示，Spernow估計，鑑識實驗室分析處理一件系統案例，包含人事費用，約莫要價$156,110美元；而處理十件系統案例，則得花上$388,640美元。若是尋求委外協助的話，一個案例的費用範圍，會是從$33,200到$55,100美元；十個則是$332,000到$555,100美元不等。Spernow說，這些估算範圍，尚屬針對可能達成目標的情況下而言。
Spernow說，最新的民事訴訟聯邦法條，正制訂將國內鑑識實驗室視為寶貴的資產，其實，這也為了抑制以後可能面臨到訴訟費用等問題。再者，新電子化資料搜尋（e-Discovery）法條中，它規定在訴訟案件部份，要能夠清楚的以字句描述出，跟本案有關聯的資料是處於資訊架構當中的什麼位置。此外，還得提供離析證據的估算費用，以及附上過濾這些需授權但非公開資訊（privileged information）的依據。
「任一IT裡頭的人員，只要能指出該證據資料存放的位置，都可以驗證它就是資料本體。」Spernow接著說，「但是，要在權力架構的允許下解開並過濾出證物，這個便會成為鑑識過程中可能引發的議題之一！」
執法兩難
不過，資料外洩發生之後，決定在何時訴諸法律可能會是一個難題！因為通常都有許多的因素要去衡量－是否察覺任何的犯罪動機？遭毀壞的範圍或程度？公開披露此事所造成的風險問題？
Spernow說，取採法律行動，便能夠以強大的資源執行犯罪搜查，而且，當尋求官方協助時，基本上企業便要放棄調查的控制權。再者，這裡還有一個風險－就是企業的骯髒事（family jewels）[*譯注1]，會赤裸裸地的攤在法庭上。
FBI的Beeson也說，在訴諸法律之前，企業對於發生了什麼事，以及所造成的損失估算－包含停擺時間，人事費用和商業益利－應該要相當清楚才是！
「我們並沒有太多時間，為所回報的每一件電腦入侵案件成立專案處理小組。」他說，「有時候，我們會直接告訴受害者：『很抱歉，你所提及的損失程度不足以讓FBI介入調查！』」
Beeson繼續補充說，依聯邦法律的規定，電腦入侵案件所造成的損失要在$5,000美元以上，才需要介入；不過，聯邦檢察官通常都會提高這個門檻。
部份專家認為，提早一點知道FBI或者是美國特勤局（U.S Secret Service）的電話，這倒是個不錯的主意！在事發前，我們可以與他們建立起良好的關係。比方說，像是IntraGard－與FBI在私交方面，就如同像夥伴關係一樣，時常會有訊息上的交換，並且也會為這樣子關係的建立提供論壇。另外，跨國的24小時打擊高科技犯罪防治中心（Secret Service Electronic Crime Task Forces），就是由民間所參與組成的。
@3：記取教訓
@0：除了具備事件因應計畫和適當保存電子證據外，Jenkins說，最重要的就是企業能夠從中記取教訓，不再重蹈覆轍。
至今，FBI仍在為華盛頓醫學中心三年前所發生的外洩事件進行調查，之後該醫學中心便大力地改善解決自身的安全問題，除了佈署Tipping Point網路型IPS，以加強網路監控服務外，也完成在用戶端安裝單機型IPS/防火牆系統的工作，並杜絕IRC和其他peer-to-peer的流量。
「面對最重要的事物，都應當作好準備！此外，清楚了解自己的決策過程，倘若真的需要用到電腦鑑識的時候，請記得：在專家到場前，千萬別動任何東西！」，Jenkins說。
記取教訓
除了具備事件因應計畫和適當保存電子證據外，Jenkins說，最重要的就是企業能夠從中記取教訓，不再重蹈覆轍。
至今，FBI仍在為華盛頓醫學中心三年前所發生的外洩事件進行調查，之後該醫學中心便大力地改善解決自身的安全問題，除了佈署Tipping Point網路型IPS，以加強網路監控服務外，也完成在用戶端安裝單機型IPS/防火牆系統的工作，並杜絕IRC和其他peer-to-peer的流量。
「面對最重要的事物，都應當作好準備！此外，清楚了解自己的決策過程，倘若真的需要用到電腦鑑識的時候，請記得：在專家到場前，千萬別動任何東西！」，Jenkins說。
複雜的儲存形態加深了鑑識的困難
鑑識專家尋求他法，來對付行動裝置和那些異常巨量的儲存媒體。多種型態的電腦裝置，再加上大容量硬碟以及廣泛使用資料加密的緣故，這些因素都是讓數位鑑識工作者所遭遇到的困難，更甚以往！
「過去幾年，在商場上所有的工作都是以PC為主，所以鑑識環境還算單純。」Voltage Security安全設計師Luther Martin接著說，「但是，現在的情況複雜化了！我們有PDA，有手機，有黑莓機，有iPod－而且裡面都裝了一堆引人興趣的資料。」
風險管理公司Veritas Global，其鑑識部門主管Brian Gawne說，所有的調查工作通常始於一個單一系統，而後再延伸到找證據的問題！也許會是數位相機，USB隨身碟，甚至是印表機都有可能。但是，他認為今日鑑識工作所遭遇到的最大問題，會是在特大容量的硬碟身上！
「你現在從桌上型電腦或者筆電所取得的硬碟，其容量都會是400、500甚至600 GB，」他接著又說，「所以我們所要去分析的資料，永遠都是採掛載的方式。」
遍佈全美的14個區域電腦鑑識實驗室，在去年被FBI和當地的執法機關一同找來，為的就是要處理2.8 PB（petabytes）的資料量。
「隨著硬碟容量愈來愈大的情況下，我們現在也得試著找出更聰明，較不費力的工作方式來解決這個困境。」FBI特別調查幹員，同時身兼矽谷地區電腦鑑識實驗室主任的Chris Beeson表示，「能夠在一顆硬碟上走遍所有磁區的日子已經不復存在。」
不過，Beeson說，有一個比較能讓調查者輕鬆的方式，就是利用已知軟體檔案的hash set資料庫，因為hash值可以使得他們降低需要搜查的檔案數量。目前，就有一個名為國家軟體參考文庫（National Software Reference Library）的資料庫，該計畫是由美國司法部（U.S Department of Justice），以及聯邦，州際和當地的執法單位所共同參與支持的。
IT服務公司Akibia，負責鑑識部門工作的資深顧問Evan Wheeler說，加密的確會為鑑識工作造成極大的不便，尤其是攻擊者均會加密檔案，並剔除掉參考資訊，這使得分析工作更形困難。
「加密不但會拖慢工作速度，並且還阻礙我們繼續追查下去的行動。」Beeson又說，「不過，最後它還是取決於我們為該案例投注了多少資源！」
揪出內賊
離職員工留下許多可以潛入公司網路的管道
鑑識調查與其他類型的調查沒有什麼不一樣：都是從打電話開始，某家高科技企業深信入侵者早就已經闖進公司網路裡頭來了。
「我的第一步，就是盡其所能的找出線索，包括詢問公司有關記錄檔的事，還有任何可以引導我們了解事實真相的東西。」FBI特別幹員Shelagh Sayers說。
如同其他幹員調查電腦入侵案件一般，她會與公司高層人員坐下來談，接著問許多問題，並檢查電腦的記錄檔看是否異常？
Sayers說，直到最後，該案例並未經過複雜的鑑識過程便完結了。事情的發生是，一家位在加州Scotts Valley市的軟體公司，其Creative Explosions部門的前任網路管理師Roman Meybray闖進了公司的電腦系統當中。
依據聯邦法庭的記錄，在2003年遭開除後的兩週內，Meydbray從聖荷西的家中，未經授權就連進到公司的網路裡頭。他刪除了email伺服器的網域，盜用公司總裁的email帳號，並更改了email伺服器的組態設定，使得所有信件都遭到了拒絕。
法庭的文件當中引用相關證據來證明這一點：ISP的記錄顯示－入侵者來源，就是Meydbray的IP位置；另外，當檢查官持聯邦搜索令從他房間中所查扣下來的電腦中發現，Meydbray存取過公司總裁的email信箱，並刪除掉email伺服器的網域，還有，經由公司的記錄檔可以確定，來自Meydbray家中的IP位置曾看過總裁未閱讀的信件。最後，Meydbray被認定的罪狀如下：非法存取已儲存之通聯訊息，未授權存取電腦，並肆無忌憚地四處破壞。
Sayers說，公司在事件發生前，就應備妥一份計畫書，內容包括－打開系統記錄檔功能，擬定撤消員工存取網路終端機的政策。
不過，企業也不應該認定，被請來處理事件的調查人員，一下子就能對企業的網路架構熟得不得了！她接著說，「調查人員還是得依靠一個對網路有所了解的人，來告訴他企業整體的網路架構是怎麼樣子的，甚至是記錄檔中的訊息項目，其所代表的涵義是什麼。」
Shers說，在Creative Explosions的案例當中，就如同FBI所處理的其他案件一樣，他們並不會在調查期間，讓整個營運停擺下來。
「我們對於受害公司行事非常小心，不會進一步地再次傷害到他們，再者，我們所進行的每個步驟，均會確保該企業的營運不會因此而中斷。」Shers說。
非營利性組織相較於私人營利企業在資源上更顯捉襟見肘。在資源有限的情況下，如何執行資訊科技計畫？並且展現出不遜於營利企業的成效！
Jim Thie是國際人道居住環境組織的副總裁兼資訊長，列出非營利組織（NPO, Nonprofits）所面臨的挑戰，其中包括：管理來自世界各地的義工、新的募款方式、不需擴編下推出更多的救濟服務；同時，還必須顧及組織所訂定的目標任務。如同其他許多非營利組織的資訊長們，Thie還得要在資源有限的情況下執行他的資訊科技計畫。預算，在非營利性組織中，總是比私人營利企業來的緊縮有限。
的確，非營利性組織在資訊科技的運用策略上，是無法趕上私人企業編制。Thie表示，雖然比不上私人企業，但是這不代表非營利性組織對於資訊科技所能賜予的力量是茫然無知。曾看過不少以營利為目標的公司企業，其資訊科技環境甚至遠比非營利性組織來得惡劣。Thie說，這代表公司是否真的有確實針對企業的營運目標，來妥善運用資訊科技技術。
最近，人道居住環境組織(Habitat)董事會制訂一個為期五年的策略計畫，而Thie的工作則是確認這些工具是否能支持組織的目標。就人道居住環境組織的立場來看，其首要目標任務是根除貧戶階級的惡劣居住環境，而這項巨大的目標，是針對世界上近十億仍居住在低於標準條件環境的人們，提供人道救助。Thie的計畫是去建置一個具操作透明化特質的辨識系統來簡化捐贈流程。也就是說，所有收到的捐贈，由一名特定的員工，利用電子化外接路徑的工作流程軟體，來加以掃描與輸入，而這些流程將會被簡化到一次到位完成。Thie說，這項技術能幫助人道居住環境組織在無需增加工作人員的條件下，處理更多的外界捐款。
同時，Thie也將會建置一個新的客戶關係管理(CRM)系統，該系統名為「團隊目標」，是Target Software提供的軟體系統。預計將會在2007年第二季時上線運作。該系
統同時會標準化人道居住環境組織在全球各分處的網路作業流程。
捐款成長並未挹注IT提升
對全球400間大型慈善機構來說，2005是豐碩的一年。在2004年間，公共慈善機構獲得了將近1.1兆美金的收入，同時，其總體費用大約將近1兆美金。根據「國際慈善事業年度統計」組織研究調查所公佈的數據顯示，在2004年間，這些大型慈善機構所獲得的捐款金額，整體成長了13%，相當於大約增加了超過620億美金。
然而，這項研究調查結果也揭露一項不爭的事實，就是這些增加的金額，多半沒有用於IT，以使其羽翼更為強大。根據一家專門提供非營利性組織有關「客戶記錄型態」技術的公司Idealware，該公司總監Laura Quinn表示，「在一些營運範圍中，像是基礎設施架構、科技技術，非營利組織總是與營利性組織間產生極大的落差。」
一家位於華盛頓特區，專門提供可作慈善用途基金的「基金顧問委員會」，其總裁兼資訊長MarkBolgiano指出，在非營利性組織中，資訊科技通常缺乏一種能力，就是凸顯與反應該產業資訊科技執行者的規劃、想法與策略。他強調，「通常，我們會轉向執行決策的作業端好讓目的達成。」Bolgiano花費了相當多的時間在各基金會間，推廣科技作業概念，「但是資訊長通常不會是參與決策、拍板定案的成員之一，但是這些資訊長們所做出的決定，會對於該組織的目標任務產生絕對的關連性。」他說。
假若Bolgiano對資訊長們面對的處境資訊掌握正確，那John Rhon就是一個例外。位於美國佛羅里達州一家專門提供修復與器官組織移植的非營利性組織，「生命連線基金會(LifeLink Foundation)」，其資訊系統副總裁Rhon，在協助該組織達成工作任務目標過程中，扮演關鍵性的角色。他和他部門的十二名成員，貢獻了相當多的時間，以每天二十四小時接力的方式運作，維持該組織的四十台伺服器，三百五十種設備，以及無數套客戶應用管理程式。Rhon最近佈署建置了一套由Persytent科技公司所提供的軟體，該軟體能夠極為有效地自動化資訊科技設施，以運作該組織的Call Center。
也許自動化的支援管理，尚無法與私人企業的策略性運用科技等而視之，但它卻是「生命連線基金會」的運作關鍵。在各分會中，Rhon必須集中精簡的資源，以達成攸關生死的任務。有許多外科醫生和護士是必須可以隨時隨地工作，「所以，我們必須要能夠隨時隨地支援那些在組織外的使用者。」他說。但是Rhon卻常常因非營利性組織先天不足的條件—資金有限，而讓計畫遭到牽制。Rhon強調，他常常必須與是否要採用最新科技，同時還要顧及不讓組織的資金出現問題，而展開天人交戰。
Quinn表示，NPO所遭遇到的最大困境與挑戰，就是他們的衣食父母來自於外界的捐贈者與義工，還要利用老舊過期的資訊，去追蹤捐贈者的每一分錢，以及處理和聯繫參與協助的體制外人員的相關資訊。
讓IT與組織任務目標交會
Quinn表示，找到適當的軟體系統是永不停止的挑戰。根據Idealware在兩百六十一家非營利性組織間所做的研究調查發現，只有大約五成八的受訪者表示，在其組織中使用正確的科技工具。一些供應商也明確的針對非營利性機構市場的特殊需求，提供一些像是「公益客戶關係管理」的軟體產品。為了幫助非營利性機構有效管理運作募款活動、招募和聯繫該組織成員，他們還會設計並提供開放資源軟體。
同時，Quinn表示， Saleforce.com所提供的整合客戶關係管理軟體，已經擄獲了非營利性組織間的高度注意。她說，有許多技術顧問已經將Saleforce.com的產品標準化，同時也新增隨時即用連結和組態管理，而這些都是針對非營利性組織的需求量身訂作的服務。
非營利性組織的資訊長們表示，Web 2.0最能讓人感到振奮，因為它能夠在不同地點處理相同事件，比如說讓處理貧窮問題的法律辯護人員之間，達到雙向溝通的目
的。部落格和維基百科能夠做到超越社群建立的功能；使用者創造了免費的內容資訊，同時非營利性組織也能贏得名聲。Bolgiano說，非營利性組織能夠藉由這些工具「針對個人提供知識」，或者，藉此「獲得並組織支持者的強大力量。」世界野生動物保護基金會(WWF），是一間位於瑞士的保護團體，有1.27億美金的資金以及超過五百萬名會員。該機構已經相當擅長於挖掘它的成員背景資料。該團體的資訊
長，Greg Smith說，「我不會放棄任何非建置基礎設施架構的IT專案，同時，這些專案，並不會與我們組織的執行長階級等資深管理階層所設立的一個或多個目標任務有所關連。」
WWF利用SAS軟體，進行分析它的線上、電子郵件以及直接信函等不同型態的募款活動。由於有超過60%的營運收入來自於捐贈，因此，Smith對於商業智慧應用格外重視。「我們不會去用雕蟲小技般的商業智慧工具，」Smith說。「我們要用就用最好的，才會產生績效。」
WWF已經針對全球十九處優先考量地區進行保護工作。史密斯強調，資訊科技的工作是在於協助在這些地區傳遞工作成效。「我們有大批的工作人員，分屬不同團隊，
遍及全球偏遠地區，例如像是迦拉帕哥斯群島等。我們利用加密的企業入口網站，以共用軟體來分享資訊。」因此，被WWF派遣在外的工作人員，每人配有PDA，以無線上網方式收發電子郵件。
在「生命連線基金會」中，Rhon也會利用相關工具和器材以管理不同地區的作業。當有可利用的器官被捐贈出來時，除了電話告知以外，具有通訊功能的相關醫療器
材也會馬上發出電子信號通知工作人員。Rhon計畫在旗下所屬醫生的桌上型電腦中配置相關通訊設備，這樣，他們也會立即在第一時間獲得通知，並且取得受贈者的所有醫療相關資訊。儘管受制於有限的預算和資源，Rhon自喻在這個組織中，他的角色是一個可被信賴而且也算是過的開心的管家。對於資訊長之於非營利性組織的互動關係，人道居住環境聯盟的Thie，也同意這個說法。「最重要的事情，」Thie說，是要知道目標任務是什麼，同時也明確知道所需要的工具是哪些，「這樣才會出現解決方案。」
幾乎有半數的中型企業，其災害復原計畫都很粗糙。照著如下的步驟做以確保你不會成為他們當中的一份子。
House of LaRose是位於俄亥俄州Brecksville市的一家飲料經銷商，在幾年前的除夕應該是個歡樂的地方。這個家族經營的中型企業剛剛搬進美金3千萬的30萬平方英呎的工作地點，並擁有Oracle 10g資料庫運行的尖端倉庫管理系統，這個管理系統協助卡車車隊一天運送遍及全州的成千上萬個飲料容器，一年1千2百萬個。後來公司Novell NetWare系統的主機板燒掉了，引起一連串的伺服器故障，造成業務上的停頓。LaRose公司在美國的飲料經銷商中擁有比同業更尖端的IT環境，但它卻沒有災害復原(DR)或企業永續經營(BC)計畫。
IT管理者Dan Brinegar打電話給Novell公司，該公司說要花3天的時間才有新的主機板。因此他就打給俄亥俄州附近的公司找到可以借用的備品，讓他的公司可以在數小時內回復上線。
「這可真是個警訊」Brinegar說。「ERP系統一停機，整個公司就會突然停止運轉。」
災害復原過去一向都只留給大企業，但在日漸增多的24小時提供服務的商業領域中，越來越多的中型企業也漸漸地瞭解到，如果停止運轉他們就無法提供服務。應用系統對高可用度(HA)的要求一直都在成長。市場調查研究機構(Forrester Research)估計在過去5年裡，企業對關鍵的營運資料庫應用系統的數量呈倍數的成長。然而，仍有許多企業未準備妥當。Gartner的調查中發現，中型企業及大型企業大部分的停頓，都是因為自認完善但不夠標準的災害復原計畫。
「你的生意和你資料的完整一樣」，一位在美國田納西州富蘭克林市的中型電子製造商(Telco Solutions)負責災害復原業務部經理Ricky Bajaj說。為了要保護它的資料，Telco公司最近全面大修它的企業永續經營/災害復原(BC/DR)策略，決定將這項功能委外，委外在中型企業中是很常見的解決辦法。
越來越多的公司沒有選擇的餘地。公開上市公司面臨沙氏法案(SOX)的命令要對資料做保留，然而，在同業中的私人公司，它們就不像酒業及金融業必須要符合政府的紀錄保存及服務的永續性規定。
「即使當規定沒有明確地命令執行BC/DR規劃時，監管機構要求公司企業都要遵從他們對資訊的稽核和要求，不管是什麼！」Forrester分析師R?diger Krojnewski和Bill Nagel在最近的一篇名為「規劃你的下一個災害」報導中提到。「起因於災害或是其他營運上的中斷都不能做為無法達到這樣要求的藉口，更糟的是管理者可能會因無力從災害中復原所暴露的不遵從而被處以罰金。」
Forrester估計自911恐怖攻擊以來，已經實施高可用度(HA)及DR解決辦法的大型企業數量成長已超過50%了。儘管DR計畫對資源被困住的中型企業而言可能更具挑戰性，但仍然有基本的規則可遵循以擔保及時的復原及最高的連續性。
這有個編制DR/BC計畫的指南。
*評估
第一步是藉由實施營運衝擊分析(BIA)，針對IT及整個企業所面臨的弱點再做詳細檢查。什麼是可能的威脅(停電、天災、恐怖主義)以及就損失收入、生產力和名聲而言什麼是可能的後果呢？哪些系統是不可或缺的？哪些又是非關鍵的呢？辨認在特定的區域可能盛行的威脅將可協助確定資料中心的位置、資料中心地點的間隔，以及DR最有成本效益的技術。建立容許完全恢復正常運作的時間─復原時間目標(RTOs)，以及就時間上而論資料損失可容許的數量─復原點目標(RPOs)。
Gartner分析家Donna Scott說營運衝擊分析(BIA)需要一項存在於營運和技術之間共同的企劃。「你必須瞭解什麼是在你營運中最關鍵的，也是你必須去保護的，」她說。「你必須真正地瞭解你的營運。IT是無法自行做到。」
她提到營運衝擊分析(BIA)是不同於安全評估。BIA集中於評估營運流程的重點性以及評估所使用的應用系統，以及當一段時間無法取得應用系統和基礎設施做變化時的衝擊。
有時還真是需要一個真實的災害來喚醒一家公司。幾年前當颶風Rita正朝著休斯頓時，LifeGift Organ Donation Center公司實行它的DR計畫：IT人員將設備裝載上卡車運到達拉斯去。管理階層瞭解到需要一個更好的計畫，因此與位在達拉斯的IT服務公司CompuCom簽約接管DR規劃。
CompuCom公司的解決方案架構師Charley Ballmer替LifeGift公司設計了BIA，評估颶風及水災氾濫為最有可能的災害，其次是地方石油業的恐怖攻擊。BIA將LifeGift公司最重要的營運流程列為器官追蹤和病患溝通，並且為這些應用系統建立了15分鐘的RTO，然而會計方面卻給了24小時的故障復原的時間。
「當他們進入到DR模式時(在Rita颶風期間)他們的計畫都成為泡影了，」Ballmer說，並指出一個更大的災害可能造成公司無可挽回的後果。「他們沒有做硬體和策略上的投資。」
現在CompuCom 從它自己的操作中心管理LifeGift 的IT環境，遵守ITIL的規範，並且每六個月徹底地測試DR的故障復原系統。Ballmer又說LifeGift公司已準備好要安然度過一場大的暴風雨，而且僅受到最小的服務中斷。
*明確定義
建立起實際且具體的營運復原目標。復原時間以及復原點目標這些要求必須在談及風險報酬時明確的規定。也就是說，企業真正需要保護到什麼樣的程度，而又要為此付出多少代價？CIO必須採取有組織的有條理的方法，利用刊載的方法論包含ITIL、COBIT、ISO 17799和27001用以明確定義風險、威脅以及控制方法。
但實際上定義企業需要多麼健全的DR計畫是商業決策。Forrester的Krojnewskig說董事有時候會要求不切實際的或是過度昂貴的永續性。而這時IT就必須提供對現實狀況的檢視。
「問題的關鍵是IT和企業的人沒有共通的語言，」他說。「挑戰者的角色必須是個內部IT人員。你願意為預防措施付出多少錢？金錢的範圍完全是商業決策。」
CIO應該要用文件詳細記錄依重要性等級安排的營運流程，通常在一到五級。面對用戶及合作夥伴的應用系統很容易分為一個層次的重要性，當後援辦公室作業的重要性式微時。有些應用系統因為它們與重要系統的互動方式，可能需要被提升其重要性。
當Chris Formes成為一家美金8億8千8百萬美元的公開上市公司(Brookfield Homes)的IT經理時，因為這公司沒有DR計畫，所以他就聘用了承包商來作威脅評估，並且設計一項復原策略。以最高標準的故障復原連續性，這項計畫需求20萬美元的硬體投資以及第一年9萬美元的服務費用。「我認為適當的擁有計畫是很重要的，」他說。「但當我看到這數字與公司的總裁坐下來談後，發現我們做的事似乎不怎麼合理，萬一像地震這樣的災害，反正我們也都無法做事。」
相反地，位在加州的Del Mar 公司選擇8小時的RPO和磁帶備份配合，聘請位在亞歷桑那州的Insight Enterprise公司利用磁帶系統每小時對儲存區域網路(SAN)進行快照。這家公司也推出Mimosa系統的NearPoint email解決方案把它的Microsoft Exchange server的資料存檔。企業營運持續性的費用下降了到一個月1,200美金。
「DR只不過是一張保險單，」Formes說。「它既是風險也是補償。在我們的案例中它不值得冒險（就整體的企業營運持續性而言）。我們並未損失任何的收入。我們可能會受到阻礙，但是家園的建設程序是不會停止的。」
*更新
營運不停地在改變，因此任何的DR/BC計畫也得跟著改變。為了確保IT的基礎設施變化不會使計劃變得失去作用，因此定期檢查是必要的。這計畫有涵蓋到新的業務種類嗎？被中斷的服務已從DR情況中消除了嗎？
企業的領導者及IT需要定期的相互諮商以保持事情的更新。他們理應每年都要重新檢視現有的技術，及不管什麼時候採用的新技術。週期性地再視察威脅評估－威脅和它們潛在的影響。災害復原應該被視為變更管理的一部分，Krojnewski說。在LifeGift公司隨著技術的變更而更新DR計畫是件容易的事，而且這家公司對於CompuCom公司的IT可以委外也感到很滿意。
「災害復原變得只占計劃投資的7%或8%而已，」已成為公司的CIO的Ballmer說。「我們做到比他們（業務主管）預期的花費還要低的金額，並且縮短了復原時間目標。」
*確保買進
獲得你希望從來就不需要用的預算可能有點難。DR可能有點貴而且也不會帶來收入。投資報酬率(ROI)可能很難估計。
IT應該要提供建議和執行計畫，但是DR整體的責任必須由各業務主管(LoB)負起。CIO應該證明DR投資是有理的，好讓LoBs可以爭取預算。要用數字來測量DR可能會有困難，但是在測試期間IT至少應該要測量任何一個解決方案的有效性。Krojnewski建議要讓BC/DR準備的階段性變化明確，並且測量花費在每一階段性變化占經營成本的百分比。建立標準的BC/DR服務等級，並且測量經由服務的災害復原花費占經營成本的百分比。每隔一年就評估這些服務等級的技術。
「買進在那些業務主管了解他們必須倚靠IT的公司裡變成更容易了，」Krojnewski說。「但就是有些公司跟IT的關係處不好，就很難得到DR預算上的資助。IT被視為是個成本中心，很難讓業務主管對DR有興趣，除非他們被管理的單位逼迫。」
在LaRose，Brinegar 在那次除夕機器中斷運行之後，他跑去找管理階層然後爭取到一項DR計畫。
「這兩天可以做的我們都準備好了，」Brinegar說。「只有6個小時，但是（管理部門）給了我一張支票，因此我可以做我所需要做的。我的職責就是「查看會發生什麼事而我們又將會損失多少錢。」這是我頭一次在還未離開辦公室之前就被告知說「買吧！」。通常都需要數個月的爭論且未決。管理部門已明瞭到我們是非常脆弱的。」
*公司自建或委外？
一旦計畫到位時，其中最重要的決定就是IT是否具有專業知識和資源可以實施該項計畫，或是有無必要尋求外部的援助。Forrester指出接受查訪的大部分企業瞭解到DR的執行會是個挑戰，比預期需要更多的功夫，在12個月中最少一次對意外的中斷有經驗。Gartner公司的Scott說只有四分之一到三分之一的大型企業委外DR，然而卻有四分之三的中型企業委外DR。
「也許投資發展完善的計畫是很沒意義的」Scott說。「何時風險會變得很高呢？對於中型企業而言委外是相當吸引人的。你可以降低整體的成本還可以保護你的生意。」
如果決策是要尋求援助，那麼考慮使用系統整合商或更完善的外包商。一些公司與更好的搭擋合作，而其他公司則是使用RFI/RFP程序。
在Telco Solutions的Bajaj說公司的決策很明顯的是要從自做磁帶備份轉換成委外DR。公司聘請位在多倫多的管理服務供應商Asigra。
「這是不必花腦筋理解的事情，」Bajaj說。「讓我們把焦點放在我們的核心競爭力。我們是個製造商，我們的競爭力不是IT。我們要做我們在行的事。當我可以以成本的50%委外時，我不想要支付6、7萬美金雇用人去管理這東西。我可不想要依靠一位員工；我寧可仰賴一家公司。」
*演練
演練具有某些風險－需要計畫的停機時間和可能的營運後果。但不演練更是危險。有效的DR需要每年徹底的演練，以及演練在任何變化之後對計畫的影響。確保故障復原情況在你需要它時，真的可派上用場。
不僅是技術，步驟也是需要排練，如此一來如果遇到真實的災害大家才知道要怎麼做。
「公司演練做的不夠，」Scott說。「如果你不演練那麼你就沒有方法；你會有安全的假象。」
Michael Ybarra是《CIO Decisions》雜誌資深的專題作家。
年初NTT東日本因為資料外洩，選擇公開向外洩受害者呼籲，並在網站、電視上提供相關管道作為官方對外的處理窗口。非常成功地處理企業危機，也是企業實現社會責任的成功例子。本文也將探討近來台灣發生的『重大』資料外洩事件，看看這些企業的應變能力及態度是否善盡社會責任？
台灣近幾個月發生許多重量級的資安事件，從『HINET主機兩百多萬筆帳號密碼遭竊 』、『疑似東森購物個資外洩給詐騙集團』『軍方機密資料論斤賣』、『海軍機密資料遭駭客竊取』、『YAHOO網拍帳號被竊良民變成嫌犯』、『HINET小額付款被拿來買線上遊戲點數』，經過大眾媒體的披露之後，雖然獲得短暫的關注，這些單位在發生事情之後的應變與處理態度則南轅北轍，從處理態度與反應中可窺出其想法目的與是否把社會責任當作一回事。
電子郵件伺服器遭到入侵竊走兩百多萬筆用戶的帳號密碼之後，卻按兵不動認為可以事過境遷，實不可取，主事者是否有其他更重大的原因，刻意蒙蔽事件嚴重性，以降低對於利益損害範圍，棄HINET用戶財產與個人資料安全如糞土。再者，後續發生的這些相關事件，難保不是跟帳號密碼外洩案有關，值得有關單位進行調查。以一個民營企業年淨利超過470億的超大型企業，竟然對於這樣的危機選擇不採取任何的應變措施，任其惡化，實不足取。『事過能境遷嗎？』在外商擔任危機管理的專家表示，危機處理在事前通常就已經有一套劇本，包括新聞聯絡窗口、回報層級等分工均已備便，事件發生之後就要按照危機處理計畫執行，並且在第一時間組成應變團隊與調查團隊進行處置。當然，一定要把原因找出來，檢討並且確認改善對策是否落實。
東森購物，止血，有效？
東森購物在控制損害範圍與影響期間，看似很有效？不過接連著被爆出相關案例之後，恐怕對於企業本身，顧客而言，都是更嚴重的傷害。專家建議的作法是，一定要有窗口出面說明，承諾在一定期間內由內部或會同外部的調查小組，完成單一事件的調查報告公諸於世，給一個大眾交代。至今，已經陸續發生疑似資料外洩的問題，但是調查進行是否已經有進度，何時會公布呢？大家還在等。
駭客入侵造成菁英人才流失？
國防部對於資料外洩事件的處理方式，因為已經到『千錘百鍊』的境界，在危機應變處理上堪稱模範單位，其處理方式就顯得比較有條理，至少會針對事件進行調查，調查完成後滿足媒體與大眾的求知慾，公布基本調查結果與後續的處置（通常是懲處）結果。資料外洩通常肇因於不遵守軍中的保密作業規定，將公事家辦，結果因為『努力辦公』、『位階重要』，所以被對岸鎖定偷竊資料，這些受害者，是否具備辨識電腦間諜軟體與木馬後門的能力與資安意識呢？絕大多數應該沒有？所以演變成一個新的危機，我們國軍的菁英份子，資料被偷、懲處、打報告退伍，造成菁英流失，算是網軍攻擊的邊際收益。值得國防部長官思考此一問題的嚴重性。
NTT東日本處理堪稱典範
經過調查之後，NTT東日本於網站上公布新聞稿，其中有幾個重點，事件始末與受害者處理方式、聯絡窗口。這是對於善盡社會責任的基本要求，企業必須要交代清楚對於事件的處置與表現誠意，而非打一場模糊的混戰。企業的社會責任在哪？ＮＴＴ東日本公司可以說是一個典範，同時顯現出日本人民對於『責任』的價值觀，已經與歐美並駕齊驅，值得我國學習。為什麼台灣白領高階的經濟犯罪越來越嚴重，動不動就是公司被淘空，或是內線交易等。為什麼日本一個官員只是費用報支問題就要被要求下台，甚至自我了斷呢？在與輿論與民眾關注度的不同，對於『社會責任』的定義不同。所以長久之後產生的結果就會會有兩極化的社會環境。輿論也是要扮演相對的制衡力量，但是輿論已經被無差異化、無重要性化，不論輿論說的多嚴重，當事者與犯罪者仍然感受不到來自社會大眾共同產生的抗拒與壓力。輿論應該要負起傳達真相、追蹤結果的社會責任。
傳統上，資訊安全的基礎是對個別區域進行各種限制。企業僅允許他們的員工去存取重要的資源。像是防火牆這一類的網路安全邊界(Network perimeter)產品因為可以在內部使用者與外部使用者之間建立非戰區域(Demilitarized Zone)而變得大眾化。
自從商業進入網際網路時代，用來辨識誰應該擁有權限來存取企業資源的特徵越來越模糊，有的時候更難以指明這些特徵。「企業網路安全邊界就如同一片蜂窩乳酪般開始被戳出越來越多的洞，」英國油漆、黏著劑以及特殊產品的供應商ICI的全球資訊安全主管Paul Simmonds說。Simmonds也是Jericho Forum的創立者，該論壇是討論安全邊界失效相關議題的使用者討論群組。
儘管面臨這樣的改變，資訊安全長們還是繼續專注在區分合法或非法的使用者來確保資訊的安全。雖然每一個人好像都同意網路安全需要被改頭換面，但是對於需要多少的改變以及什麼是轉換企業資料安全的最佳步驟，卻沒有一致性的看法。
以下是造成網路安全邊界失效的因素。第一，企業的工作環境採取了新的方式，員工已經不再只是穩固的停留在網路安全邊界內。相對集中在辦公室工作，員工現在大都是在遠端的環境中工作。「許多公司允許，甚至鼓勵員工在家或者其他像是熱點(hotspot)的地點辦公，」金融服務產業的連線供應商BT Radianz的首席安全官Lloyd Hession說。
為了讓企業流程更加流暢，公司將網路暴露給顧客，讓客戶可以更加的深入企業系統。例如，用戶可以存取技術支援資訊，並且修復他們的問題。電子商務系統讓潛在的客戶不只可以檢視不同的產品，還可以檢查產品是否可以被購買以及運送時間。
對於企業對企業(B2B)的電子商務來說改變更是劇烈，供應鏈變得更加整合在一起，而且公司和公司之間的資訊流更加的自由。「企業不再只是提供對於系統前端介面的存取；他們也開放像是ERP系統這類的後端應用程式，」Hession 說。
對於外包支援的成長也改變了人員工作時的職稱，原本屬於公司員工的工作現在也開始被外包人力所取代。在許多的案例中，公司安全政策的設計、實行和監控都交由外包單位來處理，而這樣也讓外包人員可以存取公司幾乎所有的資料。
結果是：再也無法清楚的區分出，誰應該及誰不應該擁有存取公司資料的權限。另外的問題是，為了系統正常的運行，必須能夠讓特定個人合法的存取部分資料，但是必須預防這些人處理像是客戶信用卡資料這類其它的敏感資訊。
為了面對這一系列複雜的問題，資訊安全長們必須開始在某些地方建立起安全堡壘。
最少在理論上，安全邊界確實在區分公司網路與網際網路上是有作用的，而且許多的安全功能也依賴這樣的理論。「許多公司已經在它們的防火牆上執行各種的安全應用(入侵偵測、病毒防護)，」市場研究公司Gartner的副總裁Rich Mogull說。事實上，許多的安全邊界系統協助企業避開了大量企圖持續攻擊企業網路的垃圾郵件以及間諜軟體。「防火牆是確保企業的網路頻寬被利用率最大化，以及提供像是服務品質(QoS)等功能的最佳位置，」ICI的Simmonds指出。此外，安全邊界產品可以讓公司去檢視它們的安全需求。「在我們的安全邊界內，我們收集我們如何執行的相關資訊，並且找出任何可能存在的安全漏洞，」Progress Energy的程式管理師Bruce Woods說。
供應商們也因應安全邊界的改變來修改他們的產品。許多的防火牆不再只是對資料進行網路層(network-level)的過濾而是進行應用層(applicationlayer)的防護。某些應用層防火牆能夠檢視透過Port 80傳遞的HTTP封包流量，並且依照封包內容來決定是否該阻擋這個流量。
還有其它的案例，如企業修改它們的安全政策。為了讓安全政策可以有效，企業將防護的安全邊界移動到更接近處理資料的末端，這些末端可能是使用者的桌面環境或者資料服務中心。「有許多的公司開始提供個人防火牆與病毒檢查程式給它們的員工，」市場研究公司Burton Group的副總裁Dan Blum說。此外，當資料進出資料中心的時候早就已經被設定要進行更多的安全檢查。
對資訊安全長們來說，這個新的環境帶來了新的挑戰。第一，這個環境中需要安裝各種廣泛的安全產品，但是因為這些安全產品通常都價格昂貴導致管理者不願意購入這些額外的投資。管理這些大量被配置的產品變得更加困難；一家公司在日常運作中可能需要更新上千個端點上的軟體。
像是Jericho Forum這類的團體認為以上的因素將會讓做為區分安全界線的安全邊界變得不再那麼重要。「安全邊界將會沒有未來；產業會將安全功能移轉到它們所屬的地方—應用層，」ICI的Simmonds說。長遠來看，我們相信分散式安全模組將會出現，這個模組的基礎會是發展更多的安全應用、資料保護並且包含更少的網路安全邊界。這些可信任的安全系統(trust-based security systems)依賴對於使用者的描述來完成像是驗證個人身分、進行付款、取得對敏感資料的存取權或者傳遞個人化服務的工作。
可信任安全系統的信任與否取決於以下三個元件：依靠元件(relying party)，傳統上會有一個應用程式來回應claim並決定自己能為使用者做什麼事；身分提供者(identity provider)，負責提供要求claim；以及使用者本身，使用者會決定哪些資訊可以提供給應用程式。
許多支援可信任模組的規格已經被制訂，像是Liberty Alliance已經制定了聯邦式身分管理(federated identity management)以及安全網站服務(secure Web services)的規格。
「在今日的商業行為中，信任關係只有在所有人(員工、客戶和供應商)都遵循相同標準的狀況下才得以運行，」Burton Group的Blum提出告誡。請採用被選取並獲得正式認可的各項應用，而不是採用每一項不同的應用。雖然安全邊界正在崩解，但是現在還不清楚安全產業將會如何因應這樣的改變。
「因為安全威脅正在改變，公司就必須使用大量不同的產品來保護它們傳輸上的安全，」Gartner的Mogull說。「為了安全，像是防火牆的安全邊界裝置會是用來保證傳輸安全的產品之一，但是安全邊界裝置的角色正受到質疑。」
日期 |
2008/04/16~2008/04/18 |
地點 |
台北世貿展覽1館1F 2F展區(A、B、C、D、H區) |
簡介 |
隨著國內外資安事件頻傳，行政院於日前公佈 2007 年十大熱門消費新聞排行榜，其中網路及電視購物產生消費者個人資料外洩，列為全年排行榜之冠，更顯示資料外洩的嚴重性，而原因多為系統設計問題、內部人員違反 ISMS 規範，以及持續遭到駭客入侵者（ 甚至是同一批網路犯罪集團所為?! ） |
活動連結 |
http://www.secutech.com/edm/sttw_is071227/index.htm |
微軟MOS國際認證-台灣區翊利得資訊總代理 版權所有 2001 Elite Information Technology Co. All Rights Reserved
│諮詢專線:02-2370-9977│經銷服務專線:099-111-9977 │ 傳真熱線:02-2370-9976│
│客服信箱:service@mos.org.tw│地址:100台北市南陽街13號9F│