搜尋此網誌

2009年4月19日 星期日

治本?治標?

雖然我有好一陣子因為私人的原因沒有更新部落格,但是對於前一陣子熱門的話題之一 – Conficker - 倒也是略有耳聞。相關的報導與分析已經多如過江之鯽,而且其真相到現在也還沒個譜,所以 Conficker 本身並不是我這篇文章的重點。我剛好看到另外一篇報導,內容是有關 RSA 與 IDC 分析師針對這類問題提出來的看法與見解。每個人本來就有自己不同的立場與看法,所以也不是說因為看法不同就提出質疑,我要探討的是文章中提到所謂”治本”這件事。

兩者都試著說明自己的意見才是治本的方法,因為治本感覺比治標好,而且大家通常對於治本也比較不會要求立即性的效果。再加上治本往往給人的感覺也比較有學問,所以不管對廠商或分析師而言都是很重要的一件事。有這麼好康的事情,大家當然是卯足勁證明(說服)自己的方法就是治本之道,只是基本上我認為對使用者而言這是沒有多大意義的事情。理由如下:

  1. 問題本身可能還有更深層的問題要解決,而這樣的情況會一直下去。所以針對淺層問題的治本之道,對深層問題而言就變成了治標的方法。嚴格來說,除非真的找到最基本的問題,否則一切方案都是治標。
  2. 資訊安全的基本問題很難被發現,或者說就算被發現也有很大的可能性是無根本解的。我們以前常聽到一個笑話是避免系統受到網路的攻擊,最根本也是最有效的方法就是把網路線拔掉。那要避免一個系統受到攻擊,鎖在保險箱是一個做法,但是很可惜保險箱也不是100%安全。而要保護資訊安全,不使用資訊(或避免資訊的存在)可能是最根本之道,這就是實體銷毀的概念。只是這個方法對不再需要的資訊有效,對還有利用價值的資訊明顯無法施行。這些問題再怎麼樣都比其他問題來的深層,治本之道有嗎?
  3. 就算真的找到了根本的問題,也有了治本之道,那就只管治本之道就好了嗎?幾乎所有人都同意教育是培養道德與守法的治本之道,但是現實環境中哪個國家沒有使用法律這類治標的方案來約束行為?甚至我們有所謂的亂世用重典,而不是亂世推教育。原因在於避免問題的擴散與減緩其影響,往往是最需要先被滿足的。治標與治本來就有不同的目的,而兩者之間的並行與配合,往往更能夠提升推行的效果。

所以治標還是治本對使用者來說並不是最重要的問題。問題還是在於找出組織現況以及預期的目標,據此找出差異與最急需加強的部分,然後導入C/P值最高的方案(Cost-Effective)。當然,我並不是說不要去考量深層的問題。只是這些深層的問題要不要解,要怎麼解,憑據的依舊是針對自我組織所考量的結果,而不是所謂的治本還是治標。

事實上,近一步來分析這個問題,廠商提出這樣的看法有兩個比較可能的原因。第一個是廠商確實抱持這樣的信念,也根據這樣的信念希望解決客戶的問題。這類的廠商我認為具備了職業道德,並不是惡意的出發點,而且也往往能幫客戶達到預期的效果。另一個原因是廠商因為希望導入特定的產品/服務,所以就編了理由來說服自己/客戶。這類的廠商的出發點就有很大的爭議,甚至最後能不能發揮預期的效果都有很大的疑問。如果你是使用者,治標還是治本,就當作是廠商或顧問立場的表達,除此之外就別太放在心上了。而如果你是廠商,你會怎麼選擇呢?

相關連結:

About