搜尋此網誌

2009年5月30日 星期六

稽核人員,你知道你被騙嗎了?

有當過兵的人都知道,軍中不管做大大小小的事情,總有一堆表格、資料要填寫。我當兵時負責機房/設備的管理,要填寫的表格,包含輪班表、值勤記錄表、訪客紀錄表、日常保養表(日、周、月)等等,可說是每天有填不完的表格。這些表格,往往也是各級長官的最愛,沒事總要來進行一下所謂的督導。督導除了檢查表格外,機車精實一點的長官還喜歡到處問、到處摸。例如有些長官甚至會檢查絕緣用的凡士林是否塗的過厚或過薄,也因此當時只能抱著如履薄冰的精神,不敢有一絲疏忽。如果運氣好,駐地剛好位於觀光勝地,三天兩頭就有長官前往督導也就稱不上是甚麼奇怪的現象了。

這些督導跟我們所謂的稽核意義其實是一樣的,就是為了確保所有訂定的規範是否有確實遵守,又是否有意想不到的問題發生。稽核在這幾年,因為 ISMS 的風行而受到相當的重視,當然有很大的一個因素就是政府等公務機關的推動。稽核的方法除了看書面的資料外,當然也同樣必須透過觀察、詢問加以確認。但是跟督導的情況不一樣的是,軍中長官通常是從基層幹起,所以對於業務的進行都有一定的實務經驗(至少我當兵的部隊是這樣的)。也就是說要看甚麼、問甚麼、聽甚麼,這些長官可是了然於胸。如果你想欺騙,往往也不是那麼容易(除了書面的資料可以稍微”修飾”一下)。而稽核,不管是第幾方的稽核,稽核人員不見得有實際操作的經驗,甚至可能連足夠的技術背景都沒有。另外,以現在資訊安全涵蓋範圍之廣,就算是有實務經驗的稽核人員,也多是僅限於其中少數幾個部分。當然,稽核是一門專門的學問,有它特有的專業要求。是不是需要有所謂的操作經驗或技術背景才能做好,倒也不一定。但是不熟悉表示被”呼嚨”的機會就會增加,而且是會大幅增加。有句台灣的諺語說得好,『軟土深掘』大概就是這個意思。

雖然身為資安從業人員,道德的遵守是職業的重要素養之一,但是我們也不能因此過於樂觀。更何況,人在江湖總有身不由起的時候。像是這近一年來景氣持續的低迷,或多或少都會影響到資源的利用與分配,所以業務受到影響也是理所當然。但是,稽核可不管這麼多。有做到就是有做到,沒做到甚麼理由也說不過去。而根據近期一份國外的報告顯示,有高達 20% 的資安從業人員承認自己或同事曾經為了通過稽核而說謊。這種數據通常實際的數字只會更高,因為不會有人假裝說謊,但是假裝誠實的人倒是有那麼一些。

我自己沒從事過稽核的工作,所以沒辦法說稽核該怎麼做才能了解實際的狀況,甚至是對組織有真正的幫助。但是我想最基本的要求是稽核跟被稽核的人,不應該處於敵對的狀態,而是應該採用合作的心態,共同找出問題並解決之。要做到這樣,除了雙方要改變外,更重要的是組織也要改變,畢竟員工的心態(至少做法)往往是受到公司文化的影響。如果公司就是鼓勵(或默許)稽核人員在雞蛋裡挑骨頭,或是只要求被稽核者敷衍行事(通常會發生在外部稽核,但是內部稽核也有可能,因為需要稽核的記錄),就是神仙也改變不了雙方緊張的關係。在此情形下,說謊也只能說是早可預期的反應了。如果稽核只變成了虛應故事,甚至是諜對諜的情節,那實在是很無意義且可悲的一件事。

相關連結:

About