美國Cyber Storm檢討報告
Monday, September 18, 2006, 00:24 - 資訊電腦, 資訊安全
美國國土安全部的國家網路安全辦公室(National Cyber Security Division, NCSD)在今年2月6日到10日舉行了國家網路演習(National Cyber Exercise)─網路風暴(Cyber Storm)。這個演練是第一次美國政府主導的大規模網路安全演習。
根據國土安全部最近發表的一份報告指出，經過這場演練，發現了八個主要與參與演練的單位有影響的發現。
- 跨機關協調。雖然在這次演練中跨機關事件管理小組(Interagency Incident Management Group, IIMG)與國家網路應變協調小組(National Cyber Response Coordination Group, NCRCG)被啟動且有建設性的互動，但其作業與協調程序仍需要更進一步精煉。政府機關與民間單位內部對啟動這些單位的門檻或縱橫交錯應有更廣泛的了解以便改善跨機關的協調。
- 緊急應變計畫、風險評估與角色及責任。正式的緊急應變計畫、風險評估與角色責任定義在整個網路事故應變社群中應持續強化。現有的程序應讓參與者清楚與徹底了解，讓應變能即時並妥適的協調。
- 政府及非官方多重事故的關聯性。遍及多個基礎建設與政府及非官方部門的多重事故之關聯性仍然是一個重要的挑戰。網路事故應變社群過去在處理單一的威脅/攻擊上很有效，而對多重威脅/攻擊也一定程度有效。然而大部分的事故都被當作單一與獨立的事件來處理。當要嘗試去發展一個整合的情境認知圖像及結合跨領域與攻擊方式影響評估時仍存在有許多挑戰。
- 訓練與演習方案。一個建立完備的訓練及演習方案將能夠強化組織對網路事故應變、角色、政策及程序的認知。
- 網路事故(cyber incident)間的協調。隨著網路事件(cyber event)的數目不斷增加，應變協調越來越有挑戰性。這也突顯出跨越整個共同體(community)間合作與溝通的重要性。
- 應變與資訊存取的共通架構。應有一個同步的、連續的資訊流讓網路事件關係人可隨手可得，以便創造出一個可以隨著應變及衝擊而發展與討論的共通架構。早期與進行中的資訊存取強化了國內及國際網路應變共同體的資訊分享關係。
- 策略性的通訊與公眾關係計畫。向公眾發佈的訊息必須是共同合作的應變計畫(ollaborated contingency plan)與事件反應中整合的一部分，以便提供關鍵的資訊給應變的共同體，並強化大眾在特定的狀況下採取適當的個人保護或應變行動。
- 程序、工具與科技的改善。改善的程序、工具與科技 ─ 針對網路攻擊情節對於實體的、經濟的與國家安全影響的分析與優先排序 ─ 能夠加強應變的品質、速度與協調性。這在整合或聯串的攻擊或推論的例子中特別真切。
[ 發表回應 ] | permalink
看「全世界都在看」的新聞
Friday, September 15, 2006, 10:39 - 資訊電腦, 網際網路
在「自己也需要整合」一文中提到要培養知能整合能力的一個要點是要養成用心聆聽的習慣與能力，不過除了聆聽同儕的想法外，如果能「聆聽」全球同一個領域的人認為值得關注的新聞，我想對於整合自己形成更高層次的知識或觀點是很有幫助的。目前有一個叫做digg.com的網站，就是透過匯集群眾的智慧，讓廣大的用戶來決定新聞是否newsworthy。
簡單的說，digg.com是透過兩道集體過濾的機制(collective filtering)來達到集體推薦的效果。首先每天都會有特別熱情的會員，從全球發生的新聞中digg(挖掘)出他們認為值得推薦的文章，這是第一道過濾。第二道過濾的機制是由digg.com的註冊會員投票給自己喜歡的新聞，愈受歡迎的新聞，就會被移到愈醒目的區域。
很巧合的，這樣的機制與現在Web 2.0的趨勢是不謀而合的。過去各大入口網站的新聞網，都要仰賴經驗豐富的編輯，從廣大的新聞來源中，替讀者篩選出值得閱讀的素材，但digg.com遵從Web2.0服務供應商只提供平台這樣的原則，不聘用任何編審人員，由網際網路的使用者共同創造所有的content。這樣的做法似乎相當的不錯，比如說我今天在digg.com的Technology/Security分類中看到，排名第二的是"Great anti RFID site"，連進去之後發現有相當多的RFID資料值得參考。但到google去查，如果不知道怎麼查，很可能並不容易發現這樣的網站。因此某種程度來說，這個網站也符合「自己也需要整合」中提到的第三個要點：努力以這些知識為基礎，形成更高層次的知識或觀點，而且是站在廣大網際網路群眾形成的巨大肩膀上去提升自己的觀點層次。
[參考資料：Intelligent Times, 2006/8, pp.24-27]
[ 發表回應 ] | permalink
自己也需要整合
Friday, September 15, 2006, 10:02 - 管理自修筆記
管理大師司徒達賢在他整合的實踐一書中提到，社會需要整合，不同組織之間，或同一組織之內的各單位也都需要整合。但「自己」其實也是一個需要努力去整合的對象。所謂「自己」包括本身的價值、知能與認知等。其中知能的整合與工作能力有極大的相關，而且所處的位階越高，整合的能力越重要。
要培養知能整合能力的四大要點包括：
第一、要養成用心聆聽的習慣與能力。
第二、整合者不能只是被動的學習，在聆聽的過程中，必須同時進行思考、澄清與驗證。
第三、應努力以這些知識為基礎，形成更高層次的知識或觀點。
第四、設法將此一高層次的知識或觀點，運用於當前的決策及行動上。
而這四大要點要能夠實際落實，整合者本身必須具備具備邏輯清晰、廣博周延的觀念架構，並在日常工作中不斷演練此一過程，並培養開放的心胸及態度，才能虛心聆聽別人未必成熟，也未必正確的看法。
[ 1 回應 ] ( 19預覽 ) | permalink
管理學返樸歸真
Thursday, September 14, 2006, 23:48 - 管理自修筆記
我看過第一本彼得杜拉克的書是商周出版的杜拉克思想精粹 ─ 工作的哲學。這是一本精選集，只有薄薄的219頁，但是我在書店翻閱這本書時，卻被這本書給吸引住了。我發現彼得杜拉克雖然是管理學的大師，但他書的內容卻都是一針見血的基本觀念所組成的，而這些基本觀念對每天被工作壓的喘不過氣來的上班族來說，可能都被工作淹沒而完全遺忘，或完全沒有去思考過。
比如說，在自我成長的章節裡，彼得杜拉克認為「老闆不負責讓你成長」，要對自我成長負起責任的，是自己而不是老闆，這點我相當的認同。我覺得更精確一點的說，去掉專業程度很高的工作可能無法避免要透過在職訓練去學習外，很多基本的工作態度，或是工作上的方向，員工都應該要有自己的想法。但我常常聽到很多人在被交付工作時常常都非常的被動，當被主管問起工作的現況時，就會開始推託長官沒有講清楚工作應該怎麼作，好像小學生要老師寫好聯絡簿今天回家要寫生字50次一樣，完全不去思考，更談不上隨著工作去成長了。彼得杜拉克認為「老闆不負責讓你成長」外，他也提到每個人也應該捫心自問：「我應該專注於什麼事情？我把這件事做到無懈可擊後，它會讓組織及個人更上一層樓嗎？」
我發現工作與管理上有一個最基本的原理：Complexity Kills Everything。較複雜的管理學絶對有其價值，但常常你必須有願意支持的老闆，較堅強的管理團隊與願意學習的員工，否則往往導入這些管理學常會適得其反，因此有時把握住一些基本原則，在管理工作上返樸歸真，也能夠得到意想不到的效果。
[ 1 回應 ] ( 24預覽 ) | permalink
MIT的駭客紀念911
Wednesday, September 13, 2006, 23:14 - 資訊電腦, 資訊安全
之前在談到社交工程的幽默案例時曾談到的麻省理工學院學生的駭客事績。Hack這個字眼在現在網際網路的時代已經被代表負面的入侵意義，不過在麻省理工學院的傳統，Hack這個字代表的是聰明的、良性的與道德的惡作劇或有實用價值的玩笑。而且這些惡作劇或玩笑對於這些MIT的學生都有一定的挑戰性，同時對MIT甚至是全世界都有娛樂的效果。在MIT，Hack這個字眼與利用電腦或電話入侵沒有任何關係(利用電腦或電話入侵在英文的正確字眼應該是cracking)
MIT的學生維護了一個MIT Hack Gallery的網站，在這個網站上把MIT學生做過的Hacking英勇事蹟都記錄下來。最近一起的Hacking事績是MIT的學生為了要紀念911五週年，他們在9/11的早上在MIT的Great Dome的圓頂上放了一台7公尺長的救火車。雖然MIT沒有救火部門，但這台救火車的旁邊還是寫個MIT FIRE DEPT.。許多抬頭看到放在圓頂上的人認為這是為了要向全美國的消防人員致敬。
;)
;)
[ 發表回應 ] | permalink
前一頁 下一頁
