SP 800-18:信息技術系統安全計劃開發指南二
檢查安排( review schedule)
在不斷變化的環境中,只有周期性地檢查策略的流通性和準確性,做出修改以保持及時性,才能保持策略的有效性。正如第3章中提到的一樣,為了確保應有的注意,一個機構必須證明它一直都不停地嘗試去適應市場的需求。這對公有機構(政府機構、學術機構以及非營利機構)和私有機構(商業機構和盈利機構)都是適用的。所以,任何策略文檔都必須包含精心組織的檢查安排。在通常情況下,一個策略至少要一年檢查一次。策略管理員,應該從所有受到影響的團體、管理和員工的代表處索取信息,然后根據這些信息來修改文檔。
檢查程序和實踐( review procedures and practices)
為了便于策略檢查,策略管理員應該實施一種機制,能方便地對策略進行修訂并對其他相應文檔提出建議。建議的方法包括電子郵件、辦公室郵件或一個匿名投遞箱。如果這個策略是有爭議的,策略管理員可能會覺得匿名投票信息是最好的方法,以此來確定策略在執行的時候是否合適。因為在公開討論會中,很多員工對管理層感到害怕,而不敢說出對策略的真實看法。
一旦策略被提交檢查的時候,應當檢查所有的建議,并且做出有利于管理的改變。附加的檢查方法涉及到在檢查程序中引入用戶代表,并且允許他們直接提出對策略回顧的意見。在現實生活中,大多數策略都是由一個單獨的責任人起草,然后由一個更高層的管理者檢查,或者“簽署成為法律”,但是,這種方法不應該排除對員工意見的收集和檢查。
策略和修訂日期( policy and revision date)
在有些機構中,策略沒有一個起草時間和發布時間,使得用戶沒有留意到這個策略的生存期或者狀態。如果員工們遵從一個“過時的”策略,這種實踐會造成一些問題,包括法律問題,在反復無常的環境下,這種問題特別普遍。理想的策略文檔應當包含它的開始日期(如果有的話)和修訂日期。有一些策略可能需要一 個“日落條款”( sunset clause),特別是當它們用于同另一個團體或機構進行短期聯系時。有一個過期時間可以防止一個臨時策略變成永久的錯誤。
最后一點需要注意之處(A final note on policy)
為避免讀者認為需要策略的惟一原因是為了免于訴訟,強調策略的預防性是很重要的。策略存在的首要任務是告訴員工們,哪些行為是允許的,哪些行為是不允許的。開發策略的目的是促進員工的工作效率,并且防止潛在的尷尬情況。 最壞的情形下,一個員工可能由于不遵從策略而被開除。正如本章先前描述的那樣,員工在策略方面應該受到恰當的教育。如果機構不能保證這一點,員工可臺黽會為了錯誤的解雇而控告機構。刑事訴訟需要錢,機構可能就會因此受到經濟上的損失而歇業,然后其他的員工也會失去賴以生存的工作,沒有一方是最后的贏家。
在現實生活中,大部分員工出于本能愿意去做正確的事。如果在什么是允許的、什么是不允許的這個問題上給予恰當的教育,他們會選擇遵從規定行為。大部分人都更喜歡能提供公平待遇的系統。如果他們知道犯錯應受懲罰,當有人犯錯被抓到并受到懲罰時,就不會引起不滿。知道什么是禁止的以及會受到什么樣的懲罰,懲罰會怎樣執行,這是一個使員工專注于其手頭工作的好辦法。
除了法律規定的“沒有被禁止就是被許可”之外,策略就代表著公司內部的法律。盡管在法律上反過來說也可以,但是策略卻不行,并沒有“沒有被許可的就是被禁止”的默認說法。