ChevronTexaco的資料保衛戰﹣讓資料及原油都順暢流動

風險可是會滲入到這位能源大亨為開採油礦所做的投資裡頭，意即可能會危及到將在礦區矗立長達30年的油井鑽塔設備。不但如此，風險還會威脅到每年數百兆計的研究資料，另外，風險更是伺機跟隨在每樣IT政策的後頭。 然而，當事業單位們突然就說要作一些大膽的冒險時，資訊保安主任（Chief Information Protection Officer）Richard Jackson也不能說NO，原因在於，這位Richard先生從不說NO！
「我們團隊之所以存在的原因，就是細細思量相關成本和風險的因素之後，規劃出在安全範圍內的執行計畫。」，Richard Jackson繼續說，「我們的生意就是找原油！我之所以存在也是由於這些各事業單位的關係，所以一定要讓他們成功才行。而且，我們的組織架構是屬於相互支援的關係，並不是處於敵對的狀態！」
其實，Jackson的想法是，在ChevronTexaco既有的作業程序和政策之中，開挖風險評估的壕溝。接著，在未來數月之內，公司所有資訊相關風險的強化效果便會湧進，這樣不但可以把研究資料管好，並且IT的採購流程和管理協調也會較為順暢。此舉無疑是一個劃時代的開端，而它所代表的意涵，就是做好企業資訊的保護已經成為所有企業程序裡頭，一個不可或缺的部分了！
「相信在短期內，我們的重點就會轉放在風險管理和作業協調性方面，這樣一來，也就能提供合作夥伴們更好的資料調度方式。」，Jackson繼續說，「要是我們未能明瞭風險，也不懂得管理風險的話，這樣可是會讓資金一下子消耗殆盡的。」
政策補強
ChevronTexaco委任決策小組開始對內部資料管理程序和政策作一個檢視。而現在重點策略就是，ChevronTexaco得配合補強政策以保存每年500TB的礦區研究資料，然後消除其中資料重複的部分，接著還能將資料保護權責做出更好的調度才行。
雖然如此，但固有政策如今已是一灘死水，而在某些時候，風險也未能再次評估。就像五年前被認為是高風險的事情，在今日看來，可能已經降低許多；相較來講，五年前的未知事物也應該要列入我們考慮範疇之內才對。
「在每項政策執行前，都要宣導相關風險的存在，並且我們要據此設立企業執行策略。」，Jackson接著說，「這些政策會再修正並補強，員工可依循一些基本的準則來管理和使用資產設備。」
事實上，Jackson的團隊已經負有保護隱私和IT安全政策的職責，並且也將要在資訊管理的部分以及文件的分類、保存和毀壞上擔起責任。
Jackson說，智財權的保護將來也要納入他的職權範圍。在ChevronTexaco孜孜不倦鑽研自家技術的同時，也要懂得保護這些技術，以免遭其他團體以訴請侵犯專利的理由來控告企業！另外，針對軟硬體版權的審視檢查則是為了要避開那些控訴者，因為他們可能會藉由法律途徑的手段來消耗企業資源。
將這些資訊風險因子合為一體，Jackson期盼可以大大地影響採購流程，以便可以儘早將風險的概念放進所選定的程序裡頭，而非事後才將安全掛在嘴上。
「我們採行途徑是先邀請夥伴加入採購流程，並且以健全的方式討論出政策面和企業體的需求。」，Jackson目前要回報CIO該公司的資訊保護事宜，也要跟CTO報告各領域之間的協調關係，他繼續接著說，「我們期待在討論之中可以讓公司以及各事業單位都有共識，這樣一來，事情絕對會圓滿順利的！」

資料問題牽連甚廣
可是，在ChevronTexaco，任何風險評估報告的優先權再怎麼高，也高不過原油探勘這個因素。你知道的，油井鑽塔並不會移動，一旦這些十層樓高的怪物扎根在油槽的上方，它們就得在那兒待上25～30年啊！
不過，在那之前，從地震研究報告以及油田模擬中所獲得的龐大資料會先被蒐集起來，並且受到妥善的保存跟保護。在下達鑽油的命令之前，決策者們必須信任這些資料的完整性；他們必須相信資料沒有遭到惡意或不小心修改到才行，而且如果有必要的話，在世界任一角落也可以馬上獲取到最原始的資料檔。
「決策品質絕對是關鍵要素！」，Jackson接著說，「不過，做出好的決策需要不少資料源頭，而其中之一，就是要有好點子！」
在2001年Chevron與Texaco合併之後，造成眾多不同的部門出現，導致許多資料在管理面上出現窘境。當企業內部的科學家持續進行研究，資料也依然源源不絕地輸送進來，可能隨時都會有50個3D地震模擬計畫的案子在進行著，而光是這些研究就會有350TB的資料量產出。
接著，對油田的模擬測試做完之後，還得決定哪些地方是我們所要的？另外，將原油變動情況再加上後續生態復原技術等相關資料，如此一來，每年又得要增加10TB左右的資料量。像是一個近海油台每天就會有10GB的資料產生，而資料過濾中心也能從眾多的地震儀中萃取出1TB的原始資料。
不過，這些都是為了鑽得原油所做的事前準備。
「在眾多資料中找出必要資訊才是最大的挑戰所在，而且得到最正確的版本時，還得有把握這個版本絕不改變！」，Jackson繼續說，「我們總是處處留心資料的機密問題，因為資料本身就是一項會回饋企業的重要資產。要是資料外流的話，那麼不但折損它對企業的價值，而且已投入的資金就等同浪費掉了！」
另外，Jackson藉著回歸問題的基本面將風險值降到最低──也就是他所說的「基本原則論點」。傳統存取和授權控制的方式是，只當有人需要時才能進行存取，而企業政策就是分配每個事業單位所要負責維護的存取清單。而存取資料庫的相關記錄也需進行定期監控！ 「要是把握住這些基本原則，風險就很容易控制住了！」，Jackson接著說，「在風險失去控制和影響到企業之前，你必須要採取行動決定如何把資訊管理的更好！其實可以參考這些案例，它們幫助我們更準確地找出所需資料，並且在存取控制和儲存方面也助益良多。」

相輔相成絕妙關係
在ChevronTexaco，資料管理結構的基石，其實指的就是在穩固狀態下所存放的大量資料，這些資料同時也形成了某些管理因素和過往記錄的研究問題。以IT層面來說，資料儲存和資料安全的關係也許不是那麼地密切，但ChevronTexaco目前正在改變這種狀況！
Jackson已經看見資料儲存和資料安全之間的關聯性，他了解到，以往利用大型主機做為通往受保護資產的入口，在今日已不可行了。因為網際網路已和外來者銜接起來──即使是締約的盟友也有權利存取到一些敏感的資料──由於這層關係的緣故，削弱了原本的防護界線，並且迫使管理人員要更加注意資料的安全性。
「隨著時代進步，資訊電腦的基礎架構變得更加地複雜，使得即使有心幫忙的員工也落得困惑不已，進而犯下致命的錯誤！」，Jackson接著又說，「儲存在磁帶和資料庫之中的資料，就是可以為企業帶來利潤的資產，而對於受保護的資料和自家私有技術來說，用合適的方式來對待它們，就是資訊保護管理的正確方法！」
由於協調管理問題和911攻擊對企業的生存發展影響的關係，再加上災難復原，以及發生在ChoicePoint、Bank of America、Lexis-Nexis，還有眾多美國大學身上的安全失序事件，這些因素更促使資料儲存和資料安全二大法則，合而為一！
資料是有其生命週期的，它會隨著「老化」而漸失價值，如此也迫使IT經理人會以數種方式來加以管理。諸如要了解企業流程、實體安全的必要性以及維持企業資料機密性和完整性這些事情，現在已經被資料儲存專家通通拋諸腦後，取而代之的是Enterprise Strategy Group資深分析師Jon Oltsik所提出的資料生命週期管理（ILM, Information Lifecycle Management）。
「資料儲存著重的是資料生命週期管理，而不是單靠嘴巴說說的安全！」，Oltsik接著說，「不過，這機會正好可以讓資安管理者揚棄這種百老匯式只說不做的做法。失去安全性的ILM等同沒有資料生命週期管理可言，掌管儲存資料的人應該得跟上這種觀念才對！」
資料存放在網路上的趨勢已經嚴重地影響到資料儲存和資料安全之間的互動性。目前，儲存在IP及光纖網路上頭的資料，已經與其他網路行為並列具有等同的風險！
Oltsik也提到，掌管儲存資料的人不能老將安全只考慮在儲存技術層面，而要擴展到主機或是網路層面才行。
要保持資料的完整通常是藉由備份來達成，但是，完好的備份程序卻通常不被考量進去，至於誰擁有存取資料的權限？什麼時間存取的？是否資料有遭竊的疑慮？這些也是處在跟前者相同的情況。
Jackson必須要在這些風險和合作夥伴的成就之間取得一個平衡點，另外，眾所皆知的風險管理，目前也是儲存資料的管理者所要必備的知識！
「我認為這是事物必然的演進過程！」，Jackson繼續說，「從事這一行的人應該要了解這一點；另外，我許多同輩的朋友，也將更多風險的因素列入他們所擔負的責任之一，因為這是一定要去實行的啊！」
MICHAEL S. MIMOSO是Information Security雜誌資深編輯，如對本文有任何的批評指教，歡迎來信至iseditor@asmag.com。