SECURITY 7 以人為本-暢行無礙-政府

　　每天早上，當80個國家的8,000名員工登入他們的電腦時，螢幕上會顯現一個安全狀況視窗。美國國際開發總署（USAID, U.S. Agency for International Development）的員工必須閱讀完內容，並回答接下來的小考之後，才能開啟其他的應用程式。

　　這項安全體認計畫是出自CISO Philip Heneghan之手，他已將安全融入成該署的日常作業，在他來到該署之前，這個單位在2002年聯邦資訊安全管理法（FISMA）的評分為F。「這真是不能再糟了！」Heneghan笑道。「但這也很明顯地看出我們需要改變。」該署在過去兩年的得分皆為A+，2005更取得了滿分。

　　這的確是項成就，尤其對USAID那麼龐大的任務與IT架構而言，更是得來不易。該署為危險及偏遠地區提供經濟發展，並提供人道協助，範圍包括了塞拉利昂、蘇丹、阿富汗、伊拉克、海地及蒙古等。也因此，該署連結了55家Internet服務商，管理超過16,000個網路設備，100個防火牆，300個路由器，以及一大堆異質的應用程式。

　　但Heneghan對任務了然於胸：為政府機構的事業主管負責風險，並提供他們決策所需的數據。

　　在Heneghan加入組織之前，安全團隊可說是閉門造車。他們純粹只負責安全更新，卻未與組織其他單位有聯繫。更誇張的是，這井底的安全團隊還想阻止外部人士涉足技術安全事務，Heneghan解釋。

　　在Heneghan的照料下一切都改觀了。他拆除了該署的組織圍籬，並每月發行漏洞與風險分析報告卡給CFO、人力資源主管，以及各國主管等高層人員。「漏洞減少了75%。主管們完全不知道有發生什麼問題。」USAID的副資訊安全長George Moore說。Heneghan也改變了任命程序。當他承諾要保護系統時，他便要事業主管負責該接受或消彌該部門資料的相關風險。很快地，他們都參與進作業系統及資料庫的安全了。「他很強調評量、程序及身體力行。」美國國務院的CISO，John Streufert說。

　　知易行難。Heneghan首先必須建立出安全的基礎建設，他才能為事業高層主管，以他們了解的方式取得並展現正確的資料。在那時，Heneghan與其團隊建置了主機與網路IDS、弱點管理系統，以及用來蒐集並整合資料的SIM等。到最後，USAID成為了第一個能夠提供可依據事業風險弱點進行優先排序的安全方案的政府機構—即使風險發生在遠處也沒問題。

　　「我們需要所有的資料才能做出通盤的風險管理決策。」USAID的資訊確保主任，Bill Geimer說。「我們每6個月進行一次弱點掃描，告知他們結果，並且再次驗證，看看有哪些已更正過。現在我們則是每兩、三天就掃描一次。」

　　2004年12月，海嘯襲擊東南亞，造成超過200,000人死亡，2百萬人無家可歸，而該署的能力也獲得驗證。USAID必須在該地區立即建立辦事處。由於該區大多已被摧毀，無法以傳統的方式架設網路，Heneghan的安全團隊必須密切地監控系統的風險。

　　「網路的架設違反了所有的法則。但只要我們能監控風險，我們便能夠控制情況。到了2月我們已經能夠將風險減到可接受的限制了。」Heneghan說。

　　「我覺得我們總是不斷地提高標準。」Geimer說。「Phil百折不撓，是個有所作為的愛國人士。」