D4 的營運題最麻煩的是,每個選項都像日常維運會做的事,常見的失分是把相鄰的兩個觀念對調:事件當成問題、營運日誌當成安全日誌、參照完整性當成實體完整性。
下面 10 個觀念分成 7 組,每個都寫考試怎麼問、選項怎麼騙人、怎麼分辨,例子用的是自己寫的練習題。D4 與 D5 合計占考試過半,值得先練熟。
事件管理與問題管理的分工
1. 事件管理:先恢復服務
服務中斷或品質下降時,目標是盡快恢復、降低對營運的影響,常用手段是暫時性替代方案。處理順序看衝擊與急迫性,不看先來後到或通報者的職位;處理不了就依升級程序往上移交。
2. 問題管理:找根因,防再發
查出事件背後的根本原因,提出永久解決方案,只修症狀不夠。根因已查明但還沒永久修復的,叫已知錯誤;這段期間事件管理靠暫時性替代方案撐著,永久修復要走變更管理。別和營運持續計畫混:IT 復原期間讓業務照常進行的替代作業,屬於營運持續計畫。
變更管理與緊急變更
3. 變更:上線前要有核准和測試
流程是申請、評估、核准、測試、實施、檢討。變更由業務與 IT 管理階層的代表核准,提案的人不能核准自己的變更,開發人員也不該自己把程式放進正式環境。稽核人員查未經授權的變更,要從正式環境實際改了什麼,往回追核准紀錄;從變更單往下查,只查得到有申請的那些。
4. 緊急變更:先做,手續事後補
救火時等不了一般核准,可以先實施,事後補核准、紀錄與檢討;稽核人員看它有沒有被拿來繞過正常流程。臨時發給的高權限帳號(又稱救火帳號)要經授權、限時使用、操作自動留紀錄,事後由別人審查。
修補管理與回退計畫
5. 修補:先測再裝,不能拖,也要有退路
修補管理是辨識、評估、測試、部署、驗證。辨識靠資產清冊,不在清冊上的資產沒有人保護;進正式環境前,要先在測試環境測過並走變更管理。選項會從兩頭設陷阱:沒測就上線是錯,拖著不修也是錯;「立即」安裝沒測過的修補程式也不是最有效的答案。已終止支援的軟體沒有修補可裝,要規劃汰換,過渡期用隔離等補償性控制。
回退計畫是變更或上線失敗時,把系統退回變更前穩定狀態的預定步驟,要在核准前備妥;重大變更缺少回退程序,是常見的稽核發現。回退程序屬於變更控制,不是事件管理。
影子 IT 與終端使用者運算
6. 影子 IT 與終端使用者運算(EUC):先盤點,再依風險納管
終端使用者運算缺少變更控制、測試與文件,影子 IT 讓資料流到不受控的環境、不符法規。做法是訂政策、建清冊、依風險分級,稽核人員先確認清冊是否完整;用在財務報導或重要決策的試算表,要比照應用系統管控。
營運日誌與日誌審查
7. 營運日誌:盯的是作業,不只是資安
主控台、作業排程、錯誤和操作員日誌,記的是處理有沒有出錯、作業有沒有失敗。稽核人員看失敗的作業有沒有被記錄和調查、重跑有沒有經核准(擅自重跑可能重複處理);操作員的人工介入與覆寫要記錄,由主管覆核。
8. 日誌:要有人看,也要讓管理員改不掉
記了沒人看就不算控制,審查者要獨立於被記錄的人。系統管理員與資料庫管理員不該能改或刪記錄自己行為的日誌,做法是即時送到集中的日誌伺服器,或存放在寫入後不能修改的媒體。資料庫自己的稽核功能管理員關得掉,要用獨立的監控工具。
服務水準協議怎麼稽核
9. 服務水準協議(SLA):指標要可衡量,驗證要靠獨立資料
協議訂明服務範圍、可用性、回應時間等可衡量的水準。稽核人員看有沒有定期監控,並用工單日誌、停機紀錄或主動輪詢驗證,不能只看服務提供者自己報的數字;稽核人員只檢視協議,不替管理階層代擬。
資料庫的完整性與並行控制
10. 參照完整性管表與表的關聯,並行控制管同時存取
外來鍵的值必須對得到被參照表的主鍵,才不會出現孤兒紀錄;主鍵不能重複也不能空白,是實體完整性,兩個名詞容易混。並行控制用鎖定避免同時更新互相覆蓋,沒有它會遺失更新,鎖定不當則可能讓兩個交易互相等待而卡住。