电脑风险防范

第三节　电脑风险防范

一、电脑灾难危险

电脑已成为企业经营管理必不可缺的信息系统，假如社会上，大部分电脑出现故障，不能正常运转，整个经济就会瘫痪。一个企业的电脑系统发生风险事故，如果不能及时修好，这个企业的生产经营活动也难以运行。可见加强电脑风险的防范，确保电脑正常运行，是安全风险管理的一项重要内容。

（一）电脑故障的普遍性

据某大学调查研究结果显示，每五个公司中就有一个发生过电脑严重故障问题，《个人电脑杂志》做的一次调查显示，在13000台桌式个人电脑（PCs）中，1/3以上早期就已出现了故障。另一次研究，即1992年的生存调查（Survive Survey）（图8-4）显示，许多种不同的灾难都可以引起计算机故障。

图8-4　电脑故障起因

英国国家计算中心所做的信息技术破坏调查表明，在过去的两年中，80%的英国公司发生过计算机安全遭到破坏的事件，损失12.5亿英镑。调查还表明，尽管有人努力警告各公司要意识到这些风险，安全遭到破坏的事件还是增长了12%。

电脑本身也不是完美无缺，近年来故障也时有发生。例如，索尼公司就召回了44万台有问题的笔记本电脑。

表8-4　一般认为电脑故障会产生的后果

资料来源：拉夫伯勒大学。

（二）电脑故障造成的影响

1．电脑故障的危害

IBM估计，70%的公司由于严重计算机故障在18个月内停止了营业，依赖自己的IT系统的公司可能因之使业务陷于停顿。使用实时处理（如保险公司）的大型组织可能有一个由专业人员管理的系统，但中等规模的公司直到灾难降临才意识到自己对电脑的依赖性有多么严重。如果公司只是损失了两天的信件，问题不会有多严重（当然，这可能打断一个要申请者的行动）。但是，如果公司一个月都不能与客户进行业务来往或开发货票，损失就严重了。

现在越来越多的信息放在笔记本电脑和台式电脑上，这带来了另外一个问题。公司应该检查什么信息放在各单个台式电脑上，因为把个人电脑纳入恢复方案的公司，不到公司总数的1/3。

2．电脑故障的影响

某大学的调查显示，计算机故障最常见的后果是：损失营业额、现金和信誉，这无异于直捣公司的心窝。保险公司针对计算机失窃的公司也正在制定更严格的保险条件。现在，因计算机失窃要求赔偿的一些公司必须自己先支付第一个1万英镑，这样一来，由于担心要在自己的保险单上加上种种条件，一些公司不再向保险公司报告失窃事件。

3．评估电脑价值

可能由于操作失误、病毒、停电或故意破坏数据发生丢失。计算机出故障可能会有灾难性后果。现在计算机代表了美国各大公司资产的13%，在金融、通信和医疗等部门，这个比率是25%，因此计算机故障对公司有很大影响。

KPMG对323个公司所做的调查表明，83%的大型主机用户、77%的中小型机系统和27%的PC机用户认为，他们的计算机系统对他们的公司至关重要。这次调查显示这323个公司有359次因计算机出故障而停产。

公司一定要评估自己的计算机数据的价值，如果能使用这些数据，对公司业务会产生什么影响。据说，一年之后，计算机里储有的数据的价值是计算机本身价值的10倍。一个公司只有意识到自己对数据的依赖性才能认真地对待保护计算机的问题。依赖性越大，越要小心管理数据。

如图8-5所示，计算机有五种主要风险。

图8-5　电脑风险

4．影响电脑运行风险排序（见表8-5）

表8-5　影响计算机运行的可能性风险排序（下一季度时间范围）

二、电脑风险类型

（一）计算机失窃

丢失硬件公司就不再有能力处理数据。数据丢失也意味着公司可能不知道谁欠自己钱，或自己收到过什么订单，或客户让它生产什么产品。

（二）不经允许读取数据和从互联网上进入公司系统

这有两种形式：一名员工可能出于好奇或恶意想读取机密数据；一名外来者，通常是一名黑客，也可能想读取你的数据，结果是丢失公司机密，或丢失数据，黑客也可能留下病毒在你的系统里。

（三）使用未经审查的磁盘或电子公告栏

如果员工拨通电子公告栏或使用游戏软件，病毒可能会复制到公司网络上。

（四）硬件或软件错误

调查显示，电脑经常会发生错误，第一次安装时发生得比较多。在第八章，我们也讨论了火灾和水患的问题。

（五）操作失误

员工经常意外删除文件，或把文件归错档而损失数据。

三、电脑风险防范

（一）人为形成风险的防范

1．计算机经常失窃风险防范

沃灵顿（Warrington）的技术公共有限公司在几周内被盗两次，丢失价值50万英镑的硬件。由于小偷知道被偷走的电脑很快就会换上新的，他们经常返回来窃取替换设备。

这么昂贵、有用而又便于携带的设备竟然毫无安全措施，放在行政人员的桌上，这让人感到很奇怪。应该把电脑锁到办公桌上，市场上有几种这样做的系统。固执的小偷可能会切断锁和电线，但顺手牵羊的贼就没有机会了。电脑和打印机应该做上安全标记，记录下这些设备的编号，去不掉的标记会让电脑难以脱手。

让小偷不破门偷电脑的其他办法包括：贴上字条，警告小偷电脑的软驱没有功能，而且运行系统加了密码。也可以警告窃贼，说电脑会发出无线电呼叫，公司可以追踪其呼叫，或说该电脑在国家数据库里登记过。也可以给电脑设警报，这样，当有人移动时，它就会发出大的警报声。员工下班后把东西带出去。这类偷窃事件可以用上面提到的办法减到最少，也可以要求员工走出房子时要经过一个安全检查桌。

2．偷窃数据风险防范

有几种防止员工或黑客不经允许进入系统或偷窃数据的办法：

（1）限制有软驱的计算机个数。

（2）限制人们进入存有机密数据的电脑网络部门（例如用口令保护）。

（3）有些电脑（例如董事会成员办公室的）不让联网。

（4）采用封闭使用的办法，让公司能够通过标准电话线输送机密信息。很多银行用这种办法转移资金。

（5）使用口令。口令应该是每个人独有的，要经常换。不能是词典里的一个词，或一个生日日期。口令应该易记，但擅入者猜不出来，对于联网的电脑，这一点尤为重要。互联网在全世界连接了2000万个用户，包括政府部门和军队。黑客可以让自己的电脑翻查各个词典，直到电脑查到正确的口令。他们一旦进入网络，可能毁坏文件，给公司造成很大破坏。因此公司应该监视输入错误密码一共进行了多少次，以检查自己的网络是否是黑客的目标。应该限制输入错误密码的次数，这是保护系统的一个强大武器。美国电话电报公司（A&T）认为每周都会发生一次别人企图进入自己网络的较严重事件，每月都会有一次极其严重的这种事件。

如果发现黑客，应该切断外部通信链接，把他锁在外面。黑客发现有人监视自己，可能会马上采取极端行动掩盖其踪迹，如删去公司的所有数据。

（二）病毒风险防范

1．电脑病毒危害

一种病毒是一种自我复制的程序，这种程序的用意通常是给一个计算机系统造成破坏。第一个病毒叫Brian，1987年该病毒由巴基斯坦的两名程序员发明，发明者并没有希望让它造成危害，只是让它自我复制。

圣诞病毒也是同一年发展起来的，它影响了世界上25万个IBM用户，让该公司的电子邮件系统瘫痪了两个小时。这本是德国克劳斯塔尔—采勒费尔德（Claustal-Zellerfield）大学的一名法律专业的学生当作一种恶作剧设计出来的，该病毒画了一个圣诞树的图，然后在电脑使用者的地址集里的每个名字和地址上自发进行复制。圣诞病毒给前5万名使用者造成的时间损失估计价值200万美元。该病毒通过互联网还传到了EARN，即欧洲学术研究网络（European Academic Research Network）上。该病毒没有毁坏数据，但这表明，一种病毒传播速度会有多快。

耶路撒冷病毒是一名巴勒斯坦学生出于报复以色列制造的。这种病毒毁坏文件，把希伯来大学计算机的运行速度减到如此慢的程度，以致这些计算机无法使用，毁坏了多年的研究、财务信息和学生档案。该电脑与以色列的军队和情报中心相连，这种病毒差一点就破坏了以色列的国家安全。

另外有很多种具有破坏性的程序，（严格说来）这些并不全是病毒。人们设计逻辑炸弹，让它在一个电脑里休眠，等待一个特定的日期。到时候，逻辑炸弹就删去各种文件“爆炸”。与病毒不同的是，炸弹一下子就动起来，当然，它们的任务可能是释放出一种病毒。

蠕虫病毒存在于计算机的内存中，复制着自己。因为这种病毒以指数的速度自我复制，这些病毒很快就会堵死计算机。特洛伊木马程序是一种使用者与其交互作用后才发作的病毒。在圣诞病毒这种情形下，要求使用者打出“圣诞”这几个字，因为这样他就可以得到一张圣诞树的图片。

在大型计算机上，病毒还相对较少，尽管报纸报道说有很多。但是逻辑炸弹很常见，是心怀不满的离职雇员惯常采用的一种手段。

2．电脑病毒防范

当雇员从互联网的电子公告栏或其他部门下载程序，或当他们启动他们自己的程序盘时，很多种病毒就进入公司的计算机系统。人们已见识过，被解雇的员工在主机上留下逻辑炸弹，设定让它在他们离开后六个月爆炸。

公司应该阻止员工使用盗版或“借来的”磁盘，或来源可疑或不明的磁盘。公司应该避免使用未经测试的磁盘和便宜的磁盘。公司也应该保护程序，免得有人修改程序。员工不能随意自己修改程序。避免使用“调制解调器”可以防止使用电脑者下载受过病毒感染的游戏和电子公告栏上的其他文件。对于重要的工作使用一个不联机的PC机，可以防止公司的其他机器把它感染。

公司可以使用反病毒扫描软件检查系统是否有病毒。这些程序可以检查出文件和硬盘里是否有那些已知道名字的病毒，但在使用以前要经过确认。让人不能相信的是，一些反病毒软件是某种病毒的携带者，而且，反病毒软件经常对压缩文件查毒失败。

3．减少硬件造成风险的措施

公司应该把维修保险作为自己的信息技术系统成本中的一部分，把投维修保险视为必做之事，除非这些费用由内部IT部门承担。各公司也有必要在数据管理和数据恢复方面发展内部专门人才，操作者越是知道计算机可能怎样出现故障，他们越是不会发生问题。这意味着对员工培训可以使他们避免发生问题。很少有公司培训员工知道怎样备份，或不要在计算机正在工作时拔掉外设的接线，或按“关”按钮退出一个程序。

公司应该为备份准备一条自动线路。应该在一天结束时电脑就会自己拷贝所有的文件，给所有的文件备份。数据应该备份到另外一个存储系统，这样硬盘或主机出现故障数据就不会受到影响。

备份数据应该保存在公司场地以外的地方。当一场大火吞没了发动机漏片公司（an Engine-filter Company）福格维尔（Forgeville）时，保存在所谓“防火”柜子里的记录化为一堆灰烬。公司损失了分类的编码、发货单、银行细节、增值税收据和20年的记录。收增值税的税务人员说火灾并不能成为迟交报税表的借口。

认为员工会给文件备份是不明智的看法。应该把这件任务交给专业人员去做。理想的做法是，文件的二级存储所放的地点应与文件完全不在一处。一个价值1亿英镑的企业在莱斯特（Leicester）总部处理其数据，它把数据备份放在位于诺丁汉（Nottingham）的一个独立的存储设备里。

四、电脑系统建设

（一）电脑系统安全规定

只有一半多的大公司有安全规定和应急规划，但有的公司并没有严格执行其安全规定。公司应有计算机数据方面的规定，这个规定应由高层管理人员认可。规定应该包括：

◆ IT系统的责任分配；

◆ 数据和备份系统的保护；

◆ 使用认证的磁盘；

◆ 对数据的读取。

这个规定应该由成文程序来支持，明确要求要采取什么步骤来保护数据。

为了保证员工执行这些程序，公司应该定期进行检查。

（二）电脑系统应急规划

IBM认为各公司对自己的电脑方面的应急规划注意得不够。IBM的研究显示五个公司里有四个并没有万一发生计算机灾难时切实可行的应急计划，只有57%的公司有一个正式的书面应急规划。如果除去法律规定一定要这么做的公司（大家都知道的有财务和公共服务部门），这个比例只有42%。任何依赖电脑的公司都应有一个应急规划，这个规划应该每年测试一次。应该假定电脑系统已出了故障，公司应该检查，如果其程序发生错误、其数据丢失，或电脑被盗，会发生什么情况。

（三）电脑系统建设规划

安装一个新的电脑系统通常花费巨大，大型系统要花上几千万元甚至上亿元。管理层一般没有安装计算机的经验，这就是许多系统出毛病的原因：

（1）伦敦救护车队（London Ambulance）的新电脑不能处理工作，它的电话自动应答机会去接请求紧急救援的电话，救护车竟被派往错误的方向。经过调查发现，它们的电脑是以价格而非以质量为基础确定承包商的，没有征求推荐人的意见：“有一种不信任的气氛，培训不全面、不统一，使用者没有系统的所有权。管理层认为这个新系统会带来态度上的变化。”

（2）伦敦股票交易所在一个叫Taurus的无纸化结算系统上花了5年时间和3亿英镑。该系统发挥不了作用，只好放弃。

（3）表演权利协会（Performing Rights Society，PRS）负责收取艺术家们的上演税。由于一台出了故障的电脑，它们损失了800万英镑，这是它年收入的1/3。一个报告把这个损失归咎于该协会从经理到员工上下一致的那种态度，报告指出，他们的这种态度并不利于大型计算机项目的成功开展。这要求经理和员工在对待错误上要具有开放性，要从错误中学到东西，要把自己的工作让同行去检查，欢迎别人的批评，承担责任。

只要是有关计算机，并不缺少恐怖的故事。尽管许多计算机系统已相对比较成熟，在一些大型项目里计算机系统还在继续发生故障。

最容易发生失败的就是管理信息系统（Management Information Sytem，MIS）。财务经理都要求有这一类系统，因为，从理论上说，它应该把有关生产、销售和购买的数据聚集起来，目标是在清楚的互相连接的信息屏上显示公司现在如何运作。实际上，MIS失败是由于设计错误，这个系统不显示应该显示的信息，或该系统用起来太复杂。最后，经理们放弃了它，开始依赖旧的信息方法。同时，电脑部门抱怨管理层不知道自己需要什么。

（四）安装新系统应关注问题

（1）正式评估风险。最少应该确保能开放地讨论和预测风险。这样才可以在整个组织里分摊责任，而不是把责任推给IT部门的一个经理，虽然问题可能是董事会的一个决定造成的。

（2）在草拟概要，批准项目阶段时，让生产线经理也加入。该项目应该包括与使用者的详细谈话，以理解他们的部门是怎样运作的，需要什么信息和任何其他标准。绝大部分终端使用者希望一打开机器就能在屏幕上找到信息，他们不希望记住计算机的各种规程，或了解技术细节。

（3）不要过分依赖咨询人员。可在与零售商和咨询人员谈话中增进知识，也可阅读与该主题相关书籍以获得知识。

（4）要意识到零售商并不是独立的，零售商希望售出他们的系统，不要低估该项目的费用。

（5）选择一个太先进的系统时要小心，尖端技术更可能失败。一个很多使用者试验过、测试过的系统一般都已改正了许多缺陷。许多计算机咨询人员着迷于新技术，任何已有几年历史的东西都让他们厌烦。

（6）做任何大项目都要给好几家互相竞争的咨询公司招标，硬件和软件规格也是一样。选择那些了解你的业务的咨询人员。一定要要求这些咨询公司已在别处安装过一个相似的系统，让其他人为咨询公司的学习过程付钱。搞到有关推荐人的细节，找到推荐人。要记住，咨询公司的费率相差很大，业务越大，每天的收费就越多。

（7）在启用系统前进行广泛试验。在新系统还不能完美无缺地运行之前，一定要让新老系统一直并存运行，不要设定严格的最后期限。在新系统没有毛病以前，你的业务不要依赖它，给予新系统以纠正问题的时间。