如何做好企业IT服务管理？

1IT安全策略

管理人员应该审视那些能够管理特权账户（如域管理员账户、应用程序管理员账户、数据库管理员）的IT安全策略，要保障安全策略的存在，还要清楚存取访问是如何被处理、验证、证明的，要确保对这些策略定期进行审查。否则，基本上就不存在管理特权访问的基础了。在没有相关报告的情况下，管理特权账户的策略是不完整的。特权账户的口令审核报告经常要涉及到如下的问题：口令何时更新、更新失败有哪些，以及在一个共享账户下，个别用户如何执行任务等等。

制定的策略应具有这样的目标：能够终止明显的不可防御的用户活动。要确保所有的雇员、订约人和其它用户清楚其责任，从而与IT的安全策略、方法以及与其角色相适应的相关指导等。

2“超级用户”账户和访问

了解公司与用户访问有关的暴露程度是很重要的。应该决定拥有访问特权的账户和用户的人员，并获得对网络、应用程序、数据和管理功能的访问有较高权力的所有账户列表。包括通常被忽视的所有计算机账户。由此，要确保用户访问能够被检查，并确保其拥有恰当的许可。一个好方法是定期地审查用户访问，并决定数据和系统的“所有者”已经得到明确授权。

3账户和口令配置标准

要保证所有的管理员账户能够根据策略更新。在特定设备上，不应存在默认的口令设置。对那些拥有足够的默认账户和口令资源的用户来说，其信息是很丰富的。有一些安全账户，其账户名就是口令，这简直是自寻烦恼。设置口令的期限也是很重要的，禁用某些明显的临时账户也是很聪明的作法。

4对口令的受控访问

对权力有所提升的账户和管理员的口令存取要加以管理。其道理可能很明显，不过对口令的共享访问并非总能得到控制。离线的记录或开放性的访问，如包含口令的电子邮件，就不应当存在。即使一个加密的口令文件也是不足取的。在最糟的情形中，口令文件的口令并没有得到控制。

5服务账户( “机器” 账户)

服务器也可以被提升权限，并用于各种罪恶的目的。这些账户典型情况下并不分配给人类用户，并且也不包括在传统的认证或口令管理过程中。这些账户可被轻易地隐藏。管理员应该保障服务账户只拥有必要的访问权。这些账户应该定期检查，因为它们经常拥有超级用户的能力。这种用户的数量是很多的，而且还有许多不用的账户也需要注意。

6高风险用户和角色

有一些公司积级地监视某些角色，这些角色对企业会造成极高的风险，企业的监视会发现其潜在的“不可接受”的行为。许多企业拥有一些风险极高的关键角色。例如，一位采购经理为谋求一个职位可能会将自己能够访问的敏感数据带到另外一家竞争公司那里去。这种情况下，其访问是被授权的，不过却存在着滥用的情况。岗位、职责的轮换以及设定任命时间是对付高风险的一个重要方案。注意：IT安全专家通常都属于高风险角色的范围。

7安全知晓项目

任何雇员或用户都可能造成一种威胁。贯彻执行一个可以处理上述所有要点的安全知晓项目，并能保证其强制实施势在必行。现在有许多方案能够确保所有的用户已经阅读并同意有关规则和政策。其中一种工具是在用户登录时要求其在一个警告消息上签名，要求用户确认其同意并选择窗口中的“接收”或“同意”复选框。

8背景筛选

背景筛选就是要认真地问雇员一些措词严格的问题，以揭示其特定行为和态度的危险信号，例如：

·违规的或异常的工作经历：离开工作的可疑理由、长期未被雇用的原因

·欺诈：在某些事实上（例如教育、以前的雇佣关系）的虚伪陈述

·人格/态度问题：与同事或管理人员的糟糕关系

·挫败、威信问题、猜疑、无力接受改变等

9事件记录

安全事件记录提供了实时使用和活动的透明度。精确而完整的用户及其活动的记录对于事件分析和制定额外的安全措施是至关重要的。获取访问的方法、访问范围和过去的活动是很重要的。为保证有充足的记录，应考虑改善对较高风险领域和服务的记录利用。

10证据

管理人员应熟悉所使用的不同存储设备，如果有任何可疑迹象，还应具备 “指纹”知识的足够知识水平。这可以是cookie数据、隐藏的 *** 作系统数据等。从公司系统中获取关键文件并将其放置到闪速存储器上是很简单的事情，这些闪速设备可被伪装为数码相机、个人数字助理（PDA）或移动电话等。还有一些调查人员从移动电话中收集和分析信息，因为这种设备可包含语音邮件、正文消息、地址文件、电话号码和许多遗漏电话、已接电话等。如果有任何可疑的非法活动，就应保留相关证据，直至最终决定其结果。

(1)建立自动化运维管理平台

IT运维自动化管理建设的第一步是要先建立IT运维的自动化监控和管理平台。通过监控工具实现对用户 *** 作规范的约束和对IT资源进行实时监控，包括服务器、数据库、中间件、存储备份、网络、安全、机房、业务应用和客户端等内容，通过自动监控管理平台实现故障或问题综合处理和集中管理。例如，在自定义周期内进行自动触发完成对IT运维的例行巡检，形成检查报告。包括自动运行维护，以完成对系统补丁的同步分发与升级、数据备份、病毒查杀等工作。

(2)建立故障事件自动触发流程，提高故障处理效率

所有IT设备在遇到问题时要会自动报警，无论是系统自动报警还是使用人员报的故障，应以红色标识显示在运维屏幕上。然后IT运维人员只需要按照相关知识库的数据，一步一步 *** 作就可以。因此，企业需要事先建立自动工单式流程管理，当设备或软件发生异常或超出预警指标时会触发相关的事件，同时触发相关工单处理流程给相关IT运维人员。IT运维人员必须在指定时间内完成流程所规定的环节与工作，以提高IT运维响应问题的效率。

(3)建立规范的事件跟踪流程，强化运维执行力度

IT运维自动化管理建设时，首先需要建立故障和事件处理跟踪流程，利用表格工具等记录故障及其处理情况，以建立运维日志，并定期回顾从中辨识和发现问题的线索和根源。事实上许多实践也证明，建立每种事件的规范化处理和跟踪指南，可以减少IT运维 *** 作的随意性和强化运维的执行力度，在很大程度上可降低故障发生的概率。同时，用户还应可以通过自助服务台、电话服务台等随时追踪该故障请求的处理状态。

(4)设立IT运维关键流程，引入优先处理原则

设立IT运维关键流程，引入优先处理原则是指要求CIO定义出IT运维的每个关键流程，不仅仅是定义流程是什么，还包括要指出每个关键流程对企业有什么影响和意义。同时，在设置自动化流程时还需要引入优先处理原则，例行的事按常规处理，特别事件要按优先级次序处理，也就是把事件细分为例行事件和例外关键事件。

总之，实现IT运维的自动化管理是指通过将IT运维中日常的、大量的重复性工作自动化，把过去的手工执行转为自动化 *** 作。自动化是IT运维工作的升华，IT运维自动化不单纯是一个维护过程，更是一个管理的提升过程，是IT运维的最高层次，也是未来的发展趋势。

背景由于最近几年公司业务的不断发展和壮大，业务部门对IT技术和自动化系统的依赖越来越大，他们需要IT来支持处理大量业务数据和交易。然而，由于公司缺少一支有组织且结构化的一线IT支持服务团队，雇员们在面对时而发生的IT故障和问题时变得越来越沮丧：他们不知道向谁寻求帮助，在四处求救时浪费了大量的宝贵时间；另外，对于那些重复发生的问题和服务故障，没有一个现成的经验和知识帮他们直接解决问题，使得IT服务人员陷入一遍遍解决同类问题的僵局。当他们处理外汇买卖业务或其他相关业务时，客户的需求和业务的特性使时间和准确率对他们来说至关重要。他们迫切需要一种最快，最准确的方法来协助完成所有交易。然而，他们却搞不清一旦发生技术故障，他们应该打电话找谁来寻求帮助。甚至即使打了电话，问题也不能得到很好解决，影响业务的进行。这直接导致了这些业务部门的IT最终用户产生如此错觉：IT服务与我们业务部门不是同路人，他并不是一个值得信任的，拥有共同业务目标的好的合作伙伴。这种对IT技术支持团队的错误认识，直接影响了各营业网点及分公司向客户提供服务的能力，降低了客户的满意度。业务需求与业务部门的误解形成鲜明对比的是，IT部副总裁感到自己身上的压力越来越大：一方面，在面对各业务部门的不理解和抱怨时，他和他的团队要负责向全北美洲的所有企业客户以及几百个分支机构提供IT支持服务；另一方面，为了提供更符合业务需求的IT服务，他还要向整个IT团队灌输一种以业务为中心的文化：即IT是为了业务服务，更好的服务于各种业务的需求。该公司的CIO认为，他的最终目的是建成一个提供IT服务的“一站式店铺”——以一种单点联系的方式解决所有与IT相关的问题。这一服务方式有以下几个方面的好处：·由于只有一个联系点，发生服务故障时，业务人员可以直接与IT技术服务人员联系，避免了不知找谁来解决问题的情况发生，从而缩短了“遗失时间”。·通过配置管理中的配置管理数据库，处于单一联系点的IT服务人员可以掌握所有配置向信息，使其可以更有效果且更有效率的使用各种配置项资源。·服务台人员对所有IT用户提交的服务请求，故障和问题等进行记录，这些记录提供了一种发现IT基础设施问题的机制。·为IT管理提供一种可量化的评价机制来评估业务·位于服务台的服务人员可直接接触用户，解决用户的问题。他们的服务以及对用户的态度将直接决定了业务用户对IT的认识，有效的IT服务台将彻底促进IT与业务的沟通，改善业务对IT的认识·当面对同时发生的大量突发事件时，服务台提供了一种结构化的流程来安排工作优先级，影响度大且紧急的问题优先解决；同时，服务台选择最快的方式来恢复发生故障的IT服务。

APEX IT运维和服务管理系统 提供了“无缝式IT监控系统”功能，其系统架构清晰，采用模块化的设计理念，各功能模块既可独立运行、松散耦合；亦可整体功能无缝衔接覆盖整个业务系统，灵活的自由组合真正实现个性化的IT无忧运维。

APEX IT运维和服务管理系统主要由综合运维管理平台OSSWorks、网络管理NetManager、应用管理ApplicationsManager、流量管理FlowManager、桌面安全管理DeskTopManager等五个产品组成：

OSSWorks：遵循ITIL标准规范，结合国内管理模式，提供服务台、个人桌面管理、事件管理（突发故障管理）、问题管理、IT资产配置管理、变更与发布管理、知识库等功能，实现了一体化的IT运维支撑平台。

NetManager NETMANAGER：实现了对交换机、路由器、防火墙等设备的全方位管理，提供了丰富的拓扑、配置、资产、故障、性能、事件、流量、报表等网络管理功能。

ApplicationsManager： 实现了对多种系统及上层应用监控管理功能，包括服务器、数据库、邮件服务器、WEB服务器、应用服务器、 *** 作系统、网站监控等。

FlowManager：提供网络流量监测、流量门限、协议分析、Web上网行为审计等功能。结合NetFlow网络流量分析器实现更为细化、便捷的全网流量分析功能。

DesktopManager：提供资产管理、桌面安全策略管理、软件和补丁分发、文件访问控制等功能，确保PC应用环境的稳定性与安全性。

通过Apex IT运维和服务管理模块可以实现对IT资源的全面、可视化、统一管理。

ITSM只是一套方法论，其最终的实施还是要依靠相应的工具和经验。由于国内的信息化仍处于起步阶段，因此以前更多的是关注技术，例如很多客户也采用了网络管理、系统管理等管理工具，但技术只保证了服务的质量和效率，标准流程则负责监控IT服务的运行状况，而人员素质则关系到服务质量的高低。而ITSM最强调的就是流程、人员和技术三大要素的有机结合，ITSM在实施过程中不仅部署相应的管理工具，同时将根据企业的具体情况制定人员的岗位职责、设计日常工作流程，以及突发事件和问题管理流程等等。例如一汽大众在谈到为什么要引入IT服务管理的理念时就提出了以下原因：为IT系统用户提供单一的联系点，任何用户在发现问题时都可以有统一的接口；为IT部门管理层提供具体的统计报告，对IT部门工作可以量化衡量；丰富和完善已知问题的知识库；协助提高服务台支持人员解决问题的整体能力；能够预测系统资源的支持能力；能够进行主动性问题处理；提高客户满意度。这些原因既代表了企业客户在IT服务管理方面的典型需求，同时也是ITSM的目标。另外ITSM能够降低管理成本，Aidan Lawes以宝洁公司为例，宝洁公司在采用ITSM后节省了48%的费用。

以上就是关于IT安全策略，程序和标准全部的内容，包括:IT安全策略，程序和标准、IT运维自动化的建立高效IT运维自动化管理的步骤、如何做好企业IT服务管理等相关内容解答，如果想了解更多相关内容，可以关注我们，你们的支持是我们更新的动力！