誰說景氣差就沒人重視標準

葉顯榮 2008/12/31 23:00:00

什麼時候是導入標準的最佳時機？有錢有閒的時間點還是...話說回來，公司賺錢時，大家都忙翻了，光是忙工作已經沒有時間，哪有時間導入標準。景氣不好時，公司光是存活都有困難，哪有人力和時間投入執行流程改善的活動。

我整理過去輔導或評鑑的CMMI、ISO 20000和ISO 27001案例，歸類成下表：

上述的數字如果加計海外（主要是大陸和印度）個案，受政府政策影響的比例會顯著增加，其他三個導入動機會降低。

上表中的產業鏈的要求，是指某一產業的上游廠商將導入標準，並取得驗証證書做為外包服務的基本要求。例如，台灣和大連想要拓展日本的軟體外包機會，會以取得CMMI評鑑證書做為入門的條件，再輔以公司其他的競爭力，決定何時導入CMMI。

又例如在手機通訊產業，有些國外大廠會要求國內代工廠商需要取得CMMI評鑑證書的資格，才能夠承包某些產品的開發設計；印度公司如果要取得歐美的BPO委外服務，ISO 20000的驗證就變得相對重要。

至於自我改善和策略性工具的部分，則和組織內部的工作環境、高階主管的態度及內部人員角色安排有關，大環境及政府政策的影響不是那麼顯著。

對企業來說，是否要導入一個標準，上述表格背後有一些資訊值得參考。

首先，表面上看起來導入標準的時機好像和景氣沒有相關，事實上是有相關。這些決定不導入標準的公司中，主要原因分別是導入標準沒有用、沒有時間和人力導入標準、公司獲利不佳等三個因素，這些公司所佔的比例預估超過50%。

至於那些將導入標準做為策略性工具的組織，導入標準之後的績效，普遍比其他三個動機好。理由是，該類組織的高階主管多是透過導入標準，引導組織達到所期望的特定策略性目標，此時導入標準的效果相對顯著。
導入效果最不顯著的是配合政府政策所做的導入；最不能決定導入時機的是配合產業鏈的要求導入標準，因為產業的變化太快，但決定導入標準的時間又太長，不易做成導入標準的決定。

整體而言，導入目標會影響導入成效和時機，景氣變化和政府補助是可能影響的變數，但不是絕對的因素。

為何需要導入標準

既然導入目標和導入成效及時間的關聯性是顯著的，決定何時是導入標準的適當時機，得先回頭討論為何要導入標準？以下幾個不同論述，分別會導致不同的結論。

論述一，如果我們問能夠決定或影響導入時機的人，「組織目前的服務或開發設計流程中，存在一些明確的影響顯著的問題，是否需要改善」等問題，得到的答案通常是肯定的。再追問要如何改善？何時改善？則答案的不確定性就很高。

論述二，如果我們問能夠決定或影響導入時機的人，「CMMI或ISO標準是業界普遍運用，且在統計上的導入成效頗佳，你是否會考慮導入？」這個問題，得到的答案則比較保留，通常會要求顧問公司提供其他公司或相關產業的導入成效資料作為佐證，才能夠再討論是否導入的問題。即使是提供有相關的參考資料，最後的決定多數是「再評估」。

論述三，如果我們問能夠決定或影響導入時機的人，「現在政府有提供補助，推動導入CMMI和ISO標準，你會不會導入」，後續的討論會比較集中於「政府補助多少錢？」、「我們要自付多少錢？」「需要投入多少人力？」等議題，因而決定導入的機會是50%，景氣和導入成效好像不是決定的主要因素。

論述四，如果能夠決定或影響導入時機的人已經想好導入的目標和策略，導入標準只是工具和過程，他會問顧問公司以下的問題「導入CMMI和ISO標準我需要花多少錢？」「當中有哪些問題我需要克服？」「貴公司如何幫助我達到這些目標？」「什麼因素會造成目標無法達成？」等問題。

如果顧問公司所提供的答案能夠解除上述的疑慮，通常啟動導入標準的時間都很快，整個導入標準的過程，高階主管傳遞給組織內部人員的訊息也很明確—只有投入心力達成組織設定的目標，或選擇離開工作崗位，另謀他就。

一樣決定是否導入標準，不同的問法會引發完全不同的討論和結果，即使最後達到的結論都是導入標準，但導入成效也大不同；景氣變化真的不是決定導入標準的關鍵評估因素，管理者想要達到的目標才是關鍵因素。

作者為台灣某顧問諮詢公司總經理，在IT領域有20年工作經驗，包含系統整合業務、軟體測試、軟體專案開發、印度軟體暨顧問服務人才引進、ISO 20000及CMMI顧問諮詢服務。

以「標」治「流」有用嗎？

葉顯榮 2009/02/26 05:00:00

近年來，IT相關領域不斷有新的標準推出，從過去的ISO 9000、ISO 12207，到這幾年火熱的ISO 27001、CMMI for Development，再到目前的ISO 20000、CMMI for Services、BS 25999，我想IT人已經被壓的快喘不過氣來了，不禁要問：「如果有用，一個就夠了。如果沒用，搞這麼多標準做什麼？」

讓我們先看看有多少台灣企業已導入上述標準。

根據SEI所公布的資料，到2008年06月，台灣已經有超過110個組織通過CMMI for Development的SCAMPI A評鑑。台灣在ISO國際組織登錄通過ISO/IEC 20000 ITSM驗證的組織則達12個，通過ISO/IEC 27001 ISMS驗證的組織少說也有100個以上…如以取得證書的企業家數代表競爭力和品質，台灣應該算是非常有「競爭力」和「服務品質」的國家。

先不談「競爭力」和「服務品質」，從應用和效益的觀點，到底是什麼因素促使這麼多的組織導入國際標準？答案不外乎我在上篇文章提到的四個原因。

這一次，我打算藉著許多年前與某家金控公司的資訊長一起談到標準導入和運用等問題的對話，與大家分享標準之於企業流程再造的效益。

她說：「公司每次要推動、導入一個流程改善活動時，普遍得到的反應是先忙完專案再說，現階段沒有額外的人力資源去導入任何標準；可是，隨著公司的營運版圖不斷往海外擴張，資訊部門分散在大陸、美國和其他區域，一起執行一個專案的同事們，可能從未見過面，如果沒有一套成熟的運作和管理機制，別說要組成有效率的任務團隊，能把專案做完已經不錯了，你說，標準之於我們重不重要？」

接著她又說：「你認為用三年導入一套標準算太短或太長？」

我回答：「當然是太長，誰有那個難耐和時間這樣做！」

她說：「你錯了！你想想看，用第一年的時間建立改善的共識和方向，將共識和方向變成實際看得到和用得到的機制，再經由訓練和推廣活動，能夠讓所有人知道和接受這個改變，已經很了不起。」
她的這席話的隱含意是，導入標準的重點不在標準本身，而在於改變員工的「認知」和「態度」，標準只是一個工具和過程，端看你怎麼用。

取得員工對標準的共識後的下一步

緊接這她又說：「第二年的時間應該是做出效果。第一年的時間在於建立共識、建立新的方法與作業程序，但因多數人對於新的方法和程序是不熟悉的，要他們做出效果和效率是有困難的，因此，我會將第二年切割成為四個單位，每季一個單位，採用量化的方式進行評比和改善，經由四個循環的運作，所有人都能夠就定位，採用更有效率的方法，完成更有品質的產出，這就是績效。」

經她解釋，我認為我已經懂了她的想法，也敬佩她對一項任務的構思和安排是如此細膩，但更好奇第三年要做什麼？

她說：「第三年應該要將精神專注在變動因素管理和結果預測。」

我說：「這個我不懂。」

她說「你想想看，如果你帶領一個團隊，你想不想在交付任務時，就已經知道這項任務能不能如你的期望被達成？如果你不設定目標，請問你如何做？如果你的團隊在第二年已經能夠熟練的運用新修訂的方法和程序，更有效率的完成更有品質的產出，你是否應該要為她們設定一個績效指標和達到這個指標的機率目標？做為管理者，如果你能適當的運用第二年的改善經驗，必能每年持續精進。」

我問她「那什麼是變動因素管理？」

她說：「我們所處的環境隨時都在變動，不是死的。今天我們認為的最佳解，明天可能已經過時。如果沒有一套方法去識別環境變動對於效率和品質的影響，前面幾年花的功夫，可能很快就失效。如果你花了三年的時間帶領團隊，投入這麼大的心力去做改善活動，卻沒有考慮到如何維持的問題，那我只能說任務只完成一半，這是不及格的。」

此時的我，只能沉默。我了解她的意思，即使我們有共識去改變一件事，三年的時間都不一定能夠達到目標，何況在沒有共識下，即使五年時間過去了，也可能是一事無成，換句話說，標準之於流程改善這件事確實有其存在的必要性。

雖然這只是短短30分鐘的談話，我確好像上了一年的課，這堂課至今仍在激盪、發酵。在這之後的五年時間裡我擔任顧問的工作，時時僅記這段話，提醒和警惕自己。
我不知道有多少人有三年的時間可以投入於流程改善？也不知道用三年的時間去看這件事是否正確？但我知道如果選擇「等待比較不忙的時候再做流程改善」或「有空再做流程改善」，這一天可能永遠都不會到來。

作者為台灣某顧問諮詢公司總經理，在IT領域有20年工作經驗，包含系統整合業務、軟體測試、軟體專案開發、印度軟體暨顧問服務人才引進、ISO 20000及CMMI顧問諮詢服務。

金融危機下中印IT外包優劣勢對比

北京新浪網 (2009-02-26 19:00)
　　儘管印度穩執全球軟件外包業之牛耳已達十年之久，但在一片繁榮背後仍有一些隱憂。2008年全球金融危機爆發後，印度IT外包業的隱憂開始變得清晰，以致一些印度軟件業資深人士開始擔心如果不盡快對症下藥，印度在全球軟件外包市場超過50%的份額將很快遭到中國、愛爾蘭等後起之秀的嚴重侵蝕。
　　中國軟件外包業與印度同行的最大區別，或者說差距就在於規模。2008年，僅Infosys一家的軟件及服務收入就高達40億美元，超過中國所有軟件外包企業的總和。據統計，2007年中國軟件外包市場規模達到20億美元，不及印度的二十分之一。同年中國最大的軟件外包企業東軟集團離岸外包收入約為1.4億美元，不到TCS的四十分之一。在軟件外包行業，規模小意味著服務品質和類型有限、可靠度不高。沒有適當的規模，中國企業不可能吸引到頂尖的國際客戶。行業的分散狀態使中國軟件行業的其他一些問題也顯得比較突出，如程序控制和產品管理不夠嚴格。中國30家大型軟件公司當中只有6家達到CMM五級或四級，而印度的30家大型軟件公司全部達到這一專業水准。
　　市場需求：
　　印度依賴歐美中國立足國內
　　印度軟件外包業的最大隱憂在於過于依賴歐美發達國家市場。據印度國家軟件協會估計，印度IT產業40%的年盈利來自於全球金融服務商，其外包產品的61%售往美國，30%售往歐洲國家。2008年9月份之後金融風暴橫掃美歐，印度IT外包業遭遇寒流，其中居于高端的金融外包服務受災尤為嚴重。
　　總部位於孟買的TCS(塔塔諮詢服務公司)2008年第三季度的淨利潤同比僅增長1.5%，大大低於印度科技型企業近年來平均高達40%的利潤增長率。Infosays公司亦將2008財年收入的預期由50億美元調低至47.5億美元。作為印度軟件外包產業中心的印度『硅谷』班加羅爾也由於美國市場的萎縮遭遇寒冬，隨著美國客戶紛紛削減成本，減少在印度的發包規模，班加羅爾的IT公司面臨著慘澹的前景。據說現在在印度心情最恐慌的是投資印度高科技公司的股民，其次就是班加羅爾的軟件工程師。
　　相對而言，在金融危機背景下中國軟件外包企業儘管也受到了一定的衝擊，但東軟等領頭企業在致力于開拓外包市場的同時，也擁有相當規模的國內市場份額。近年來，中國IT服務國內需求約占90%。由於中國IT服務業主要是依靠龐大且持續快速增長的國內市場需求帶動，因此其發展基礎比較堅實。相對充實的國內訂單在一定程度上能幫助中國軟件外包企業抵御國外需求萎縮的衝擊。從長遠來看，具有廣闊發展前景的國內軟件市場能使中國軟件企業開拓外包市場時底氣更足，步伐更穩健。同時國外軟件巨頭基於開拓中國國內市場的需要，也會不斷向中國企業注入資金和技術，進而幫助中國軟件企業提升技術和服務水准，有利於中國企業增強在國際外包市場的競爭能力。而印度IT服務80%是靠出口帶動的，同時歐美等國未來IT外包市場環境對印度而言也不太樂觀，印度的IT外包服務出口帶動模式是較為被動和脆弱的。
　　人力成本：
　　印度不斷上升中國具有優勢
　　印度軟件外包行業近年來逐步顯現的另一個隱憂是人力成本的不斷上升。過去幾年，印度軟件外包企業的員工工資年均增長12%以上，而由於競爭激烈，員工流失率越來越高，迫使企業在員工培訓方面投入巨大成本。加上金融危機前盧比不斷升值，印度外包企業原有的成本優勢逐漸喪失。美國《華爾街日報》去年報導，西門子公司將1500人規模的客戶服務中心從印度遷到了菲律賓的馬尼拉，很大一個原因是馬尼拉的員工月跳槽率只有2.5%，而印度呼叫中心的員工流失率高達20%。西門子北美IT策略部門的負責人威廉‧邁克納馬拉說，印度仍然是一個有可能獲得成本優勢的地方，不過這方面的優勢已經不如從前了。
　　人力成本低是中國軟件外包企業的一大優勢。和印度大企業相比，中國軟件工程師的平均雇佣成本要低30%左右。美國Gartner公司不久前調查了全球幾十個國家的外包商未來選擇外包合作伙伴會選擇哪個國家的企業。調查結果顯示排在第一的是愛爾蘭，第二是墨西哥，第三是巴西，第四是菲律賓，第五是中國。令人吃驚的是印度在20個國家裡排倒數第一，對印度軟件業勞動力上漲的擔憂是歐美外包商望而卻步的最大原因。然而，中國軟件業雖然有較為充足的勞動力供給，但適應歐美外包業務需要的人才結構不如印度合理，尤其在兼具合格英語水平和軟件開發能力的高端人才方面更與印度存在較大的差距。軟件業人士普遍認為，現行的本科和專科教育體制還不能培養出企業需要的大學生，這必然會增加企業的培訓成本，削弱中國外包企業的競爭優勢。
　　(姚正凡 人民郵電報)

關於IBM Software Passport Advantage

Passport Advantage 為購買 IBM 軟體時所提供的產品更新及技術支援服務，以幫助企業成功建置軟體。有了產品更新服務，您所選用最暢銷的 IBM 軟體 － 如 Lotus、WebSphere、Tivoli、及 DB2 等資訊管理軟體，就能得到完整的升級及跨平台移轉的服務保證。IBM 堅信「持續的軟體升級」能不斷地提高軟體產品带给您未來的價值，您可以依企業需求升級軟體版本。而技術支援服務則確保使用者不論身在何處，都能順利使用軟體。此方案將確保使用者能獲得所需的技術支援。這也是客戶從整體軟體解決方案對 IBM 產品的投資中，取得更多報酬的最好途徑，我們的總體策略是使我們的產品線能?完全的兼容 SOA 架構。

IBM 提供兩種軟體使用授權、產品更新及技術支援的方案：Passport Advantage 和 Passport Advantage Express。Passport Advantage 如下所述，是專為大型企業所設計的方案。 而 Passport Advantage Express 則能滿足中小型企業的需求。

Passport Advantage ( 簡稱 PA )– 適合大型企業

Passport Advantage 為 IBM 所提供的全方位軟體使用授權及軟體產品更新及技術支援方案，讓大型企業在軟體的取得及使用的每一個階段中， 不論身處世界任何角落，都能節省金錢。Passport Advantage 為大型企業提供最具彈性並符合成本效益的方式，從最新的技術及支援中獲得利益， 以確保企業持續運轉，並在重要的軟體採購中獲得大量購買的折扣價格。此方案可降低採購及管理的成本，幫助系統轉換新的平台，提升生產力， 並增加收益。

Passport Advantage Express ( 簡稱 PAE )– 適合中小型企業

Passport Advantage Express 專為單一據點的小型企業所設計。此項新服務包含 Passport Advantage 內的所有產品，加上簡易的交易型採購方式。 Passport Advantage Express 不需建立任何關係協定，亦即每一筆交易都可能有自己的交易條件及背景情況。同時， 購買軟體授權使用的合約將包含完整 12 個月的軟體產品更新及技術支援服務保證。非常簡單、直接、方便。

Passport Advantage 優點：

- 每項軟體的授權使用合約都包含完整 12 個月的產品更新及技術支援服務。
- 提供廣泛且具彈性的軟體升級服務範圍。
- 保護資訊技術上的投資。
- 簡化及改善軟體資產管理。
- 降低軟體購買及管理的成本。
- 將軟體更新及移轉的成本合理化。
- 對新購買的產品在安裝期及產品更新/技術支援期中，提供即時的支援服務。
- IBM 提供彈性、方便接洽、回應迅速、及跨平台的全球性客戶支援服務。
- 為客戶指定的所有 IT 技術人員，提供 IBM 的軟體技術支援服務。
- 針對跨平台的客戶支援服務，簡化購買及續約的流程。
- 將一般上班時間內的服務回應時間縮短在兩小時以內。
- 對於應用程式在執行中發生錯誤或故障，提供全年無休的支援資源。
- 經由網際網路增加自助服務。

ITIL3.0時代的IT維運管理逐漸升溫

在ITIL3.0和ISO20000相繼發佈，ITIL、ITSM、BSM逐漸升溫的勢頭中，IT維運管理是否已經成為昨日黃花？它將如何繼續保守在市場上的一席之地？

在ITIL3.0和ISO20000相繼發佈，ITIL、ITSM、BSM逐漸升溫的勢頭中，IT維運管理是否已經成為昨日黃花?它將如何繼續保守在市場上的一席之地?

IT系統運行維護業務圍繞技術、人和業務流程三個基本元素展開，這三個要素互相關聯、互相制約，共同決定業務運作的成效。

隨著ITIL3.0和ISO20000的發佈，IT服務管理(ITSM)、業務服務管理(BSM)升溫的勢頭有增無減。然而，對於大多數還處於IT維運管理階段的中國企業來說，CIO更關注的還是那些維運管理系統能使企業自身的業務和應用系統安全穩定地運行。

賽迪顧問資料顯示，2006年，中國維運管理市場規模達到2.1億美元，年複合增長率為25%。那麼，面對新形勢，IT維運管理該如何站穩自己的腳跟?

維運管理的拿來主義

一般來說，完整的維運管理解決方案包括網路管理解決方案、安全管理解決方案、維運流程管理解決方案以及資料管理解決方案等幾部分。同時，從另一個角度看，完整的維運管理系統解決方案還應該包括維運管理流程的梳理和規劃，維運系統的實施管理(方法論)，維運系統建設的回顧和檢查以及維運流程的優化。

當然，同樣作為IT服務的一種管理方式，維運管理與ITSM、ITIL有著密切的聯繫。北京神州泰嶽軟體股份有限公司維運管理專家譚立蓉分析認為，ITIL3.0和ISO20000標準的發佈，對IT維運管理具有積極的意義。ITIL3.0更加強調IT服務與企業業務目標的一致性，強調服務的生命週期管理，這一點對企業IT服務管理的發展是有指導意義的，同時也使得IT管理更加受到企業的重視，最終使ITSM得到更加迅速的發展。當然，這一點目前還不是很明顯。而ISO20000標準的發佈，對維運管理的影響則更加明顯。從國內的企業來看，特別是對於準備走向國際化的發展較快的大型企業，ISO20000標準的發佈，使得企業更加重視服務的管理，從而加快了IT服務管理的步伐。

ITSM主要關注企業IT服務管理，而BSM更加專注於企業的業務管理。隨著電腦技術、網路技術的不斷發展，企業的業務發展已經與IT系統的發展密不可分，而IT管理的目標也一定是跟企業的業務發展目標所吻合，才可能給企業帶來最大的價值。可以看到，目前很多管理軟體企業多年來在ITSM領域摸索後，已經從IT管理向業務服務管理轉變。例如，神州泰嶽9月推出的新產品中，包括投訴管理和電子維運管理，這兩個部分都已經涉及用戶的業務管理。維運管理是神州泰岳利用IT服務管理的理念向整個維運領域推廣和延伸的一種具體體現。維運管理已經不僅僅局限於IT設備的服務管理，例如在電信維運領域，所管理的物件已經延伸到對通信設備和業務，而管理所涉及的人員也已經不僅僅是IT設備的管理人員。從這個角度看，維運管理也是BSM。
實踐中完善維運管理

維運管理本身包括設備管理、應用/服務管理、資料/存儲/容災管理、業務管理、目錄/內容管理、資源資產管理、資訊安全管理和日常工作管理等子系統。IT系統運行維護業務也是圍繞著技術、人和業務流程三個基本元素展開的，這三個要素互相關聯、互相制約，共同決定業務運作的成效。對於IT運行維護業務來說，業務目標保證IT系統正常、可靠、高效、安全運行，為業務部門提供優質服務;技術指各種管理監控系統，人員指IT支援部門各級員工，流程指IT運行維護的各種業務過程，如報警故障處理流程、設備配置修改流程等。

維運工作本身比較繁雜和瑣碎，因此，在產品的設計中，技術提供商首先要充分考慮作為維運人員的工具和助手，系統一定要好用、實用，能夠減輕維運人員的日常工作壓力。這就要求企業將這種設計原則體現在產品線中，系統的功能日趨滿足用戶的個性化需求。

通過系統管理，用戶可以定制自己日常使用的派發組、派發物件，可以自定義短信提醒功能，如在工單到達或下班前作業計畫沒有完成時提醒等。在值班中集成了值班平臺，值班人員可以在同一頁面進行作業計畫、工單等方面的處理，為維運人員提供一個集中處理的平臺而不需要到各個功能模組中去分別處理。

作業計畫是整個維運體系中非常重要的一環，維護人員需要通過作業計畫的執行對現有系統運行情況進行瞭解，以便為網路優化和問題處理提供更好的分析資料。因此作業計畫內容是非常煩瑣、龐雜的，通過範本定制功能規範整個作業計畫的制定，使之規範化和簡潔化，同時通過細粒度的設定(cell級別)，使今後的分析更為方便。同時系統提供自動巡檢功能，能夠使作業計畫中日常的工作能夠自動執行，減輕維運人員的日常工作量。

值班工作是保證整個IT系統持續性運行的必要手段，首先，從值班用戶角度出發，為值班的用戶建立一個完整的值班平臺，值班人員可以通過該平臺順利完成故障處理、任務處理、發佈公告，執行相關的作業計畫等，並將重要內容記錄于值班日誌。

而對於維運系統一般都會出現的延遲問題，較好的辦法是採用事前預警和事後督促兩種方式來解決。維運系統提供了多種事前預警機制，如工單到達短信提醒、審批提醒、作業計畫未完成提醒、排班提醒等，同時給維運人員提供客戶化定制提醒功能，以最大限度地保證維運工作能夠準確及時地完成。

在出現延遲後，系統提供服務等級協定(SLA)管理規則，通過該規則可以定期不間斷地提醒維運人員要及時完成工作，同時可以定義相關規則，當出現延誤後系統可以升級問題級別或者通知相關人員。

以中國聯通維運管理系統為例，中國聯通增值業務部為了適應在增值領域中市場競爭的變化，必須不斷加強對增值系統運行情況的監控和管理，並加強總部對各省分業務運行情況的統計和考核。中國聯通全國增值業務網路管理系統的建設正是為了解決以上問題，同時增值網管系統不能只監控系統硬體和系統軟體，還要對短信中心、短信閘道、語音平臺、炫鈴、WAP等業務子系統進行監控。通過對各業務子系統的整個處理流程進行監控，全面掌握各業務子系統的運行狀況。
因此，整個維運管理系統包括工單管理、總部內部管理、知識庫、值班管理、資料管理、局資料製作管理、作業計畫管理、系統管理等。

維運管理的發展趨勢

在前期，IT維運管理側重於網路、硬體等設備，隨著市場競爭的加劇，越來越多的人意識到，提高用戶滿意度、降低運行成本、保證系統遇到突發事件能夠快速地解決等軟課題的重要性，即更看重服務品質和效率。因此目前看維運系統更加突出流程化、規範化。

就目前趨勢看，基於ITIL和E-TOM等技術的維運系統是各級政府、電信、電力、金融各領域所急需的，因此在今後，維運系統的發展應該處於快速上升的趨勢。

國內的IT維運正在逐步地成熟起來。從市場上看，更多的企業開始認識到IT服務管理對企業發展的重要意義。同時，先行的企業經過多年在IT服務管理建設方面的投入，已經開始收到回報，在建設方面也越來越趨於理智，給後來者也帶來經驗和借鑒。從技術上看，經過多年的不斷實踐和努力，神州泰嶽等國內IT維運管理提供商已經摸索出一整套技術和實施方法，ITIL在國內的落地已經不再成為難題。ITSM專案的實施最終為企業業務管理和服務的提升起到至關重要的作用。因此，可以說國內的IT維運市場已經成熟，並可能在今後的五年內迅猛發展起來。

認識Common Criteria的7級安全評估等級

Common Criteria以7個安全評估等級，來界定安全性規範檢測的結果。在國際相互承認協議（CCRA）的基礎下，各國會承認EAL（Evaluation Assurance Level，簡稱EAL）等級1～4級的產品，至於EAL 5等級以上（包含EAL 5）的產品，由於屬於軍事等級的安全認證，因此各國有各各自的標準規範，並不會互通。

針對多數商用產品的最高等級為EAL 4，若廠商送產品驗證時，多增加EAL 5以上或其他不足功能的驗證，在通過驗證後，也只會標識為EAL 4+。若要在美國申請EAL 5至7級的產品驗證，就必須由美國政府「國家安全局 (NSA)」來執行。

EAL驗證需要較長的時間，光是EAL 1最初級的評估等級，測試、驗證的工作就需要花費3個月，隨的驗證等級越高，所需要花費的時間就越久，以商用產品驗證等級最高的EAL 4來說，一般而言起碼需要12～16個月的時間。也因為CC驗證時間長，驗證成本相對比較高。
若要進一步取得軍事等級EAL 5以上的驗證，甚至得花2年的時間。

此外，CC認證還有一個特別的要求，每個產品只要改版，新版產品就必須再驗證才能取得認證，如果產品有大幅改版，則認證時間勢必會延長。一般常見的認證狀況是，若有一新產品版本釋出，通常會先通過驗證等級稍低的驗證版本，隨著每次版本的升級或更新，往上取得更高階的驗證。

中興大學資訊管理系教授林詠章在〈歐盟資訊安全技術與政策發展現況之研究〉一文中提到，EAL（安全評估保證等級）等級越高，越是用於極高資產價及極高風險情況所需的極高安全應用環境。有了共同準則（Common Criteria），系統開發者可以更了解產品的安全需求，擬定未來產品發展的方向；對於系統管理員而言，可以知道電腦系統有哪些安全管理功能，做為擬定安全管理之策略；評估人員可以更正確且客觀地評估電腦系統的安全性，而安全稽查人員也可藉此來評估，系統管理員是否確實管理電腦系統。文⊙黃彥棻


Common Criteria的7級安全評估等級

評估等級：EAL 1
審驗時間：3個月
內容：功能檢測（Functionally Tested）
安全等級的說明：只檢測一個產品最基礎的功能，不包含任何安全性的評估，不保證安全性。取得EAL1驗證等級，只表示這個產品能夠開機、執行，不涉及任何安全性議題。

評估等級：EAL 2 　
審驗時間：6個月
內容：結構檢測（Structurally Tested）
安全等級的說明：EAL 2安全程度比EAL1高，EAL 2才開始會作安全上的檢測。會用寬鬆的標準作適當的原始碼檢查，但嚴謹程度低於EAL 3。

評估等級：EAL 3
審驗時間：9～12個月
內容：系統測試及檢查（Methodically Tested and Checked）
安全等級的說明：EAL 3更嚴格檢查程式碼，但不需要重新翻修程式，也不會打斷整個開發流程。EAL 3不像EAL 4必須評估漏洞修補的成本，所以EAL3還是採用比EAL 4寬鬆的安全檢測標準。

評估等級：EAL 4 　
審驗時間：12～16個月
內容：系統設計、測試及審查（Methodically Designed, Tested and Reviewed）
安全等級的說明：EAL 4是最常見的安全性驗證標準，例如Windows 2000、NetWare等都取得EAL 4以上的認證。只有到EAL 4時，大家才會接受這個驗 證，能有效確保系統的安全性，而供應商也會將漏洞修補包含在安全性檢測基本項目中。

評估等級：EAL 5　
審驗時間：18～24個月
內容：半正規設計和測試（Semiformally Designed and Tested）
安全等級的說明：EAL 5是一個比EAL 4要求更周延的的安全驗證等級，必須經過非常嚴格的驗證流程，花費的時間、成本都比EAL 4還高。但不見得需要取得EAL 5驗證。

評估等級：EAL 6
內容：半正規查證設計和測試 （Semiformally Verified Design and Tested）
安全等級的說明：EAL 6驗證如同是針對客戶提出某些高風險、特殊的安全要求，不惜耗費時間、金錢，一定要達到客戶的安全性要求。要取得EAL6的驗證。安全是EAL 6的基本要求，這意味著，整個系統的開發都必須奠基在安全的要求上。

評估等級：EAL 7
內容：正規查證設計和測試 （Formally Verified Design and Tested）
安全等級的說明：EAL 7只有用於極度高度風險的系統，對系統的要求不只是能用而已，還必須具有極度高度的風險性要求。金錢和時間花費難以想像，只會用在具有特殊安全功能的特定系統中。

資料來源：IBMTUV、國家通訊傳播委員會（NCC）、電信技術中心資通安全實驗室、〈歐盟資訊安全技術與政策發展現況之研究〉中興大學資訊管理系林詠章教授，iThome整理，2008年3月

通過CC認證的知名IT產品一覽表
http://www.ithome.com.tw/itadm/article.php?c=47886&s=4

http://www.atsec.com/01/index.php?id=06-0001-03

ITIL紛爭愈演愈烈 中國細分市場發展最快

IT不僅僅是服務於企業，更重要的是，IT將驅動業務的發展，這就是ITSM的最高境界-BITA(Business & IT Align-ments)，即業務與IT的融合。

　　ITIL是一套理論框架，而企業需要的是可操作的具體方法。如具體的制度、流程、員工的崗位手冊、職位描述、管理工具等等。因此在ITIL具體實踐時，需要有一套良好的方法論來彌補理論與實踐之間的差距。

　　HP、IBM、CA、BMC等公司都已經基於ITIL標準推出了自己的實施方法論和軟體工具。 在ITIL這套公共框架的基礎上，各家公司各顯其才，創造出了各自的實踐模型方法論和解決方案產品。

　　在實踐模型方法論上，兩大巨頭各有所長：惠普HP擁有廣為人知的ITSM(IT Service Management Reference Model)，而IBM則擁有歷史悠久的ITPM(IT Process Model)。此外，冠群CA的"管理按需計算"和BMC軟體的業務服務管理BSM(Business Services Management)也爭奇鬥豔。不僅如此，甚至連微軟也推出了它基於ITIL的管理運營框架(Management Operations Framework)。

　　而在解決方法和產品工具上，HP有SeviceDesk和Openview的集成;IBM有Tivoli;CA有ServiceDesk和 UniCenter;BMC有Remedy;Peregrine Systems有SeviceDesk和曾經擁有Remedy。

　　論歷史，IBM的ITPM甚至先於ITIL。藍色巨人IBM在70年代晚期就開發出了ITPM，後來又於80年代初期將其系統管理原理總結發表為"黃皮書 "-"資訊系統管理系統"(A Management System for Information Systems)。而那時，ITIL還在十月懷胎階段。ITPM連同這黃皮書一起都成為當時ITIL開發的重要參考。

　　然而，ITIL誕生後迅速在全球獲得了推廣，而ITPM在市場上則一直沒有太大起色。隨著ITIL成為業界公的標準，IBM只能想盡辦法將和ITIL"套近乎"，從將ITIL框架整合入ITPM，到推出IRM(IT Resoures Management)，再到Tivoli軟體或多或少實現了ITIL的部分功能。但始終仍然缺乏一個能夠完全實現流程整合的集成化服務管理解決方案。

　　隨著IT服務管理巨頭之一Peregrine Systems將其最大競爭對手Remedy收歸旗下，2001年IBM與Peregine開始合作，並於2002年4月，共同宣佈了策略聯盟協議(Strategic Alliance Agreement)。希望籍此一致對外，化干戈為玉帛，強強聯手，由競爭對手變成合作夥伴，努力打下IT服務管理業的一壁江山。

　　然而，甚至塵埃尚未落定，業界便驚爆Peregrine的假賬醜聞。2002年8月，Peregrine因深陷財務危機不得不申請破產保護!2002年11月BMC軟體正式對外宣佈將Peregrine旗下的Remedy收歸囊中。

　　IBM與Peregrine的聯盟終歸功虧一簣
　　Peregrine經過三年的瘋狂擴張，包括吞併它的最大對手--Remedy，在2001年迅速地成長為整個SeviceDesk領域的領袖。但是好景不長，2002年5月受累於前五大會計師行之一安達信的破產而被爆假賬醜聞，隨後Peregrine被納斯達克市場除牌。由於財務狀況的不穩定和市場信譽的下跌，它遭受了沉重打擊，以至於不得不放棄一些不屬於技術基礎設施管理的核心產品，以及剛並購來的Remedy。時至今日，Peregrine已經元氣大傷。

　　Peregrine產品的傳統強項在於它的強大功能，但是競爭對手的強項(例如通用的架構、簡化的價格)正是Peregrine的弱點。由於現在的經濟環境要求客戶審慎地評估企業的解決方案開支，所以他們面臨的挑戰更為艱巨。而且Peregrine還面臨著在架構投資和功能投資的重整，它正在失去市場中的領導地位。

　　BMC軟體2002年通過對Remedy解決方案的收購為其服務和基礎設施管理產品添加了一個關鍵的元件。事實上，Remedy一直在Service Desk市場中處於領先地位。被Peregrine收購後，儘管Peregrine的財務狀況一直很不穩定，但是Remedy的客戶群一直保持著穩定的增長。所以，BMC不惜斥鉅資並購Remedy。2003年4月BMC軟體宣佈其業務服務管理BSM做為全球的一項全新戰略進行推廣。目前，BMC軟體公司已將BSM戰略貫徹到其三個核心組件中：服務影響管理、IT 服務與應用管理以及IT運營與基礎設施管理。

　　未來BMC將仍然面臨著一些挑戰，其中最緊迫的就是如何將Remedy解決方案所提供的服務流程和基於BMC的核心功能產品的基礎設施管理流程無縫地結合在一起。

　　相比IBM而言，另一IT巨頭HP在ITSM之道上似乎更加穩健。從ITIL醞釀之初，便積極參與ITIL的開發和規劃。從忠實擁護ITIL,到開發出 ITIL的HP ITSM模型，再到今天為客戶提供ITSM的培訓、認證、諮詢、規劃、實施的全面服務，在眾多的同行企業中脫穎而出。

　　2004年5月，HP成功並購美國的Manage One和歐洲的CEC。這是兩家專注於ITIL諮詢與培訓的的權威公司。2004年7月，HP又對外宣佈計畫收購ProActive Services Pty公司。這又是一家重要的ITSM培訓諮詢公司，總部位於澳大利亞。毫無疑問，這些都將進一步增強和鞏固HP在ITIL標準和ITSM的領導地位。而且HP正通過這些並購為其歐美亞太版圖的拓展打下堅實的基礎。事實上，HP ITSM已經應用於全球10000多家各行各業的龍頭用戶。按照HP的說法是"在融入ProActive Services的技能和知識之後，HP擁有了業界最大、經驗最豐富ITSM團隊"，"HP成為唯一能夠提供更廣泛服務的廠商"。

　　概念之戰？

　　ITIL這塊市場上，近幾年來概念仗也似乎愈來愈炙手可熱，頗有些百花齊放，萬象爭鳴的味道。從IBM的"隨需應變"、HP的"動成長企業"到BMC的"業務服務管理"，再到CA的"管理按需計算"，各種新概念新思想層出不窮。

　　IBM提出的隨需應變的電子商務為企業提供的是"隨需應變"的計算能力和"隨需應變"的操作環境，它是IBM在硬體、軟體、服務方面的一個大方向，廣泛概括了IBM希望引導企業走向的前景。

　　而HP惠普的"動成長企業"似乎專為ITSM打造。它非常切合中國企業的現狀--在經濟高速成長背景下的快速發展帶來了不斷的成長性需求;而HP的 ITSM就是為企業的動成長提供動力。這一定位可謂清晰明確。基於動成長企業戰略的管理軟體、服務和解決方案能夠動態地連接業務與IT，實現IT與業務的最佳同步，使企業不斷以創新追求成長。

　　從中，我們可以看出領導IT潮流的巨頭們已經深刻地意識到，無論採用什麼樣的產品技術，客戶最終關注的是業務，是如何有效利用現有環境，提升業務能力和服務水準。這些IT巨頭們的目光已不僅僅局限在IT的角度，而更多地是從企業戰略發展的角度來引領IT的發展;它們強調管理，強調如何將企業的IT與業務有效地結合。也就難怪ITIL成為當前的熱點。

　　ITIL帶來了什麼？

　　ITIL為企業的IT服務管理實踐提供了一個客觀、嚴謹、可量化的標準和規範。它被喻為"以20%的投入獲得80%的收益"。

　　據報導，美國的寶潔公司從1997年開始採用ITIL IT服務管理方法體系，在隨後的四年中節省了超過5億美元的IT預算，其運作費用降低了6%～8%，與此同時技術人員的人數減少了15%～20%。大量的成功實踐表明實施IT服務管理可以將企業IT部門的運營效率提高25-300%。加特納(Gartner)和國際資料集團(IDC)等世界權威研究機構的調查研究也表明，通過在IT部門實施最佳服務管理實踐，可以將因重複呼叫、不當的變更等引起的延誤時間減少79%，每年可以為每個終端用戶平均節約800 美元的成本，同時將每項新服務推出的時間縮短一半。

　　實施ITIL後企業可以獲得的利益主要包括:
　　● 減少重複工作和冗餘工作，有效利用人力資源。
　　● 提高IT員工的專業素質，提高員工的服務能力和工作效率。
　　● 規範IT部門的服務水準，規範工作流程，降低由人事變動導致的風險。
　　● 提高IT服務的可用性、可*性和安全性，為業務用戶提供高品質的服務。
　　● 有效控制IT部門的開支，降低IT運營成本，減少運營風險。
　　● 總體上提高企業IT投資的回報，給企業帶來巨大的經濟價值，提升企業的綜合競爭力。

　　"今天，客戶需要什麼?毫無疑義，是業務的靈活性和彈性能力。HP幫助客戶把企業業務與IT架構緊密聯繫起來，用一套經濟有效、穩定、靈活的技術架構做支撐，利用ITSM行業標準，有效降低它的複雜性，優化企業資產，其中包括設備和人力資源，從而提高工作效率，更有效地與客戶進行溝通，使企業擁有更強勁的市場競爭力。" HP全球副總裁Brian Brouillette如此解釋HP ITSM服務的目標與價值。據惠普對外公佈資料，惠普與康柏的合併中節省了10億美元基礎設施成本，其中的三分之一的貢獻就來自于ITSM的應用。

　　正所謂"世界上沒有純粹的IT專案，只有為業務服務的IT專案"。過去，企業CIO們關心的是如何降低IT系統的成本和風險，但今天CIO們必須考慮如何讓IT系統具備足夠的靈活性適應性以應對快速變化的業務需求。傳統的IT管理模式受到了巨大的挑戰。"以服務的形式提供業務所需的IT資源"成為必然，IT服務管理成為必然，ITIL成為必然。

　　ITIL在中國

　　據有關資料顯示：2004年上半年，中國IT服務市場實現銷售額295.9億元，同比增長44.3%;而在去年，中國IT服務產業規模就已達544億元，年增長率達26.7%，其增長速度遠遠高於中國GDP的增長速度，而且明顯高於中國硬體和軟體市場的增長速度;到2008年，IT服務市場有望達到 1706億元的規模。 而其中，IT服務管理是專業服務市場中增長最快的細分市場。

　　儘管ITIL在國際上已廣為人知，但在中國而言，仍然是個新鮮詞。與國外特別是歐洲和北美地區如火如荼的發展狀況相比，IT服務管理在我國還處於發展初期。目前，國內IT服務管理的市場基本還僅限於金融和電信等行業的高端企業。但是，正如國家資訊化測評中心副主任胡建生所指出，我國每年有幾千億的資訊化投資急需有效管理，需要ITSM幫助中國企業建設"有效益的資訊化"。業內普遍認為，隨著國內企業IT應用水準的提高，中國的IT服務管理市場將在未來三五年內成熟。

　　2004年5月業界公認的ITIL權威專家Malcolm Fry前來中國佈道，表達了同樣的熱切：世界上的主流IT資源管理解決方案提供商擁有兩大優勢：一方面利用ITIL標準來開發或者銷售產品; 一方面通過運用ITIL標準使內部運作變得更高效。相對而言，中國企業在這兩方面都較少作為。Malcolm說，"五六年前，歐洲很多大公司和政府部門選購產品，就要求必須符合ITIL標準。"

　　如果說，全世界的麥當勞，提供著外觀和口味相同的漢堡、薯條，這*的是工藝手冊。那麼，ITIL就是IT服務的標準手冊。依據這個標準手冊提供的產品與服務，將是市場認可、客戶滿意的。然而，這一切又談何容易。在中國現在，國內廣大企業對基本的IT服務管理理念尚缺乏基本的瞭解和認識。很多企業甚至不知道有IT服務管理這回事，更加不能理解IT服務管理的含義和價值，所以就更談不上要不要實施ITSM。加之某些誤導，有些給客戶實施的僅僅是傳統的系統管理並沒有進行IT服務管理最核心的 IT管理流程重組，卻誤導企業為IT服務管理，令企業對IT服務管理進行了錯誤的認知和評估。再有，國內的成功案例少，缺少"現身說法"，企業對實施IT 服務管理信心不足。

　　此外，一旦實施ITIL建設，企業要付出的不僅僅是ITIL的建設資金，還有時間、人員、管理等多方面的大量資源。實現整個ITIL規範需要很長的時間，大多情況下我們看到的都只是部分的實踐。好的在於，ITIL是一服務管理規範框架，客戶可以根據自己的能力定義自己所要求的不同服務性能水準。也就是可以採用持續的過程改進戰略逐步實現這些過程。

　　itSMF首席執行官Aidan Lawes這樣說，"我已經做了30年的技術工作，這一經歷使我深深地認識到，業務與IT的成功整合絕非易事"。同時，他又說，"IT不僅僅是服務於企業，更重要的是，IT將驅動業務的發展，這就是ITSM的最高境界-BITA(Business & IT Align-ments)，即業務與IT的融合。"我想，這也是我們中國企業所必須面對的難題我們必須迎難而上，因為，我們生存在一個變革的時代。

十大優秀開源(Open Source) 網路及系統管理工具

很多網路界的朋友都不得不面臨一個決擇,那就是在網路系統搭建起來後,選擇哪一款網路管理軟體?目前網路管理軟體太多了,支援的系統也是五花八門,我用過MRTG,PRTG和OpenNMS,都是免費的,要錢的用不起呀!
所以,希望轉載的這篇文章對大家會有所幫助，祝你們找到自己的喜愛！
---------------------------------------------------------------

如果您的公司排名在Fortune 1000強和中小企業之間，那麼您網路管理的選擇形勢看似比較嚴酷。你既不能在小市場上收集一堆拙劣的玩意來組成一個解決方案；你也不能花很多錢買一些真正不需要的高科技產品。這裏有一個很好的選擇：試用可一個開源的網路管理方案，加專業服務，包括開發和技術支援。

Open Source = Flexible 開源＝靈活性
一個開源的解決方案對廠商來說也是非常靈活性的，他們很快地增加新技術的支持，比改進一個私有系統更快。例如：當Ubuntu 7.04 “Fiesty Fawn”四月份發佈之後, Hyperic HQ在發佈的第二天就宣佈了對其提供技術支援。當談到開源的網路管理方案時，公司最需要也用的最多的技術莫過與監控功能。不過監控技術在很大程度上已經變成了日用品。通常的，專業化版本的開源IT管理軟體平臺集成多個其他開源專案在一個框架中，象Nagios網路監控等；並且加入統一的網路介面；並且提供技術支援服務。另外，他們都想通過強大的社區來提高和改進代碼，跟蹤bug等。

六個企業級平臺
下面的六個開源IT管理都可能用作HP, IBM, CA 和 BMC大型管理套件的替代品。每一個都能提供低價的專業服務和免費軟體下載。它們的不同支援在與所提供的功能和支援的作業系統。

Quest Big Brother
這個Web-based系統和網路監控產品能支援 Windows, Unix 和Linux等操系統, 還有一個通過用戶投稿形成的腳本知識庫，利用它能容易地定制Big Brother取管理你的網路。它的GUI是一個不錯的特色，使用相同的顏色代碼；紅色代表不好，綠色代表好。

GroundWork Open Source Monitor Professional
2004年發佈，它是最早的企業級網路管理產品之一。它集成了超過100種最好的開源項目，包括Nagios, Apache 和 NMap, 在這個框架之上有添加了很多特有功能，例如Web-based用戶介面等。Monitor提供了集中化的監控和管理，管理和監控你的企業網路，包括Linux, Unix 和Windows 伺服器, 應用, 資料庫和網路設備。

Hyperic HQ Enterprise
瞄準的是一個資料中心，Hyperic被設計為去監控和管理Web應用的所有層次， 包括硬體、中間件、虛擬化、Web和開放式應用。它還提供基線和趨勢分析。它支持 Apache, JBoss, Linux和更多應用。

OpenNMS
這個 Java-based 網路管理工具專注於網路服務輪詢，資料獲取和事件/告警管理。它目前支援多種開放式作業系統，包括Linux, Mandrake 和Solaris,還有Mac OS X; Windows 系統的支援計畫在OpenNMS 2.0中實現。

OpenQRM
也瞄準了資料中心的管理，OpenQRM不僅能管理數以千計的Linux和Windows伺服器，還能跟蹤計量你的資料中心的使用率和效率。 他還能做自動化基於策略的provisioning。它也集成了Nagios作為監控功能。

Zenoss Core
基本上都是Python寫的，這個管理平臺提供了伺服器、網路設備、OS和應用的事件管理、可用管理、和性能管理。Zenoss 能運行於Linux, FreeBSD 和 Mac OS X；它也可以作為一個Zenoss 虛擬應用運行在VMplayer 裏。

四個無支援的專案
這四個專案位於TOP10 開源網路管理工具中。不象那六個產品，它們不提供商業的服務和企業級的增強功能。但是它們是絕對的free，而且你可以擁有所有需要的網路健康性檢查功能。

Nagios
這是一個開源的運行在Linux作業系統上的主機、服務和網路監控程序。

Just For Fun Network Management System (JFFNMS)
JFFNMS能監控標準的SNMP (Simple Network Management Protocol) 網路設備，伺服器、路由器和TCP埠。它工作在Linux, FreeBSD 和Windows 2000/XP。

Big Sister System and Network Monitor
這個專案包括了real-time system 和network health monitor, 一個Web 應用框架和一個系統管理應用。

Netdisco
這個Web-based應用被設計為管理中道大型網路和其中的SNMP網路設備。
--------------------------------------------------------------
好吧，全文就完了，行動吧