【廉環話】漫談信息安全設計與治理之組織與團隊
原創【51CTO.com原創稿件】我們的漫談又如約而至了!這次我們先來設想一個場景:有一把豆子散落在桌上,你用力一拍,雖然會有幾個豆子隨著你的震動高高躍起,但也難免會有些借此跳到地上。前面我們花篇幅聊了企業里各種人員角色的日常工作中所涉及的信息安全相關問題,而現在不都講求團隊協作嗎?那么怎么才能通過無形的“桌邊板”來使得這些驍勇善戰的“豆子”,既能跳的高,又不落到桌子下面呢?
好,開篇我們先來看兩個就發生在廉哥身邊的安全事件。話說上周我同學收到他老板轉發來的內容是***行業資料的短信,老板還親自到他身邊解釋說,發信人是他有一段時間沒聯系的朋友,老板懷疑是病毒,所以讓作為IT的他下載著試試看,并附言“你們技術大牛,這方面有經驗,就算是病毒也不怕。”他明明一眼看出是病毒,但不敢駁老板的面子和信任,所以“門檻精”的他迅速轉發給了我這個所謂的“安全專家”。而我礙于和他多年的“生死之交”,又無人轉投,只有仗著自己手機有防護軟件,硬著頭皮去試了。結果不出所料,只剩下孤獨的我忙不停的給手機殺毒,并咒罵這個“豬一樣的隊友”啊。
我們再來看另一個真實的安全事件。為了方便交流,我們信息安全部身處各地辦公地點的同事們有個微信群,一天我突然收到群里的一哥們發來的“能交話費嗎我手機停機了幫我交200話費152XXXXXXXX我改日給你錢”。我本以為這種低劣的騙術沒人會上當,可是過了一會兒,就真有個小伙伴大呼:剛剛反應過來是詐騙,而且已經上當了,并歸咎發信人是自己很熟悉的同事,平時互相幫忙充值乃常事,怎知這次被盜號了。接下來的劇情就很狗血了。大家一致批判他身為信息安全中人還犯低級錯誤,甚至有人從文法的角度分析了此盜號后的欺詐短信的各種破綻。中招之人不配留著群中,云云。可以想象如果這個時候“舔屏”可以把錢弄回來的話,那人肯定做了。
可見這兩個安全事件都與技術攻防無關。正所謂“獵人終日打雁,卻被雁啄瞎了眼。”對于基本的安全知識,我們IT人員比一般用戶更明白,但關鍵是在人情面子的壓力下和似曾相識的情景里能否保持頭腦清楚恪守規范的處置流程進行應對呢?警鐘要一直長鳴啊!
有道是:二人為從,三人為眾,有人的地方就有江湖。所以我們有必要來進一步討論一下對于同等職能人員群體的安全治理(說人話!就是組織與團隊的治理)。大家都知道,一般非IT類企業不同于專門的IT公司之處在于:需要有一個比較穩定的IT運維團隊。而要留住人,就需要滿足人的需求。IT運維人員多是技術出身,因此除了一個員工所關注的工作環境、職業發展和薪酬待遇外,還注重個人技術水平的提高。因此可以從如下四個方面入手。
組織的建設
在IT團隊的組織架構上,一般企業可采取一種扁平化的矩陣式結構,即:在各個區域(regional)配置一名IT經理(direct line),以全面負責技術、項目管理和資源調配等工作;而各個分支機構(local)的行政人員(dot line)則管理所轄區域內IT人員的事務、考評、職業規劃等人力管理工作。在管理矩陣里的每個交點的時候,要做到全面立體,公平公正。在這樣的架構下要建立一支有凝聚力,有戰斗力,齊心協力的團隊應注意如下四點:
1. 曹孟德曾友情提示過:“疑人不用,用人不疑。”適當授權與合理管控相結合,使運維人員既感受到信任,又能使其操作行為符合既定目標。
2. 通過技能征集、知識庫創維和技術問題公示/競賽等方式來激發運維人員的參與意識并使其才能得以施展,同時塑造出相互學習、取長補短的氛圍。喬幫主不是告訴過我們:Stay hungry stay foolish?
3. 通過在一定范圍內通報或表揚運維人員的突出表現或取得的集體榮譽,可使員工感受到尊重和賞識,同時也能形成和強化“榜樣的力量”,從而產生"倍數效應"。
4. 及時發現團隊中工作有抵觸情緒,抱怨多、合作差,以及缺乏責任心的人員,并予以教育和糾正。果斷的將屢教不改的人員清理出團隊。該出手時就出手!
人盡其才
企業應當給運維人員創造和提供廣闊的個人發展前景與空間。根據人員自身特點一般可以分為三大類:創新型,事務型和復合型。
1. 對于創新型人員,可以安排系統設計,改進或編程等工作。
2. 對于事務型人員,可以安排例行檢查,操作實施等工作。
3. 對于復合型人員,可以安排項目管理與跟進,用戶溝通的工作。
不同類型的人員適合不同崗位,組織和部門只有合理安排、科學分工才能讓各種運維人員各司其職,并不斷在本崗位上鍛煉其技術能力、協作能力和問題處理能力,進而實現這個“不可能三角”的平衡與和諧。
培訓與交流
IT技術的發展日新月異,因此運維人員的培訓應當盡量制度化,常規化。其內容除了基本的工作職能、組織方針及流程外,還可根據員工的角色的不同進行定制“學習曲線”,從而起到規范日常行為,保持技術更新,加強安全意識等作用。不求團隊里各個都能以一當百,也至少要做到互為“備份”。
這是一個“分享經濟”的時代,在運維過程中很多事務是需要團隊協作完成的,因此人員之間的交流必不可少。在交流的過程中要注意把握知識與信息的區別,即:技術和專業知識是可以用來共享和交流的;而與個別工作相關聯的信息特別是一些涉密信息是不可以用來共享與交流的。IT管理層要努力使整個部門的人員能每兩周或者每個月有一次集中交流和溝通的機會,主管可以籍此傾聽來自不同層面的聲音,正所謂“上級知道下級在干什么,下級了解上級想干什么和自己要什么”。這對于地域較為分散的員工來說不但可以增強組織凝聚力,還可以發揮大家對各種事務、項目等方面的參與精神。甚至可以將一些潛在的問題解決在萌芽狀態。
另外,外企里經常會出現一種會叫做talkfest(懇談會),其目的是以on the table的形式,將很多事情放在桌面上大家談開來,也就方便推進和開展了。形式上不必拘泥在公司的會議室。什么出去team building的時候,或者微信群的方式,都是可以的。大家在一起brain storm出一些好的解決辦法,亦或關起門來吐吐槽,不需要什么所謂的“一場和諧的大會”,哪怕是同仇敵愾的編排那些我們不得不待如“初戀”的甲方都是好的。當然作為team leader,要注意把握和控制好“度”,要善于去引導和lobby大家,以達到項目或工作的推進目的。手段上嘛多種多樣啦,就像愛情中的男女常掛在嘴邊的那句一樣:“合適才是***的”。
目標與考核
除了由直接領導的工作分派外,員工也可參與其自身工作目標的制定。這里可以借鑒工程項目里的“里程碑”的概念,明確“時間、目標、資源三個要素”,以時間軸為主線,制定出清晰明確的短、中、長期目標和所涉及到的人力、物力、財力等資源,并以此來定期衡量工作的階段性成果或是達標情況。
對員工的考核一定要客觀公正,特別要抓住其關鍵指標(KPI)。直接領導***為每位屬下設置一本“工作臺帳”(or工作筆記),及時準確的將表現情況和工作完全情況進行記錄,以免時間推移所造成的“一葉障目”或“人格假設”。在實際考核環節中,可采用非常普遍的“360度全方位考核”標準,即直接領導、屬下、本部門同事和受服務的用戶,綜合對一個人進行匿名考評。而對于考核結果,在單獨向被考核人員溝通的同時,也保持開放的態度凝聽其反饋。精神與物質兼顧;獎勵與懲罰獎勵并重。這樣既保護運維人員的工作積極性又保證其崗位的穩定性。
團隊保值和用戶應對
這里我習慣借用企業管理的SWOT分析法來考量運維團隊自身的S (strengths)是優勢、W (weaknesses)是劣勢,O (opportunities)是機會、T (threats)是威脅。這是團隊常青的法寶,也是不斷證明自身存在價值(對于IT運維團隊,實際上這一點非常重要。)的利器。不過具體如何實踐操作真的因人而異,因地制宜,并無定式。旨在證明我們的團隊在企業中“存在必定合理”而不是大家印象中的“燒錢部門”。
既然我們運維說到底也是服務部門,那么搞定服務對象,應該是我們的最終目的之一。這里可以借鑒的方式有如下:
1. 設立用戶開放日或組織用戶關懷培訓。
邀請用戶來參觀或業務學習,此舉既能讓他們了解我們小伙伴們的日常運維活動及處理流程,又能培養他們基本的問題應對意識與能力。還記得嗎?一些知名奶制品企業,不是經常要去消費者去奶源基地參觀嗎?這既表明對自己的產品有信心,經得起檢驗,也暗示著:“大家都是出來混的,都不容易啊。”
2. 和用戶開通氣交流會,請他們定奪一些事情。
我們小時候經常被教育要發揚“主人翁精神”,現在周圍也經常提倡和講究“體驗經濟”,請用戶來商量或是參與決策,無疑是讓他們既刷出了“存在感”,又體會到了“作上帝”的感覺。
3. 定期發送報告并有針對性的回復
人與人的交往以及好感都是遵循“遺忘時間曲線”的。很多電商經常會以定期短信或微信的形式remind甚至是attract你。而你真正能動心的莫過于,收到的內容是為你定制的,并且對過往的消費以及問題有解答。運維團隊同樣用此法對待用戶,友誼的小船也不會說翻就翻的。
4. 多做一步的服務理念
這一點對團隊的觀察力和業務能力要求比較高,比如到用戶那里,不但幫他把job A做了,發現B也需要幫忙,就在告知對方的情況下,把job B也完成了。說白了,提供了增值服務(Value Added Service)。你說用戶能不爽嗎?
大家喜歡看《復仇者聯盟》就是因為它把不同能力的動漫英雄們集結在了一起去持續“打怪”。而現在演繹到兩派“開撕”也就是因為美國隊長和鋼鐵俠產生了意見分歧。可見,用組織和團隊的一些既定的“餐桌禮儀”來規范部門員工的日常運維工作是非常必要的。少一點“獨立玩耍”,多一些“化合反應”,才能使得有機體在一起產生正反饋。大家下期再見!
【51CTO原創稿件,合作站點轉載請注明原文作者和出處為51CTO.com】