雨夜观月

酝酿两年之久的中国版“萨班尼斯－奥克斯利法案”最终出炉。《财经》记者获悉，《企业内部控制基本规范》（下称《基本规范》）经财政部、证监会、银监会、保监会及审计署等五部委会签后，于28日联合发布并试行，自2009年7月1日起先在上市公司范围内施行，鼓励非上市的其他大中型企业执行。

企业内部控制规范起草说明
企业内部控制规范——基本规范（征求意见稿）

企业内部控制具体规范第xx号–货币资金（征求意见稿）
企业内部控制具体规范第xx号–采购与付款（征求意见稿）
企业内部控制具体规范第xx号–存货（征求意见稿）
企业内部控制具体规范第xx号–对外投资（征求意见稿）
企业内部控制具体规范第xx号–工程项目（征求意见稿）
企业内部控制具体规范第xx号–固定资产（征求意见稿）
企业内部控制具体规范第xx号–销售与收款（征求意见稿）
企业内部控制具体规范第xx号–筹资（征求意见稿）
企业内部控制具体规范第xx号–成本费用（征求意见稿）
企业内部控制具体规范第xx号–担保（征求意见稿）
企业内部控制具体规范第xx号–合同（征求意见稿）
企业内部控制具体规范第xx号–对子公司的控制（征求意见稿）
企业内部控制具体规范第xx号–财务报告编制（征求意见稿）
企业内部控制具体规范第xx号–信息披露（征求意见稿）
企业内部控制具体规范第xx号–预算（征求意见稿）
企业内部控制具体规范第xx号–人力资源政策（征求意见稿）
企业内部控制具体规范第xx号–计算机信息系统（征求意见稿）

IT治理重在事前控制

北京信息空间文化经济研究院首席顾问苏彤老师在去年的中国公司治理暨IT治理年会上讲过这样一个故事。

魏文王问名医扁鹊说：“你们家兄弟三人，都精于医术，到底哪一位医术最好呢?”

扁鹊回答说：“大哥最好，二哥次之，我最差。”

文王再问：“那么为什么你最出名呢?”

扁鹊答说：“我大哥治病，是治病于病情发作之前。由于一般人不知道他事先能铲除病因，所以他的名气无法传出去，只有我们家里的人才知道。我二哥治病，是治病于病情刚刚发作之时。一般人以为他只能治轻微的小病，所以他只在我们的村子里才小有名气。而我扁鹊治病，是治病于病情严重之时。一般人看见的都是我在经脉上穿针管来放血、在皮肤上敷药等大手术，所以他们以为我的医术最高明，因此名气响遍全国。”

“这个为人熟知的故事讲了一个很浅显的道理——事后控制不如事中控制，事中控制不如事前控制。可惜大多数的事业经营者均未能体会到这一点，等到错误的决策造成了重大的损失才寻求弥补。弥补得好，当然是声名鹊起，但更多的时候是亡羊补牢，为时已晚。”苏彤评论说，“这正是IT治理意味深长的地方!”

根据美国IT治理协会的定义，IT治理是“一种引导和控制企业各种关系和流程的结构，这种结构安排旨在通过平衡信息技术及其流程中的风险和收益，增加价值以实现企业目标。”中国IT治理研究中心在综合研究的基础上提出如下定义：IT治理用于描述企业或政府是否采用有效的机制(就是为鼓励IT应用的期望行为而明确决策权归属和责任承担的框架)，使得IT的应用能够完成组织赋予它的使命，同时平衡信息技术与过程的风险、确保实现组织的战略目标。 “治理和管理的区别就在于：治理是决定由谁来进行决策，管理则是制定和执行这些决策。”孙强说，“这是一个硬币的两面，谁也不能脱离谁而存在。”IT管理是公司的信息及信息系统的运营，确定IT目标以及实现此目标所采取的行动;而IT治理是指最高管理层(董事会)利用它来监督管理层在IT战略上的过程、结果和联系，以确保这种运营处于正确的轨道之上。

近来和同事谈起组策略的相关东西，咨询了相关MVP之后，得到如下的结论

一般来说策略的应用次序如下：
本地－站点－域－ou
如果存在冲突，后执行的覆盖前面执行的，关于组策略执行次序请参考[quote]http://gnaw0725.blogbus.com/logs/10792663.html
组策略执行顺序优先级|到底哪个组策略最终生效

组策略执行顺序优先级|到底哪个组策略最终生效？请问，default domain policy 和 default domain controllers policy的关系是怎样的，谁优先？我要实现的是，WSUS对于AD服务器和其他的计算机不同的策略。其他机器在default domain policy中设置了，而AD在default domain controllers policy中设置了不同的策略。这样会有怎样的结果？

回答：根据您的描述，我对这个问题的理解是：您想了解组策略应用方面的信息。如果我的理解有误，请告诉我。

组策略的应用次序是本地->站点->域->OU，如果策略有冲突，则后应用的生效。因为Default Domain Controller policy是OU策略，所以它会覆盖Default Domain Policy的设定，最终生效的是OU上的策略。

[/quote]

但密码策略是个比较特殊的策略，本地策略仅影响本地账户，只有域策略才能影响域账户，

关于密码策略的问题请参考

[quote]

http://gnaw0725.blogbus.com/logs/5823149.html
密码不符合系统密码复杂性策略

密码不符合系统密码复杂性策略：密码策略一直是活动目录策略中比较特殊的一个策略，也是很多刚接触AD的朋友们经常遇到的问题。系统可能会提示“密码不符合系统密码复杂性策略”。这种情形无论是在域控制器上管理员更改用户账户密码，还是在客户端上用户更改自己的密码，都可能遇到。为了正确解决这个问题，就需要我们对密码复杂性有所了解，所谓密码复杂性，是指：

• 密码必须至少包含 6 个字符。
• 密码不能包含您的用户名或您的全名的任何部分。
• 密码必须至少包含下列四类字符中的三类： 说明 示例
英文大写字母 A, B, C, …Z
英文小写字母 a, b, c, … z
西方阿拉伯数字 0, 1, 2, … 9
非字母数字（“特殊字符”） 标点和其他符号

密码复杂性的要求，被硬编码在 Passfilt.dll 文件中，且不能通过用户界面或注册表进行更改。关于此问题请参考 http://support.microsoft.com/kb/279890/zh-cn
一般情况下，微软不推荐大家禁止密码复杂性，这样会降低活动目录乃至整个基础架构的安全性。那么大家该用什么样的密码，才符合密码复杂性呢？其实也很简单，例如 Password! WindowITPro99 等等。但需要把握的一个原则是，不能太复杂，否则用户可能会把密码写在纸片上，放在桌子上，那就适得其反了。
关于如何在组织中强制使用强密码，请参考 http://www.microsoft.com/china/technet/security/sgk/enforce_strong_passwords.mspx
关于密码策略更为详细的介绍，请参考 http://www.microsoft.com/china/technet/security/guidance/secmod49.mspx#EDAA
需要提到的几点：
1、由于密码策略属于域策略，故而一般情况下，是修改Default domain policy。如果修改某个OU的密码策略，那么仅仅会影响该ou下的计算机本地账户，而不会影响到任何域账户。
2、如果在设置域密码策略之前，在用户账户属性中设置了相关的密码选项，那么最终以用户账户属性为准。
3、由于密码策略属于计算机策略，那么更改密码策略后，您可能需要重新启动所有域控制器，才会立刻产生效果。
4、由于密码策略属于计算机策略，那么更改密码策略后，您可能需要重新启动客户端计算机，才会立刻产生效果。
5、和众多写入注册表的策略一样，如果您想禁用密码复杂性，简单的将密码复杂性策略项设置为“未定义”是无效的，必须设置为一个确定的状态，即“禁止”。

[/quote]

AIX中，我们一般跑的脚本，有时候会很慢且极度占用资源，导致客户不满，删掉或禁用

/usr/bin/find / -name '.rhosts' -exec /bin/ls -al {} \; -exec /bin/cat {} \; >>& ${SPECIFICO}

再和客户去确认.rhosts文件吧。。
一般这样脚本会在30秒内跑完，不会引起客户顾虑。。

马可波罗假日酒店-住在床上看西湖 – -|| 汗，似乎不可能，这家酒店吹大了。