以前一直用360安全卫士，最近感觉360做的有点开始花哨了，不太符合我喜欢的简单实用的风格，所以就换到超级巡警上来。用超级巡警来进行补丁升级、插件、木马防护、上网、垃圾清理，再配上AVAST个人免费杀毒软件，平时多加注意，提高安全意识，这样个人电脑基本上就不会出现安全问题。

官方网站：http://www.sucop.com/

由于下周就开始休假，这周得把工作赶完，基本上没什么时间来写点什么，所以这一篇就是鼠年的最后一篇了。春节后，也就是牛年，对于博客要好好的规划该写什么、怎么写，以及公司要求的发表文章等。

提前祝福：祝春节愉快、合家幸福美满。牛年更牛！！

ps：祝福在外地的朋友都能买到车票，回家过年。:) 

前段时间写的ISMS在外包企业与业务的结合，在略作修订后，由同事推荐到了比特网，今天刊登出来了。:)

文章链接：http://sec.chinabyte.com/38/8652538.shtml

略作修改的地方是最后一段结尾：

总之，在进行信息安全管理体系建设的过程中，只有充分的考虑到企业业务需求，并使各项管理措施渗透到企业的业务运作中，真正做到ISMS与外包企业的业务相结合，才能使信息安全管理体系发挥最大的效能，为外包企业带来更大的价值。

在马上到来的新的一年，应该发扬一下国家女子体操队的刻苦拼搏的精神，努力工作！

上级逼，下级逼，互相逼，自我逼。

不吃苦中苦，难有大突破；
不经逼中逼，难上冠军台。

                                         —— 国家女子体操队训练馆墙上贴的训诫

在去年这个时候，曾经写过一份总结，不过，那不是一份年度总结，而是一份毕业后工作的总结。总结的最后，按照惯例也提出了一些希望，但不能称之为目标，因为它太笼统、太不具体。

08年是不同寻常的一年，现在将要到了年底，也该总结总结啦。总的来说，08年是充实的一年、收获的一年、也是幸福的一年：

首先，国庆节与相恋三年的女友订婚了。接下来的半年，进入了结婚的准备阶段，买衣服、买首饰、照婚纱等等，做其中的每一件，心里都挺幸福的,现在，只等着春节婚假结婚了。:)

第二，去年的这个时候，到了新的团队。我们的团队比较年轻，有活力，大家互相帮助，互相进步，更重要的是，我们有着共同的目标，并为之努力着。

第三，从4月开始到10月，完成了一个小项目。首次独立承担一个小的咨询项目，整个项目下来收获很大，并且，最后公司、客户、审核方都很认可，还得到了一份客户的感谢信，这对我来说，既是肯定，更是鼓励。

其实，在这一年中，还有很多很多值得记录的事情，比如到鸟巢看了奥运啊，在博客大巴上搭了一个三栏的博客啊等等吧，但是相比之下，还是上面的三件事情还是最重的、印象也最深。

在接下来的09年，期待以下几个方面：

1）结婚后和爱人继续互相的关心、照顾，像往常一样的打打闹闹，虽然比较贫穷，但是过着开心、快乐的生活。在09年夏天计划去外地出游一次。

2）希望我们团队有更大的成长、更大的进步，希望有更多的项目运作，并且希望我们的工作得到客户的认可，做出点成绩出来。

3）在项目管理方面，希望有更大的进步，希望能够在咨询项目中，得到更大的锻炼、更好的成长。

4）09年还是得读书，学习，首先是英语方面，一直都没坚持下来，希望这次能够突破。在09年希望，最少读20本书，准备CISSP的复习考试。

from：http://oaktomber.blogbus.com/logs/32384181.html

又到年底了，一年一度的总结是少不了的，在进行个人总结之前，还是先来看看google版本的中国2008年度总结吧。以下来自2008 Year-End Google Zeitgeist 。

不平凡的2008：

年度上升最快 (Fastest Rising)

年度搜索最多 (Most Popular)

年度热点中国事件

年度热点国际事件

年度搜索最多的“是什么”

年度新词汇

豆瓣上的介绍：

简介 · · · · · ·

作者简介 · · · · · ·

from：译言

几年前，微软发现在资源上出了点乱子，说白了吧，是人力资源上出了乱子。其实是这个样子滴： 招聘的大门常打开，应聘的人也不少来，可是来应聘的人跟岗位怎么看也对不上号啊。于是他们觉得该重新设计面试方法了。

按照老路子，面试就确定俩事儿：一个是这个人能不能胜任工作，二是这个人不能太各色，要能融入组织。微软的面试2.0呢，除了这俩条，还加了一个：冷不丁的给应聘的一个根本不靠谱的问题，甚至是让人摸不找头脑，极其二B的提问，看看他们怎么个反映。

一般来说吧，一个应聘的如果本来就爱玩文字游戏，他（她）在面试的时候也会乐于解答二b问题。换句话说，如果应聘人爱吃烙饼，那他面试的时候也会爱吃。看明白了么？这个大猜谜跟面试程序员跟本他妈的挨不上边儿。

如果你还不知道面试2。0都有什么样的问题，我给你展一眼。  

• 波音747有多重？
• 有个暗盒子，里面仨灯泡，外面仨开关，线全接好了后盒子只能开一次，你怎么知道那个开关开那个灯？
• 你和仨人在峡谷里要过一个破桥，你一分钟能过去，另外哪仨人得分别用二，五，十，分钟才能过去。过桥得用手电，你们只有一个，你们怎么才能用最快的时间过去？

其实吧，这样的问题都是扯淡，你要是非用常识和实践方法去解答那就更二了。就拿我来说吧，我肯定过不了这些问题，而且非常有可能答成这个操性：        

• 那我得问问波音公司。。。什么？我不能问他们？啊。。。那我就问图书馆里的人儿，你想啊，他们一天到晚就查书啊，他们就是干这个的啊！
• 这是谁他妈的弄的破盒子啊？你放心，我肯定能弄好，不过我还没看见这盒子什么样儿呢，你怎么知道我弄不好啊？？？
• 太明显了。我们必须扔下最慢的那个。你想啊，这他妈的都什么情况了啊！决不能让大胖子拖后腿，事关生存啊！

后来啊，微软明白过闷来了，那些答的好的不见得是好的程序员，好的程序员呢，可能答不出这些问题。事实是：那些回答的好的人非常有可能是你最不想要的人。你想啊，本来给波音公司打个电话就能解决的事儿，你非得引水造坝，然后把波音747拖到水边上再去秤，你丫愿意跟这么一位一起上班吗？

不幸的是，微软明白的有点晚了。各个企业全他妈的开始用面试2。0了。微软做的，能错的了吗？有的人开始著书写怎么问更二B的问题，有的人给企业出谋划策，量身定做二B问题，突然之间，从皮包公司到知名企业全他妈的问起二B面试大猜迷了。

 不过我觉得最终他们会明白这样面试根本不靠谱，最后也会放弃这样的面试。但是，现在你作为一个应聘者，你还得学着适应这些二B问题，或，想别的折。有个朋友跟我说了他面试的经历：

在一次筛选面试时，我被问了个问题：你怎么给有视觉有障碍的人设计一个自行车？

 我回问道：“什么？给瞎子设计自行车”，面试官说是。

我想了一会儿，然后说：“我觉得吧，让瞎子骑车不是很安全。如果你非让我设计，我就把自行车固定在地上，然后给他前面放个风扇吹，他根本觉不出有什么区别。”

 面试官哑口无言。

当然了。我这个朋友肯定是得不到这个工作了，尽管我觉得他回答的挺靠谱。但是你琢么吧，会有个二逼会给这么一个根本不存在的情况设计出一个巨复杂之无与伦比的解决方案，而他会去公司设计软件。

由于发包方对信息安全要求的提高，越来越多的外包企业都遵循ISO27001标准，建立了自身的信息安全管理体系（ISMS）；然而，在ISMS建立及运作的过程，却很少有企业能够真正做到使ISMS与其外包业务相结合。如果不能与企业自身业务相结合，ISMS只能够徒有其形，最终不能很好的持续并且改进，那么，ISMS在外包企业如何做到与其业务很好的结合呢？作为一名信息安全咨询顾问，我很愿意将自己的一些理解与大家分享。

首先，信息安全目标应与企业业务目标保持一致。信息安全目标是否能够与企业的业务目标相一致，将直接影响到ISMS运行的效率和效果，因此，信息安全的目标必须要符合企业的业务目标。要保证信息安全目标与企业业务目标的一致性，可以通过以下两个方面来考虑：

1. 制定企业发展战略时，考虑业务目标的实现对信息安全的要求。在业务规划时，不仅仅分析业务需求，还应该同时进行信息安全需求分析，并且将这些信息安全的需求的实施内容加入到业务发展规划中。比如，企业将向某个新行业客户提供外包服务为企业的战略，那么在业务战略规划中应加入客户行业的安全需求调研、客户行业安全知识库建设、信息安全管理人才培养、外包服务车间的安全建设等信息安全内容。
2. 制定信息安全目标时，继承企业的业务目标。信息安全目标是信息安全管理体系前进的方向，因此，只有将业务目标层层分解，最终得出信息安全目标，再将安全目标分解到各信息安全控制措施的具体指标，并且进行有效的过程改进，才能保证ISMS的有效行。

其次，项目执行过程固化信息安全管理活动。信息安全管理活动能否固化到项目的执行过程中，或者说信息安全管理活动与项目运作的结合程度，已经成为了企业ISMS实施能否成功的关键因素。因此，企业想要建立并运作有效的ISMS，必须将信息安全管理作为项目管理活动的一部分，固化到项目实施的各个阶段。信息安全管理活动与项目执行过程的结合可以从以下方面考虑：

1. 项目售前阶段客户信息安全需求管理。从项目售前阶段开始，对客户外包项目的信息安全需求进行归纳、分析，并且形成正式的客户安全需求文档。这份需求文档应包含客户所有正式提出的安全要求，每项的安全要求需要有相对应的具体的安全管理活动，并且在项目的整个声明周期由专人进行维护、管理，真正做到客户安全需求的符合性管理。
2. 项目执行阶段信息安全管理活动实施。首先，在项目管理流程中，将项目运作过程中的信息安全管理职责明确定义下来，并且将各类项目所包含的信息安全管理活动定义下来。其次，在项目执行阶段，项目经理需要按照既定的项目安全管理活动进行操作，即从人、机、料、法、环的角度进行资产识别、风险评估、风险处理等活动。最后，在项目执行的过程中，需要审计人员定期或不定期的对项目的各个活动进行安全审计，从而保证项目安全管理活动的有效性。
3. 项目结束后信息安全管理措施。项目结束时，项目相关的信息资产需要妥善的得到处理，避免由于管理不善导致敏感信息的泄露、丢失等问题。

最后，在新业务开拓中考虑ISMS的附加价值。管理体系如何才能直接为企业创造价值，这一直都是每个企业所关心，并且非产困惑的问题，但是，信息安全管理体系却能够很好的为外包企业创造额外的价值。外包企业在提供通常的外包服务之外，还可以为根据不同安全等级需求的客户，提供不同安全级别的外包服务，为重点客户提供VIP的服务环境，例如：

1. 提供单独的物理场所作为工作环境；
2. 提供符合客户要求的网络环境；
3. 更为频繁的回顾与审计等。

信息安全管理体系如何与企业的业务结合，如何更好的促进企业业务的发展，这是一个非常大的课题，同时也是一个非常有意义的课题，我只是根据自己的经验来与大家分享一下我的一些感受和理解，希望能够起到抛砖引玉的作用。

from：laobai

1、做一件事很容易，做成一件事很难。

2、自己做成一件事很容易，带领团队做成一件事很难。

3、带领团队做成一件事很容易，带领团队做成一件又一件事很难。

4、做坏一件事很容易，但从中吸取教训很难，因为推卸责任、寻找借口很容易。

5、如何才能从一个胜利走向另一个胜利，还是jobs说的对：Stay Hungry，Stay Foolish。

6、关于这句话怎么翻译，网上的讨论已经N多，按我的意思，翻译成“一边装孙子，一边奋勇前进”也行

7、但是，对一个正常人而言，装孙子和奋勇前进都是很难的事情，吹牛逼和不思进取倒是很容易。

8、警钟长鸣

同事发了个测试的网页，通过得分来判断对色素的辨认能力，测试过程很简单，共有四个大条测试带，每条含有20个渐变的色素，通过肉眼识别进行排列，最终得出分数。

测试最好结果是0分，也就是所有的都排列正确，正常得分应该在90分以下。我的得分为29分，在这个脑残液晶显示器的条件下还算不错啦。最后结果还能给出在哪个色段出了错。

测试页面：http://www.xrite.com/custom_page.aspx?PageID=77

跟美女上床的故事展示了人们在对未来收益充满良好预期的时候，对于可能加大的风险缺乏防范意识。下面这则笑话则从正面将经济危机具体化：

如果你去年买了1000美元达美航空的股票，你今年只能剩下49美元。如果是房利美，你最初的1000美元只能剩下2块5。如果是AIG，你剩下的会不足15美元。但是，如果你一年前买了1000美元的啤酒，喝光了它们，然后把喝剩的易拉罐送去回收站，你最后能换回214美元。根据上面的事实，目前最好的投资策略是猛喝啤酒，然后回收易拉罐。

近期老是什么经济危机、现金流、次贷危机啥啥的，今天才晓得次贷危机是咋子回事。以下是转载内容：

原文：http://blog.china.alibaba.com/blog/ethinker/article/b0-i5207889.html

前两天看到一个故事——

有一天，一位其貌不扬的男士，带着一位十分艳丽的OL，来到Causeway Bay一家LV店。他为OL选了一价值6万5元的LV handbag。

付款时，男士掏出支票本，十分潇洒地签了一张支票。店员有些为难，因为这对夫妇是第一次来店购物。
男士看穿了店员的心思，十分冷静地对店员说： "我感觉到，您担心这是一张是空头支票，对吗？今天是周六，银行关门。我建议您把支票和handbag都留下。等到星期一支票兑现之后，再请你们把 handbag 送到这位小姐的府上。您看这样行不行？"

店员放了下心来，欣然地接受了这个建议，并且大方的承诺，递送handbag的费用由该店承担，他本人将会亲自把这件事情给办妥。

星期一，店员拿着支票去银行入账，支票果真是张空头支票！愤怒的店员打电话给那位顾客，客户对他说： "这没有什么要紧啊！你和我都没有损失。上星期六的晚上我已经同那个女孩上床了！哦，多谢您的合作。"

这个故事揭示了次贷危机的本质。人们在对未来收益充满良好预期的时候，对于可能加大风险缺乏防范意识。美女认为周一六万多LV就到家了，自然也就放松了警惕，认为ONS的投资是值得的，对于投入产出的预期是建立在一个具有巨大不确定风险的情况下的。而对未来收益预期的包装则是这些投资机构最擅长的事情。中国的股民大多跟这个美女一样，所以亏钱基本上是活该，没有这些人，股市赚谁的钱呢。而媒体和分析家们，往往在其中扮演了LV店员的配合角色。

为了弥补由于某个措施带来的不便，特意记录一下。

1）.Windows正版认证计划(WGA)的补丁代号为kb905474，其更新日期为2008.9.23，版本为1.8.0031.9。

2）.Office正版增值计划(OGA)的认证补丁。

3）.HKEY_LOCAL_MACHINE\SOFTWARE\Miscrosoft\WindowsNT\CurrentVersion\
Winlogon\NotifyWgaLogon项