啥!Operation 還有啥Security呀! Operations Security可嚴重了，根據統計(好幾年了，還在根據統計)Human-Made佔整個資安事件中的85%，
那您認為人為因素有沒有關係呀!這個領域算是一個綜合領域，跨越了實體、科技、行政三個類型，
而這個章節主要的目的有控制及保護資料處理的資源(像是媒體管理、備份及還原、變更控制)、保護的進入端點控制(避免授權或未經授權的人 …
啥!Operation 還有啥Security呀! Operations Security可嚴重了，根據統計(好幾年了，還在根據統計)Human-Made佔整個資安事件中的85%
那您認為人為因素有沒有關係呀!這個領域算是一個綜合領域，跨越了實體、科技、行政三個類型，
而這個章節主要的目的有控制及保護資料處理的資源(像是媒體管理、備份及還原、變更控制)、保護的進入端點控制(避免授權或未經授權的人
做未經授權的變更)、控制的類型(預防措施、管理措施、矯正措施、嚇阻控制、應用控制、傳輸控制、輸出入控制、流程控制、測試控制…等等)
這些都是這個章節中會被大量的討論的內容，雖然這樣看起來很管理的東西，但是落實在企業之中可不簡單…。
而操作安全首重資產保護，這個部份著重在實體安全層面，不管是以集中式管理、還是分散處理，都是操作安全中第一個要重視的內容
針對與操作面相關的實體安全，尤其是在於設備支援系統是必須要特別去注重的，而這個部份基本上有五種類型的設備必須要特別的注意：
Fire Protection(防火): 防火支援系統可不止是在滅火，基本上是分為三種Fire Prevention;防火(抗焰建材)、Fire Detection;偵測(光電、煙霧)、
Fire Suppression;滅火(撒水、排氧)，尤其各種的防火裝置、偵測裝置、滅火裝置必需針對不同的火的類型、及環境可能產生特殊的火災
而加裝相對映的防火系統，例如：機房中常見的火災是電燒，那麼對於塑化物著火的裝置(機櫃、高架地板)就該選擇是止燃的產品，
對於偵測就以光電混合紅外線的偵測裝置(避免誤判)，滅火系統就以排氧、乾粉做控制。
HVAC(Heating, Ventilation and Air Conditioning; 熱對流空調系統): HVAC和冷氣有啥不同呢?為何不用水冷的呢?最大的考量在於電子設備
我們置放於機房的設備若遇到濕度過高，可能造成設備的鏽蝕，而濕度不夠呢?可能造成靜電，直接傷害電子設備，而對於一般人的印象中
機房就是很涼的地方，沒錯，但更重要的是排廢熱的問題，而不是只有單純的降溫，更重要的是氣動的問題，當熱氣無法被排出時可能造成的問題
就是造成靜電及設備受到熱的影響，因此對流的設計也是必須被經過詳細的規劃，最後最重要的一點，多數的人員進入機房都會覺的很冷
而容易手腳冰冷的人，就會開始找冷氣的開關或是搖控器，設備用的溫度控制應該是由中央控制，盡量避免被未經授權的人進行控制
而HVAC是一種很耗電的裝置，因此在備用電力的部份也要有效的提供足夠的電力。
Electric Powre(電力): 供電系統必須提供乾淨且穩定的電力，包含必需規劃有足夠的UPS(Uniterruptible Power Supply)，並提供突波保護(Surge Protectors)
並保護短時的干擾，而失去電力的評估在BIA及RM中都必須做有效的分配，例如：ERP系統有提供維持3天不中斷的電力，而SE部門的流量分析設備
只提供24小時的供電，一般而言，UPS至少要提供整個機房所有設備運作24小時的能力。
Water(水): 水對資訊系統來說是一種威脅也是一種矯正措施，而對於威脅來說最怕的就是水災及水管結凍的問題，台灣到了七八月是颱風的旺季
尤其在機房的選擇，過低的樓層可能造成洪水水災的問題，台灣在過去娜莉風災時就有不少的機房泡在地下室裡面，一般的建議至少移到三樓以上
而水的問題只有這樣嗎?還有一個問題，窗戶、門、排水系統，雖然機房移到了三樓以上，但是還是讓水造成了威脅，因為機房不應該有窗戶
或是未使用的門，這些都有可能結成水或是人員的入侵，而機房的防火系統若是選擇水當作滅火裝置，那麼，應該要避免使用Wet-Pipe
應使用pre-action防止水在水管中結凍。
Communications(通訊): 在軍情片中最常見到的就是入侵者切斷了通訊線路，或者是詐騙了通訊系統，尤其是以通報系統及網路系統
包含做備援線路及確保主要線路的運作正常，應給予加裝保護，例如線路的安置若在外端，則應該以鐵管做為保設的管路，以避免線路的裸露
造成Tarpping(掛線)、Eavesdroppers(竊聽)的感脅。
針對這一些主要的種類之外，對於較具有敏感或重大的資訊系統操作，也必須將這些識為高風險的系統操作，在操作的過程中
對於軟硬體更應該小心處理，尤其是站在實體端來看待這些操作，常見的像是Computer, Server, Operator Consoles, Workstations, prints
Firewalls, Routers, Switchs, Cabling, Wireless Equipment, Operating Systems and Utilities, Applications…等等。
這些都是設備端的看法，而對於資訊的載體呢?任何一種資訊的載體舉凡磁碟、磁帶、文件…等等，都是一種必須注意的內容的保護
重點在於防止誤用(Misuse)以及災難、偶發的意外問題，若是在on-Site則要避免作業中心的磁性物體操作的保護(防寫、唯讀)，
而在off site或Alternate site對於實體、科技端/邏輯端及行政管理的進行存取控制。
說到載體的管理，我們最常見的就是誤用(重用)及資料殘餘的問題了，大家還記得志玲姐姐事件嗎?一個手機送修就造成一堆資料的流出
不過這個也有另一個問題，當手機發生故障時，無法有一種快速的消除手機資料的方法或是操作，這種狀況之下Object Reuse(物件重用)洩密
及因為管理不當的問題，而造成洩密事件不斷，這種事情常常聽到，列舉個幾項新聞就知道：
2009/12/16 軍又洩密？ 國軍兵棋檯也被拍上網(熱呼呼的!)
2009/12/15 楊念祖：國軍應落實保密工作 強化資安防護
2009/12/09 30元賤賣個資 今年資安第一大事
一拖拉庫喔~~~!
導致洩密事件，有40%是因為物件清理流程不完成造成Discloure(洩露)及Contamination(汙梁)，常見的也許管理者有做資料抹除，
但是還是因為程序做的不完整，例如：只做format，或是移除分割區，這種方法，只能防止不懂電腦科技的，若交給一個對電腦有一定層度的認知者
可能不出幾小時，就可以把資料完全的回復回來，而一般常用來做為磁性資料的抹除的方法有：
Overwriting(覆寫): 像是硬碟、磁帶最常用的消除資料的方法就是用複寫，而這道程序也有標準的，美國國防部1995年發佈的標準
DOD 5220-22-M複寫3次，或者是以Peter Gutmann 與Colin Plumb 提出的標準則是複寫35次，最常見的折衷作法是Bruce Schneier 提出的標準複寫7次
以DOD 5220-22-M第一次將所有的資料寫位元為0，第二次則寫入位元為1，第三次則隨機的寫入0或1，但現在還是有很多的做法可以讓資料還原。
Degausser(消磁): 針對有磁性物質的載體，做消除磁性資料，而磁性的消除，在業界中較常以高於1500高斯的磁力場來做消磁，但是
消磁還是有可能產生磁性的殘留，造成資料殘留(Data Remanence)，而CIA更有研發出加強磁性線的設備，以做為國家情報工作的蒐集設備
雖然磁性媒體有做了消磁，但是還是有可能殘留些許的磁性在，透過放大器加強磁性線將資料訊號放力而還原其資料，這個早就不是新聞了。
Physical Destruction(實體毀滅): 這個是保有資料機密性最好的方法，任何一種資訊的載體者有可以實體毀滅的方法，例如紙有碎紙機
光碟可以用剪的，硬碟可以拆出磁盤做酸蝕，磁帶可以每隔1到0.5公分剪斷，但…以上的方法是做到資料的掩滅，若在銷毀的過程中
人員被收買了、環保公司蒐集企業資料販賣同業，這種事情常聽到吧! 因此在於銷毀的過程中，也應該有監銷制度。
以上是列舉出對於設備的保護、資料載體可能造成的因素，而且在操作的過程中可能造成資料載體的混用，使得資料洩密
但更嚴重的是人員對於棄置資訊的忽視，由一個資訊的產生開始到廢棄，應有一個完整的管理措施，但重點還是在於人對於資安的教育
若IT人員喊的很爽，但是操作者磁帶亂放、硬碟拔回家使用…，與人員教育訓練不足造成的洩密事件，對於媒體的機密性來說就等於零了
以上是以管理者的角度來看整個與人員操作資訊、載體的看法，由一個物件中去想各種操作性的問題，進而思考其對策才是重點。
Anything keeps Availability.
Anywhere keeps Integrity.
Anytime keeps Confidentiality.
keep A.I.C. = Information Security