操作安全是一個綜合三個控制類型(實體、科技、行政)的領域，而對於台灣的IT環境，一個MIS同時是Operator也是Administrator也是Security Administrator，有沒有搞錯，這樣玩的話一個人走就變成什麼都帶走了，那麼，在這樣的環境之下，是不是人就成了一個公司服務品質的最大主因，大家還記得嗎?我們在前面有討論到，做職責分割，職務輪調的用意是為了確保防止共謀、相互監控及達成人員的可用度…
操作安全是一個綜合三個控制類型(實體、科技、行政)的領域，而對於台灣的IT環境，一個MIS同時是Operator也是Administrator也是Security Administrator，有沒有搞錯，這樣玩的話一個人走就變成什麼都帶走了，那麼，在這樣的環境之下，是不是人就成了一個公司服務品質的最大主因，大家還記得嗎?我們在前面有討論到，做職責分割，職務輪調的用意是為了確保防止共謀、相互監控及達成人員的可用度，但，在這種多合一的工作環境之下，隨著人員的進入或離開，就讓所有的程序、秩序全部歸零，那麼這些人員有那些權限和所必須做的工作呢?在下面大略的與大家一起分享一下：
Operator(操作者): 必須要負責操作及監視主機及較少量的電腦，以及周邊裝置、裝備(像印表機、磁帶、磁碟)，而其它的工作內容包括有執行定期系統的備份、以Due Care伴隨媒體的I/O去維持資料及工作的完整性，維護資料及支援操作的記錄，處理相關問題的文件化及相關映對動作，重新命名或重新標示資源，設定安全profiles…等等與第一線操作相關的工作內容。
Administrator(管理者): 負責執行較進階科技需求的資訊系統，包含有安裝維護電腦及網路相關工作，因此又分為System administrator及Network administrator，而不是系統管理者還是網路管理者，所需負責的責任都有所雷同的部份，在此以系統管理責負責的內容來跟大家做說明；伺服器的啟動、關閉及重置權限(檔案系統、資料庫系統、應用系統、檔案權限、開機順序…等)，設定網路及作業系統的密碼，規劃備份的資料範圍，審視系統更新及組態變更的內容，安裝及組態新的設備，回答相關科技的問題，負責系統組態的文件化，修補任何回應的問題，系統效能的調校，維持系統、網路運作正常。
Security Administrator(安全管理者):包含有安全規範的發展、履行、維護及守規問題，弱點評估(安全相關的資源、稽核、分析)、事件回應，其它的還包含有設定使用者的許可登入、設定密碼、設定檔案的敏感性標籤、設定安全的相關內容(裝置、連線通道)、覆核稽核資料。
最後，必須再對所有權限管制的進入點做有效的管理，例如複核資源存取的權限設定，以使所有人員的權限分配得當，以避免違反AIC原則，而對於權限的分配最重要的則只需要開放可供運作的最小權限(Least priviege)即可。而在整個操作的過程中，應予以使用者進行Supervision(監督)，隨著所有使用者以權限行進行取的過程中，應該以較嚴密的執行及覆核處理程序，以確保這些運作是適當的，並且是必須透過一個信任的機制及教育訓練來提升安全的遵循。而Monitoring(監視)則是與監督相當的雷同，而最大的差別是在於使用者必須要能確保人員不因習慣的因素，使得工作造成遺漏，也必須確保任何的變更在沒有經過予許前，不得有執行運作或變更的可能。
操作安全是一個相當綜合的領域，而其論及的內容與其它單純的科目中，均可見到它的身影，因此在對於操作安全會相對的更難以去拿捏，若透過管理者與使用者的操作行為言，於那些可能造成的問題是由使用者造成，那些是由管理者的誤用造成損失，就是操作安全極力規劃的內容了，希望大家對操作安全有更多的認知。
Anything keeps Availability.
Anywhere keeps Integrity.
Anytime keeps Confidentiality.
keep A.I.C. = Information Security
