規(guī)章化（Regulation）一詞按照字面理解，其定義為“權威方發(fā)布并維護的規(guī)章制度；不過在工程領域和醫(yī)療領域，規(guī)章化可以基本等同于“風險控制。Matt在文中一上來就推薦了《Risk Society》這本書（中文名稱叫《風險社會》），這本書在上世紀90年代中期對工程領域的運作規(guī)則造成了不小的影響。按照Matt的超級簡版介紹，這本書的中心思想就是：“社會太復雜了，工程學的方式不可能將風險完全排除。

目前看來，很多企業(yè)的上網(wǎng)行為架構已經(jīng)發(fā)展成為非常復雜的系統(tǒng)，以至于它們面臨著跟社會一樣的風險問題。所謂風險無法規(guī)避，背后的根源在于造成失效（Failure）的因素并不單一：磁盤壞了，或者交換機故障了，或者系統(tǒng)漏洞被利用了，或者管理員不小心刪除了什么重要的系統(tǒng)文件，或者網(wǎng)線的水晶頭壞了，或者掃地的大媽將服務器的電源關了……甚至很多外界的因素（比如空調壞了）都會造成系統(tǒng)失效。

換句話說，你如果把一個上網(wǎng)行為架構放在那里不管，那么系統(tǒng)失效才是它的默認狀態(tài)，而工作狀態(tài)其實是一系列復雜因素“恰到好處的組合在一起之后的小概率事件。與其問它為什么會失效，倒不如問它為什么沒有失效。

系統(tǒng)管理員在其職業(yè)生涯中會遇到很多不同原因造成系統(tǒng)失效的情況，如何將這些因素傳承下去，則是上網(wǎng)行為運維規(guī)章化的目的。

現(xiàn)在的問題在于，上網(wǎng)行為是一個過于年輕的領域（C語言之父Dennis Ritchie的去世在一定程度上宣告了這個領域已經(jīng)脫離了幼年期），雖然我們在大型系統(tǒng)架構方面已經(jīng)積累了不少經(jīng)驗，但是經(jīng)驗的傳承仍是個問題。按照Matt的話來形容，“很多菜鳥系統(tǒng)管理員成長為資深人士的過程，就好象一個特別擅長搭電動合金積木的小孩子被雇傭建造一架人行天橋；如果這架人行天橋沒有垮掉，這個小孩子將會負責建造一些跨州大橋。

在醫(yī)療領域和建筑工程領域，由于人命關天，這種事情顯然是不可接受的；那么對于上網(wǎng)行為領域而言，我們難道就不需要有一些統(tǒng)一的規(guī)章來減少系統(tǒng)管理員們因為已知的錯誤而再次造成系統(tǒng)失效的幾率嗎？

其實是有的。事實上，現(xiàn)在針對上網(wǎng)行為系統(tǒng)管理的規(guī)章倒不是沒有，反而倒是太多了。

首先，上網(wǎng)行為業(yè)內人士對下面這兩個法案應該都不陌生，這正是目前已經(jīng)進入實踐的一些在非上網(wǎng)行為領域的上網(wǎng)行為風險控制規(guī)章：

◆薩班斯法案（SOX）

薩班斯法案對公司治理、會計師行業(yè)監(jiān)管和證券市場監(jiān)管等方面提出了許多嚴格要求，并設定了問責機制和相應的懲罰措施。凡在美國上市的公司，都必須實踐薩班斯法案的標準。薩班斯法案中的第302款、第404款、第409款和第802款條例都對上網(wǎng)行為操作有直接影響，其中尤其以法案404條款提到的“內控體系為主。企業(yè)內控很大程度上就是上網(wǎng)行為內控，用于控制上網(wǎng)行為信息系統(tǒng)停頓、不可用和泄密等問題。

◆巴塞爾協(xié)議（Basel）

巴塞爾協(xié)議主要針對銀行和金融機構，其核心內容就是銀行的風險管理。銀行上網(wǎng)行為風險主要分為三部分，即上網(wǎng)行為環(huán)境的風險（包括組織架構、物理環(huán)境、外包等方面），上網(wǎng)行為運行風險（包括上網(wǎng)行為資產(chǎn)脆弱性、誤操作、欺詐、信息泄露、系統(tǒng)中斷等方面），以及基于上網(wǎng)行為的金融產(chǎn)品和服務的風險。

在醫(yī)療、航空航天等領域，目前也有一些針對上網(wǎng)行為人員的強制性規(guī)范。

另一方面，在上網(wǎng)行為行業(yè)本身，也出現(xiàn)了不少建議的規(guī)范條例：

COB上網(wǎng)行為
COSO
上網(wǎng)行為IL
ISO/IEC 17799:2005
FIPS Pub 200
ISO/IEC TR13335
ISO/IEC 15408 2005/Common Criteria/上網(wǎng)行為SEC
PRINCE2
PMBOK
Tick上網(wǎng)行為
CMMI
TOGAF 8.1
上網(wǎng)行為 Baseline Protection Manual
NIST 800-14
對于企業(yè)而言，這樣就有兩個很重要的問題：

規(guī)章是否已落地或正在落地？執(zhí)行規(guī)章是有成本的，如非強制執(zhí)行，企業(yè)未必能找到充足的理由說服自己執(zhí)行以上規(guī)章。
不同規(guī)章各有特點和優(yōu)缺點，如何選擇合適的規(guī)章，并與自己企業(yè)的審計工作融合？尤其是可選擇的規(guī)章多達十數(shù)個的時候。
你所在的領域是否人命關天（或金錢相關）？你的企業(yè)對于上網(wǎng)行為方面的風險控制進行了什么努力？你認為我們需要一個終極的上網(wǎng)行為管理規(guī)章嗎？歡迎探討！