手动方式

　　有两种方式可以用来制定一个策略管理方案：手动或自动。如果采用前者，使用手动干预的办法来追踪策略执行情况，如果采用后者，软件工具可以用来检查策略执行情况。

　　制定一个手动策略管理解决方案的第一步是创建一套可以反映你的策略目标的流程;流程和指导方针将为日常操作提供必要的细节。

　　一些典型的流程包括防病毒、密码过期和日志监视。每个流程和指导方针都是对策略具体章节的解释，而且用作实施和配置具体软件解决方案的标准。

　　使用我们的示例流程，通过制定防病毒解决方案在企业内部使用，防病毒策略设定了一个基调。防病毒流程将准确地概括出这个策略是如何执行的，如何解决更新和紧急事件响应这样的问题。正常情况下，它是通过一个中央控制台来管理的，防病毒规则被发送到工作站和服务器上。

　　一个可被接受并使用的策略可以被理解为几个流程，它们被用来解决电子邮件使用、数据存储和互联网使用等问题。一个WEB使用流程概括了雇员允许访问的网站，执行对访问的限制所采取的技术，比如WEB内容过滤，以及检查设备日志的频率。

　　另一个例子是微软的Windows操作系统中的密码过期设置。如果策略要求复杂密码，那么指导方针里就会规定密码的最长生命期，在活动目录中将被设置成使用密码的最大生命期。

　　了解信息安全策略是如何用来创建实用而且可执行的控制的，这一点很容易。但是，这个过程相当费力，有些人必须进行干涉以便使位于不同控制点的数据相关联，包括防病毒程序、入侵检测系统、防火墙和认证系统(比如活动目录)。手动监测策略的执行情况是非常繁琐的，潜在的问题包括以下内容：

• 　　防病毒管理控制台偶尔可能丢失一些服务器或工作站的连接，这样就会在公司网络上造成暴露点，检测这个策略偏离和对它进行纠正可能相当费时。
• 　　对于内容管理提供商来说，将网站错误地进行分类并不是前所未闻的事。举例来说，巧克力制造商Hershey公司的网站曾经就被错误地划分为色情网站。这样的错误可以导致误报，而且，如果某个站点根本没有被分类，就有可能给用户一个绕过系统的方式。监视这样的情况是相当费时而且令人沮丧的。另外，管理用户异常——这些用户可以绕过过滤系统进行研究——使事情变得更复杂，因为需要跟踪这些异常行为，来写合规报告。
• 　　尽管象活动目录这样的系统可以规定用户必须使用复杂密码，但用户也有可能绕过这样的控制使用一个弱密码。由此，对于安全管理员来说，不定期地使用密码破解工具来审计用户的密码是非常重要的。