“如果你不能衡量，你就不能改进。”  —— 英国物理学家和工程师，Lord Kelvin (1824-1907)

有时我们做事失败不是因为我们犯了错，而是因为我们不知道自己犯了错。人非圣贤，孰能无错。出现错误我们可以改正，毕竟亡羊补牢，未为晚也；但是如果我们犯了错还不自知，还一直按照错误的方法进行，那么失败将是必然的结果。所以这就需要我们对工作，对任务，对流程能全面掌控，全面衡量，全面监测，这样才能及时发现问题，解决问题，才不至于进入无法挽回的境地。

正如开篇所说，衡量对于改进工作来说至关重要，无论是产品还是流程都不例外。从纯粹的衡量方面来说，监测是衡量的一步。简单点说，监测可能被描述为衡量的元素，然后把它们与事先预定的标准进行比较，确定差异，看看这些差异是否在可接受的范围之内。

现今社会处在一个信息驱动的时代，以信息驱动下的组织都面临着一个基本的挑战：平衡高可用的关键业务信息与维护其完整性和安全性之间的关系。组织必须这么做，尽管IT环境常常既包含了传统的物理基础设施，还包括了虚拟化基础设施和云计算，变得越来越复杂。

从长远利益看，Gartner研究机构预测信息存储每年将会以40%到60%的百分比递增，而恶意软件的新变体，如逃避杀毒软件的多态攻击，以及入侵载体，如web攻击工具集，这些严重影响安全性的因素将会以指数形式增长。然而，旧的标准已经不能完全适应这些新的威胁了。

这样就出现了SNS 20 Critical Security Controls（20CSC）。正如该声明清楚的展示的一样，20CSC代表“信息安全和衡量及控制的优先基准。”此白皮出的起源无可挑剔。这是美国空军和美国能源部的前信息官John Gilligan领导开发的文档；它代表了政府和非政府方面专家的一个共识。

此声明不仅仅只是需要背诵下来的标准；它对20CSC与已经有10年之久的联邦信息安全管理法案（FISMA）进行了全面的对比，FISMA一直至今都是一个黄金标准。另外，它还为以最少成本实现制定的指导方针。

这些还是不够的，你还必须准备合适的监测工具。我很荣幸为你提供免费和独占访问Netwrix审计工具。这个工具帮助你监视IT基础设施的完整性，因为即使是最小的IT修改也可以产生严重的影响，蚂蚁撼树的行为也不是不可能的。这就是为什么产品要积极地进行一周7天，一天24时地进行评估了，检测、捕捉和巩固必须拥有TI基础设施审计数据，从而才能支持配置审计，并回答以下问题：

• 谁改变了什么，什么时间以及在哪里发生的改变？
• 现在以及过去的配置如何？

知错能改善莫大焉，是建立在我们发现错误的前提出，所以组织在进行IT运营时，一定要做好监测工作，务必做到把错误扼杀在摇篮里。