這邊都是常見的文件

這幾份文件的縮寫長得很像，名字裡不是 Agreement 就是 Understanding。
這篇就把它們攤開來看。

先看裡面有沒有數字

SLA（Service Level Agreement）是服務水準的承諾。
它跟其他幾份最大的差別，我的理解是裡面會有可以量的東西，而且沒做到會有後果。
像是系統可用率要到幾個 9，例如說:99.99%就是4個9、報修之後幾小時內要回應、多久之內要修好，沒做到可能就是扣款或罰則。

拿我自己工作上的東西來對，我們跟客戶簽的維護合約就有這個元素。
多久來保養一次、報修之後多久要有人回應，都是寫在紙上、可以拿出來對的。
做不到，客戶是可以拿著合約來找你的。

MOU（Memorandum of Understanding）是雙方講好的合作方向，誰負責甚麼、大家對彼此有甚麼期待。
它通常沒有那種「幾小時內」的數字，也比較少寫罰則，強制力沒有 SLA 那麼硬。
除了跟外面的單位簽，公司內部不同部門之間也可以拿它來講清楚，這塊資安責任歸誰。

我第二題錯的地方就在這，題目裡有「雙方」「期望」「責任」，這些字 SLA 跟 MOU 裡面都會出現。
後來回頭看，那題通篇沒有任何一個數字，也沒有講沒做到要怎樣。

NDA（Non-Disclosure Agreement）就是保密協議，管的是「哪些東西不能講出去」。
這個我其實很熟，考 CompTIA 之前要先同意考生協議，裡面就有保密條款。
這系列從頭到尾只講備考、不講真實考題，就是因為它。

BPA（Business Partner Agreement）是兩個業務夥伴之間的協議，寫的是合作怎麼進行、雙方各自的權責。

順帶一提，還有一個 MSA（Master Service Agreement）是主約，先把長期合作的通用條款談好，底下再一份一份掛服務內容。
MSA 跟 SLA 不太一樣，一個是大框架，一個是服務要做到甚麼程度。

這份文件是跟誰簽的?

第三題要的不是分辨合約，而是先看這份文件是對內還是對外。

題目問的大概是，幫客戶做弱點管理之前，要去翻哪些文件，才知道客戶對掃描有甚麼要求。
SLA、MOU、BPA 都是跟客戶或夥伴之間產生的，裡面有可能寫著「掃描只能在幾點到幾點」「哪些主機不能碰」這種限制。

BIA（Business Impact Analysis）就不一樣了，它是公司自己做的影響評估，評的是自己哪些業務停了會痛、痛多久。
Day26 講過它是 BCP 的起點。
它的對象是公司自己，客戶的要求不會寫在那裡面。

所以這題要問的是「這份文件是跟誰之間產生的」，不是這份文件聽起來像不像技術文件。

合約也會讓漏洞修不了

這幾份文件不是只有名詞要分清楚。
翻 CS0-003 的官方考綱，4.1 有一項叫 Inhibitors to remediation，也就是會擋住修補的因素，排在最前面的兩個就是 MOU 跟 SLA。

考綱列的是這七個：

• Memorandum of understanding (MOU)
• Service-level agreement (SLA)
• Organizational governance
• Business process interruption
• Degrading functionality
• Legacy systems
• Proprietary systems

用我自己的理解一個一個對：

SLA：合約寫了可用率要多高，打補丁要重開機，那停機時間要從哪裡生出來?
有些合約還會把維護時段寫死，要動只能等那個時段。

MOU：雙方講好那台設備歸對方管，就算掃出洞，也不是我這邊說補就能補。

Organizational governance：公司的變更流程，要開單、要簽核、要等開會，流程走完之前不能動。

Business process interruption：補下去業務會中斷，如果是產線，如果非預期的停一秒都可能造成無法想像的損失。

Degrading functionality：補丁上了，代價是某個功能變慢或不能使用，業務單位不會接受。

Legacy systems：就是 Day19 講的 G1，硬體跟 OS 都 EOS 了，原廠不會再出補丁，換又有一萬種換不了的理由。

Proprietary systems：專有系統，程式碼在原廠手上，只能等原廠修，這就是 Day18 說的漏洞在誰身上就補誰。

修不了，報告上怎麼寫?

修不了不代表就這樣放著。
我的理解是，報告上至少要看得出幾件事：為甚麼修不了、這個決定是誰簽的、現在用了甚麼補償控制、甚麼時候要再回來看一次。

補償控制 Day15 講過，exception 在 Day16，接受風險要有人簽核在 Day19。
這幾篇其實都在講同一件事的不同角度，漏洞還在，只是有人知道、有人負責、有東西擋著。

如果是合約卡住的，我覺得把合約的哪一條寫出來會比較好，下次合約要續約的時候，就有東西可以拿出來談。

大家手上有沒有哪台機器，是因為合約或是停不了機，所以補丁一直掛在那邊的?