資安 ｜ Cloud Platform Security Checklist

 

隨著近幾年AWS 與Azure等Cloud platform 被大量的使用，Peggy 有機會接觸到比較多相關的IOS 認證與security practice。

這些Practice 還蠻重要且實際的，最近花點時間盤點整理如下，給有需要的朋友參考。

這些主要是從相關專案接觸過的部分收集與整理，可能還有其他不錯的Practice 沒有涵蓋在內，也歡迎討論。

以下為各個類別的practices...

Access control 

• Suggest to integrate with AD

• Suggest to enable MFA (Multi-Factor Authentication) 

• 不同環境不同account.  Ex. production 環境不要Dev 的一樣

• Production 環境裡admin 權限只給 manager 和leaders

• Do not save credentials in code or instance data

• Console access: only for necessary members.

• Review account list for leaving or transfer to the other team regularly

• In AWS, use VPC Network ACLs or EC2 security groups to control inbound access to instance.

• least privilege principle

• Can Not access instances’ OS layer as root user

• Instead of delegate through credentials, leverage roles is better

Encryption 

• Enable Cloud Service built-in encryption features. 
• For example, server side encryption for storage in AWS

• HTTPS is recommended for all data transmission which include internet and intranet

• Use Key Management Service provided by Cloud Service (AWS KMS) 

Log Management

• In AWS,  enable CloudTrail in all regions. 
• Based on previous experience, S3 access log is not enough. Some logs may be missed.

• Audit logs must be enabled and keep for at least 5 years

• Audit logs : who (account), where( ex. IP) , when , access what

Safe Configuration

• Should not include plain text secrets as part of the infrastructure as code.

• Review and remove unnecessary/not used features

• Do not put company's proprietary code to external public storage

Incident management

• All incidents must keep evidence and report to InfoSec immediately

Other practices... 

• 滲透測試 (penetration test)
• Vulnerability Assessment
• Code scan : ex. Fortify
• Service architecture design Review
• DeepSecurity agent in service server ( 敝公司產品）
• Only turn on Bastion when necessary
• Information security requirements and specifications should be considered for new features or product development.

若有您轉貼需求，請來信討論。 轉貼時禁止修改內容及標題且保持所有連結。禁止商業使用，請註明原文標題、連結以及作者。

學習筆記 | 色鉛筆兩三事 ( 雲朵飄飄飄)

今天練習的主題是常拿來點綴天空的雲朵。

主要有三大步驟，雖然看起來不難，不過實際畫起來還滿需要細心調整的，不然很容易畫出傳說中“發霉的雲” 😓 .......

以下是阿金老師的教學，以及Peggy順手記錄的一些細節。

Step 1 : 用捲畫的筆觸來畫出雲的形狀。

• 形狀要橢長型比較可愛，雲的外型每一個幅度有大有小較好看。太過對稱會很像菠蘿麵包XD
• 如果很沒信心一次畫出喜歡的輪廓，可以先輕輕地把雲朵的外輪廓先描繪出來
• 一區一區畫好再畫下一團
• 雲的兩端處不要拉太尖或太長

Step 2 : 上水筆打底色（可省略此步驟）

• 將色料均勻往外推
• 同時可以做出分層的效果
• 如果對雲的外型不滿意的，可以在這個步驟做點調整。

Step 3 : 混色

• 先用Step 1的原色在左邊區域做出漸層的效果
• 再用第二色在右上方畫上一點漸層的效果
• 最後左下方上第三色
• 重點在筆觸要「輕」與作出「漸層」的效果，選色用淡色系較合宜。
• 疊色小秘訣 ：先從邊框一點一點的疊色，時時停下來觀察是否還需要延伸色塊區域？比例是否看起來舒服而不至於太突兀？
• 選色小秘訣  ： 用粉紅或粉橘做出彩霞的效果還蠻好看的。但粉橘不是很好控制，畫不好容易感覺髒髒的，建議先上粉紅色系較佳。
• 糟糕！不小心疊得不好怎麼辦？ 可以稍微用橡皮擦輕輕擦拭，作微調整。

以下是各階段的圖，供大家參考。

///
附上阿金老師的 FB <無敵鐵阿金,變身 > https://www.facebook.com/pukim815 ，裡面有許多老師溫暖風格的畫作可欣賞。

若有您轉貼需求，請來信討論。 轉貼時禁止修改內容及標題且保持所有連結。禁止商業使用，請註明原文標題、連結以及作者。

筆記 ｜ OKR 實戰學習筆記 1 - 如何開始踏出第一步？

Peggy的團隊採用Scrum 開發流程，目前每一個sprint是兩週。OKR 是一種敏捷工作法，結合OKR 和 Sprint ，就會呈現以上的步調. 

以下是關於怎麼進行每個階段的參考筆記。

準備階段

• 對專案團隊介紹OKR 。 What is OKR ? 

• 重點也要放在回答團隊成員的疑惑。例如，為什麼我們要用OKR？它對本團隊帶來什麼具體價值以及可能的變化？因為採用OKR，哪些運作方式 / 流程會有改變？等等

• 先有個讀書會一起討論也是蠻好的方式。

• 空出 OKR腦力激盪會議的時間，第一次進行workshop的團隊最好至少留一整天的時間。第一次進行建議找leader一起草擬 OKR version 1。

• 第一次進行先不急著找相對應的專業軟體/工具，建議以團隊習慣的方式當基礎來延伸。
• 例如，原本習慣用Kanban，就在旁加上OKR的部分即可。

不清楚什麼是OKR? 可參考此篇

 http://peggywulifelab.blogspot.com/2019/09/googlecourserayoutube.html

OKR Plan Meeting

Meeting Agenda

• Discussion of Objectives 

• Discussion of KR of each objectives

I will achieve (Objective), as measured by (Key result) ... 我希望達成（目標）， 通過（關鍵結果1至關鍵結果5）來實現。

腦力激盪過程可思考我們的顧客是誰？我們為其帶來什麼核心價值？等問題。

OKR 分為承諾型和挑戰型：Google OKR 中，完成率達70%（亦即0.7分）就算成功了— 登月文化（鼓勵挑戰的文化）

一般以季度作為單位，設定季度OKR。建議先制定年度策略OKR ，此OKR 可當作公司年度策略的精簡版，接下來進行季度OKR plan meeting. 

對於第二季度之後的OKR plan meeting ，需討論是否沿用上一季的 Objective 或者需要調整，甚至因為時空背景改變而 drop之前的 Objective。

描繪Objective: 用有時限、用字精確、能激發團隊的字句，來描繪團隊共同想像的前景。

在制定KR的過程中，必須問自己與團隊一個問題—這樣的KR完成後是否可以達成目標？強迫思考。

KR 最多三個。

保持透明！具有團隊共識的OKR需公告在團隊可隨時看到的平台上。

關鍵成果類型

• 基準型：沒有指標可以反應重要目標。例子，取得線上優惠券兌換率的基準。
• 正面指標：設立“越多越好”的指標目標。例子，每一封寄出的電子郵件帶來的營收增加10%。
• 負面指標：設立“越少越好”的指標目標。例子，請款處理時間從兩週減少到一週。
• 門檻值目標指標：設立指標的目標範圍。例子，顧問利用率保持在 70% - 80% 間。
• 里程碑：成果無法用指標表達。例子，發布推撥通知功能。

SMART Principle to check KR

Specific 具體的

• 團隊成員對文字表達是否有不同解釋
• 是否能提供行動指引/策略

Measurable 可測量的 

• 能否進行定期追蹤
• 能否清晰的評分

Attainable 可達成的

• 是否具有挑戰性
• 是否有實現的方法和可能性(信心指數一般不低於50%)

Relevant 有相關性的

• 是否有指定Owner
• Owner 對結果是否具有很大的影響

Timebound 有明確期限的

• 是否有明確完成的時間

Review Meeting

OKR review & trace in Sprint Review Meeting. 

OKR progress in this sprint	Plan of next sprint
Obstacle	How to improve

持續追蹤、紀錄與溝通的OKR 才有價值! 

盡量整合現有的報告、會議。

可接受調整。

Quarter End review meeting

Meeting Agenda

• leaders share quarter OKR results.

• Vote for each KR scores 

• Discussion for Did good/Obstacle/How to improve

KR 評分

Score	Definition
1.0	Achieve challenge goal.
0.7	Not achieve challenge goal but achieve expected goal
0.3	Not achieve expected goal
0	Not acceptable, Not finish

• 評分： 要簡單，建議按照 0～1.0區間進行評分。
• 以平均分數為最後結果

Key Result	目前完成狀況	Score
KR1: xxx
KR2:

Score	Thinking
1.0	關鍵成功因素？ 目標是否設定過低？
0.7	差距在哪裡？ 可提升的空間和可能性有多大？
0.3	KR 是否有問題？ 工作方法是否有問題？if yes, 找到它並提出改善方案 是有否resource方面的問題？需要怎麼調整？ what else?....
0	為什麼？ 這個目標是否還要繼續？

Key point in OKR quarterly review meeting

• 注意KR完成但O沒有完成的情況

• 區分OKR類型：承諾型→ 深入討論原因。挑戰型→ 更要鼓勵

• 著重分析未來可以改善的點，而非「追究責任」

• 鼓勵團隊發言溝通討論

//// reference

在閱讀完 <<  OKR : 做最重要的事  >> 一書之後，有了概念，但對於怎麼開始還是有些疑惑，因此陸續購入以下相關書籍做為參考。

本篇部分內容也出自以下參考書籍。

• 執行OKR 帶出強團隊

• 最快最短完成目標的OKR圖解實踐版

• OKRs執行力

若有您轉貼需求，請來信討論。 轉貼時禁止修改內容及標題且保持所有連結。禁止商業使用，請註明原文標題、連結以及作者。

學習筆記 | 色鉛筆兩三事 ( 樹的世界)

今天來畫各式各樣可愛的樹。

在正式動筆前，先來複習一下色票。 

細節可參考之前 Peggy 色彩基礎概念的上課筆記( https://peggywulifelab.blogspot.com/2020/02/lesson-3.html )

• 三原色：紅黃藍 （光的三原色則是紅綠藍）
• 對比色：位於直線對面的色彩。ex. 「紅」的對面是「綠」。
• 相近色：last name 一樣 XD. 以紅色來說，就是紫紅色與桔紅色，都是紅系列。
• 相鄰色：沒相近色那麼接近，但以社區的概念來說是鄰居  XD。一樣舉紅色當例子，紫色可以算它的相鄰色。

以下是阿金老師上課的筆記。

Step 1. 樹的外型

樹要可愛，比例要抓好，樹幹不能太長！ 基本上，外型是水滴的變型，頂端要有點弧度，不能太尖。

Step 2 : 打底七分滿與上水筆

選好喜歡的淺色，螺旋畫法打底。 不用全部塗滿滿，可以有點稀疏。圖好後，接下來用水筆塗勻整個樹。 （水筆還是好難...)  

進階版可挑戰打混色底。在打底時加入一點第二色，這樣上水筆就會有自然混色效果。建議用相鄰色，不要用對比色，後者容易呈現出髒髒的效果。

Step 3 : 等全乾！ 在上色。

之後用步驟二的同一隻筆原色再上色一次。 這次塗滿整個面積約2/3， 從左下角開始往右上方向畫，一層一層慢慢疊出漸層的感覺。（一定要耐心等全乾！ 很重要！ 等待期間可以先畫下一顆樹。）

Step 4 : 上第二色。

選擇一鄰近色當第二色，左下方與右上方都要上色，右上部分要比左下邊少。注意此步驟也要帶出漸層的效果。

Step 5 : 上第三色。

選用不要太深的對比色當第三色。

Step 6: 樹幹。

之前用的三個色筆全上一起混色啦，最後加上咖啡色系做陰影效果。

Step 7: 創意裝飾時間。

依個人喜好，幫樹加上喜歡的裝飾。

///
附上阿金老師的 FB <無敵鐵阿金,變身 > https://www.facebook.com/pukim815 ，裡面有許多老師溫暖風格的畫作可欣賞。

若有您轉貼需求，請來信討論。 轉貼時禁止修改內容及標題且保持所有連結。禁止商業使用，請註明原文標題、連結以及作者。

讀書筆記｜獲利世代 Business Model Generation : 自己動手 , 畫出你的商業模式

1% — 新創公司的五年內的存活率(出處：天下文化)，由此數據可看出創業之挑戰！如何思考更全面，縮短「好主意」到「獲利」的距離，此書可做為相關主題的工具書。

透過九個不同的思考維度，一步步引導讀者仔細思考與規劃規劃，將商業 idea 擴展到可執行的層面。更引用了許多知名企業當作範例，讓商業模式(business model)不僅僅停在理論而已。

適合閱讀對象：

• 對創業或相關主題有興趣

• 對於「內部創業」有興趣

• 期望縮短從「好的 idea」 到「可以賺錢」的距離

• 在學校相關課程學完後，還想瞭解更多的

///

“所謂的商業模式，就是描述一個組織如何創造、傳遞以及獲取價值的手段與方法”

透過以下九個構成要素可清晰地顯示一個公司賺錢的邏輯，此九大構成要素涵蓋「客戶」、「提供產品/服務」、「基礎設施」與「財務健全程度」。

商業模式就像是一張藍圖，在經過思考與規劃後，可使得擬定好的策略在組織與相關系統中運作的更加順暢。

商業模式的九個構成要素組成了一個思考規劃的工具—商業模式圖( Business Model Canvas )。

下圖為書中 以apple iPod/iTunes為例所構成的商業模式圖( Business Model Canvas )。

商業模式圖( Business Model Canvas ) 以apple iPod/iTunes為例

截至目前，讀者可能對怎麼開始使用這個工具還是充滿了疑惑(十分正常XD)。那就可以來參考書中「 Pattern 」— 商業模式樣板的章節。

在本書中有提出五種常見的商業模式樣板參考。分別為「拆分商業模式」、「長尾」、「多邊平臺」、「免費商業模式」以及「開放商業模式」五種。

• 拆分( Unbundle corporation ) 商業模式

• 企業由三種不同的業務形態構成：分別為產品創新、客戶關係管理以及基礎設施管理。

• 主張公司應專注於其中一種，否則可能造成衝突。

• 著名企業案例：瑞士私人銀行 ( Swiss private banking)、法國電信 ( France Telecom )、荷蘭的 KPN 等等

• 長尾 ( Long Tail ) 商業模式

• 銷售上的少量多樣，種類繁多的利基商品，每一種的銷售量相對較少。 其要件為低存貨的成本和強大的平台。

• 著名企業案例：讓每個人都可以出書的自助出版網站 Lulu.com 、樂高在2005年推出顧客可客製化的樂高工廠 ( LEGO Factory ) 、 

• 多邊平臺 ( Multi-Sided Platforms )

• 把至少兩種截然不同、但相互依賴的客戶聚集在一起。可促進不同客戶群間的互動，進而創造價值。越多使用者，產生更多價值— Network effects。

• 著名企業案例：Google (廣告主/網路瀏覽者/內容擁有者）、Sony 的playstation、任天堂的 Wii、蘋果的 Apple store。

• 免費商業模式：因為身在資訊軟體業，Peggy對此主題特別感興趣。回顧近幾年的變化，在業內，「免費」此一商業模式確實已被廣泛運用。

• 至少有一個頗大的目標客群，可持續享受免付費的產品或服務。成本來源是由一部分顧客或是另一個消費客層的財源挹注的。

• 免費增值( Freemium) : 免費( free ) 的基本服務＋付費( premium )的增值服務。

• 需注意的關鍵點：(1) 服務每一個免費用戶的平均成本 (2)免費用戶轉為增值付費客戶的比例。

• 著名企業案例：雅虎的影片分享網站 Flickr、許多受歡迎的手遊APP

• Free Open Source : Freemium 的另一個變奏版 

• 著名企業案例 1：Red Hat 把產品建立在開放原始碼 (Open Source) 的軟體上。紅帽公司很了解，多數公司對於穩健、免授權費的開放原始碼很感興趣，但又擔心沒人維護。因此，它滿足了這個廣大的需求，提供穩定、測試過且提供服務的免費開放原始碼軟體版本。用戶只要繳交年費，可以持續獲得之後的服務。

• 著名企業案例 2：Skype 透過網際網路提供免費的電話服務。只有用SkypeOut這個增值服務，打電話到市內電話或手機時才需付費，且費用也很低廉。

• 保險模式：顛倒的免費增值。以大部分付費客戶來補貼一小部分獲得補償的人。

• 鉤與餌 ( bait and hook)：也稱為「虧本打頭陣」( loss leader ) 或「刮鬍刀與刀片」( razor & blades ) 模式。一開始提供免費或很便宜的有吸引力的產品或服務，以鼓勵使用者往後持續購買相關產品或服務。

• 著名企業案例：吉列(刮鬍刀與刀片)

• 開放商業模式：

• 公司內部採用外界點子，或是將公司內部閒置不用的點子與資產提供給外界使用。

• 著名企業案例：寶僑公司連結外部夥伴增進創新能力、葛蘭素史克藥廠的專利庫

如何設計出更好、更創新的商業模式？可參考以下設計界的技巧和工具。

• 顧客觀點 Customer Insights : 評估商業模式時要納入客戶觀點，但非表示要創新，只能從客戶觀點出發。

• 了解顧客

• 我們顧客希望完成什麼事？

• 我們如何幫助他們？顧客渴望什麼？

• 顧客偏好什麼互動方式？希望和我們建立什麼關係？

• 願意花錢購買什麼價值？

• ....

• 同理心地圖 Empathy Map：XPLANE 公司以視覺化思考開發出來的客戶側寫工具，幫助我們更了解顧客的環境、行為、關注什麼與渴望。

同理心地圖（翻拍自所購書）

• 創意發想 Ideation

• What if : 用「假如......會怎樣」的提問法，挑戰傳統的總總假設

• 一般流程：團隊組成 —> 進入狀況 —> 擴張點子 —> 創意塞選標準 —> 原型製作

• 我們這組人是否夠多樣化？

• 在發想前應該先研究哪些元素？

• 針對每個商業模式構成要素，可以發想出什麼創意？

• 塞選時最重要的評估標準是？

• 採用這些挑選過的點子，長出來的商業模式為怎樣？

• 暖身活動：蠢乳牛活動

• 視覺化思考 Visual Thinking : 運動圖像、草圖、圖表、便利貼等視覺工具來建構與討論。

• 原型製作 Prototyping : 透過製作不同規模的「原型」幫助理解，取得回饋。

• 說故事 Storytelling : 運用說故事的技巧讓潛在的未來變得具體。例如拍攝一系列的影音短片。

• 情境描繪 Scenarios：

• 顧客相關：客戶可以如何使用某項產品或服務？關心追求的目標？把顧客相關的知識融入一組明確、實在的影像中。藉由描述一個特定的狀況、一個和顧客相關的情境，讓顧客的觀點變得具體。

• 描述未來可能面對的競爭環境，想像可能的未來。

另外，在書中也有針對策略與流程面Practice的建議，有興趣的朋友可以購買書來參考。

/// 本書延伸活動 

此本書很適合配合小型workshop來進行。在Peggy 參加的一個讀書會中，具備行銷長才的書友樹正，特地設計了一個 20 - 30 分鐘的 mini workshop。透過設定一個商業題目，假定參與者皆為創業家，配合運用書中介紹的生意模型，來進行討論。透過這樣的設計和演練，對書中提到的九個思考維度就更有實際體會和印象了。

mini workshop (photo by Peggy)

/// 延伸閱讀

有書友們也推薦「價值主張年代」、「航向成功企業的55種商業模式」與「精準定價」此三本書，很適合搭配「獲利世代」一起閱讀。儘列於下，提供給有興趣的朋友參考。（圖片來源皆為博客來）

若有您轉貼需求，請來信討論。 轉貼時禁止修改內容及標題且保持所有連結。禁止商業使用，請註明原文標題、連結以及作者。