小时侯的我，对能将六顶草帽在空中自如抛接、划出一个悬挂在空中的圆圈的杂技演员佩服得五体投地！
今天的我，是一家中等规模企业的 IT 主管。我时常幻想能像杂技演员玩转草帽那样去玩转我所管辖的 IT 资源。但公司的 IT 资源增长速度如此之快，让我时常束手无策，甚至陷入“按下葫芦起了瓢”的窘境……
背景：玩不转的 IT
我的好奇心曾驱使我在家里苦练草帽的抛接术——抛一顶草帽当然很容易；两顶草帽也不算难；学抛三顶的时候，花了一些工夫，但终归还是掌握了技巧；但第四顶、第五顶的时候，那些草帽就再也不听使唤了。
同样的事情发生在我的工作中，对于一台小型服务器、数十台终端机的管理，曾让我怡然自得，感受IT主管的生活是如此美好！但当更多的服务器被采购回来，各个业务部门的管理系统接连上线，企业内网的规模不断扩展的时候，尽管我手下的精兵强将越来越多，我们依然感觉手中的“草帽”越来越不听使唤，一不留神就变着轨迹飞出去了……
本想驯服 IT 的我们，却时常被 IT 尥了蹶子！
仅凭蛮力，我在 IT 舞台上“抛接帽子”的表演总是磕磕碰碰，确实不够赏心悦目，而我的窘迫也在我的同行间 蔓延。“失控”的 IT 也随之“失灵”，尽管我们的硬件配置越来越高端，软件技术越来越精深。
IT 的建设和管理在交替中周而复始地进行，而在未来的工作中，IT 管理的比重显然要大于建设。对于我的团队将 IT 管理作为工作重心的观点转变我一点也不担心，我渴求的是解放我的团队、充分发挥 IT 能量的 IT 管理之道。
凡事预则立，不预则废！这在 IT 治理和风险管理（GRM，IT Governance & Risk Management）的理念中得以淋漓尽致的体现。于是，带着对“治理”这么刚性的词有抵触情绪的我，在对 GRM 思想深入理解后，越来越信奉这套宝典。
GRM 致力于将企业的 IT 投资与业务目标统一起来，然后将对 IT 运维的每一步行动与预定的服务目标对应起来，形成规章性的行动指南，从而让 IT 始终处于可控状态下。GRM 从根本上解决 IT 管理人员的困惑，并通过改善服务水平管理、加强信息安全管理、保障业务连续性和弹性，来提升 IT 对核心业务的支持力度。
改善服务管理水平
在服务水平管理层面，GRM 要求用户从技术、流程和服务层面考虑 IT 的运作。流程是服务的基础，也是 IT 管理人员关注的核心，“服务”则是一个量化的过程，需要把它融入一个核心的标准上去考虑。服务的流程化让一切管理工作在有序中进行，这是治理的特色。
加强信息安全管理
我的经历告诉我，企业的信息安全隐患更多的来自内部应用授权不当，由此导致的非法访问入侵。而 GRM 的思想体系认为，企业的风险管控，要有一个完整的框架结构，除了我们通常强调的防病毒、防火墙、防垃圾邮件技术之外，更多地是涵盖数据安全、安全审计、身份认证管理、边界防御等一个基于公司安全策略的全方位的解决方案，这让我们对安全的担忧迎刃而解。
保障业务连续性和弹性
GRM强调可用性管理、灾难备份管理、业务连续性管理三个方面所提供的解决方案能够保证用户业务发展的需求。看似简单的三个方面，却将硬件设施宕机、系统瘫痪等问题纳入了可控制的范围，不会让业务在需要IT给予支持的时候，IT总是处于疲软、甚至完全不发挥作用的状态。IT的连续运作和弹性操作，就是业务连续性最有力的保障。
无情亦有情
但凡将人纳入条条框框中，总是让人感觉不爽。治理的实质就是要让 IT 运作、应用和管理有规可循，有矩可依。它将 IT 服务规范成一套流程，每个流程既有行动的规章细则，又有对行动效果的评估标准。
因此，无论是 IT 管理人员，还是终端的用户都要改正先前的一些不合规范的操作和习惯。理解这些抽象的理念需要时间，让人们的行为规范起来更是一个艰辛的过程，此时的 GRM 似乎比较无情。
但“没有规矩，不成方圆”，治理将一切风险和不规范都纳入可控范围内，变被动应付为主动防御。如此以来，IT 服务有了最可靠的保障，对我们来说最具挑战性的保障业务的连续性和弹性问题便得到根本的解决；业务安全问题在防御、身份认证和安全审计的多重作用下也有了保障；从 IT 管理人员自身来说，我们不必再去玩“抛接草帽”的游戏，因为那实非我们所长，我们有更多的时间去做 IT 规划、业务咨询……
GRM 带给 IT 管理的是款款深情！
