危機處理計畫及情境模擬

文 / 賴興同


何謂危機處理﹖危機處理就是針對威脅企業組織中生命、財產與業務持續之不可預期的事件做系統化的回應。並針對威脅企業組織中財務與業務穩定之任何事件做正式的回應。經過適宜的危機處理可減少人為的責任、將企業之完整性的損害最小化、保護企業資產、使財務損失降至最低。


危機處理計畫
因此危機處理計畫 (Crisis Management Program) 內容就非常重要，可能包含了電腦網路安全、實體安全、危機通信、災難復原、業務持續、高可用性與緊急事件處理等，一旦如資安事件發生時，就需要危機處理小組 (Crisis Management Team，CMT) 來進行危機處理的行動了。

危機處理小組
危機處理小組所肩負的任務包括有：管理及處理所面臨的危機、維持生命與安全、維持企業組織之商譽、使股東信任、使員工信任、支援受危機影響的業務單位。許多企業未必有成立危機處理小組，何時會需要危機處理小組﹖可分為以下幾種情況：


1. 當企業組織的商譽冒著資安事件帶來的風險時

2. 因資安事件而引起媒體的注意

3. 資安事件將衝擊到任何的關鍵商業流程

4. 資安事件將強制疏散所在場所

5. 造成企業組織相關人員或是訪客的傷亡時

6. 資安事件將造成企業組織運作停擺的結果之決策



危機處理小組的任務目標為：


1. 維護企業組織員工與訪客的安全

2. 啟動每個已確定回復時間點 (recovery time object，RTO) 的意外事件應變計畫

3. 維持員工及小組間內部的溝通

4. 維持有關當局、媒體、客戶及其他股東等的外部溝通

5. 透過決策動作與資源分配將對企業運作之衝擊最小化



而危機處理小組關鍵成功因素需求：1.讓企業之核心員工能回應緊急事件並疏散場所、逐級通報適當的危機處理小組成員，比如說從廠區警衛到、IT協助窗口、人事部門到經理主管，並提供媒體或外界單位適當的聯絡地點2. 每個危機處理小組成員職位皆需有代理人3.面對客戶之企業員工必須要有標準底稿 (即面對客戶有統一的說法)。

情境模擬
以下描述危機處理計畫與並模擬一情境(scenario)。假設某企業 (甲公司)的危機處理計畫中所有層級皆正常運作(分成總部、區域以及地區之危機處理小組)，而且：1.所有的危機處理小組皆有適當的成員並且定期做演練；2.所有的第一線危機處理小組成員包含機動災難復原支援小組 (mobile disaster recovery support team，MDRST) 皆存在；3.在此次情境中沒有甲公司的相關人員傷亡；4.在五天之內就可將所有地區辦公室的業務轉移到備援的辦公室；5.業務持續計畫已考慮地區分點。


狀況一：非上班時間發生了某危機事件

假設在一某日約清晨兩點時分，突然間甲公司在某地區(乙地區)辦公室傳出了大火。當這大火觸發了火災警報，簽約的保全/警報公司人員眼見無法自行滅火而迅速通報乙地區辦公室的聯絡人與有關當局(消防、救護與警方)，乙地區辦公室聯絡人將狀況通知乙地區的危機處理小組負責人，接著乙地區危機處理小組負責人直接連絡其成員，告知狀況並到預定地點集合。


當區域危機小組負責人被通知後，立刻集合其小組成員，並決定在事故現場部署機動災難復原支援小組；在此分成兩條線同時進行，一條線是機動災難復原支援小組部分：1.帶領損害評估；2.確定大樓不會被佔用五天；3.IT人員確定重要伺服主機已損壞且必須被更換；4.建議區域危機小組負責人發佈乙地區辦公室的災情；5.回答媒體的問題。另一條線是區域危機處理小組部分：1.將狀況回報甲公司總部的危機處理小組招集人；2.確定業務單位在乙地區執行緊急程序；3.宣布災情且乙地區辦公室進入業務持續計畫行動；4.確定臨時辦公室不需要被佔用超過五天，因為業務單位將遷到公司內部之丙地區備援辦公室工作。


一些特定的工作需由區域危機處理小組完成： 1.監督業務持續計畫的執行；2.協調備援辦公室的危機處理小組負責人，以確定預定的空間是否足夠；3. 開始向保險公司索賠；4.監督與追蹤緊急開支；5.通知內部與外部的單位/團體可能會被影響；6.回復必要的資料使繼續作業；7.持續向公司危機處理小組召集人更新目前狀況。


區域聯絡負責人的考量：1.在機動災難復原支援小組中與媒體發言人聯絡以獲得恰當的媒體答覆；2.與受影響的單位聯絡，如：供應商、商業夥伴、團體、人力資源等等；3.幫公司總部聯絡負責人排除所有外界溝通的困難。


狀況二：上班時間發生了某件危機事件

假設在下午兩點鐘，丁地區辦公室發生了火災，丁地區辦公室的保全人員可做以下處理：1.啟動火災警報(如果沒有被觸發)；2.若無法自行滅火則聯絡有關當局 (消防、救護與警方)，並協助通知地區緊急聯絡人；3 確認狀況；4.進一步連絡丁地區危機處理小組負責人；5.廠區/辦公室人員疏散。切記，生命安全永遠擺第一。丁地區危機處理小組副負責人 (vice leader) 在警報啟動後，應立即加強聯絡與協助保全疏散人員到指定的地點，並且應加強追蹤記錄到達地點的人數。若是丁地區危機處理小組副負責人沒有聯絡保全，則當其他保全人員執行廠區/辦公室的疏散時，要有一位保全通知丁地區危機小組負責人。


通知區域危機處理小組： 1. 丁地區危機處理小組副負責人在所有的生命安全狀況確定後，將這些情形通報區域危機處理小組負責人；2. 保全人員聯絡丁地區有關當局，封鎖現場禁止閒雜人等進入；3.這時除了丁地區危機處理小組負責人之外，其他人皆不能向媒體說明這次的事件(丁地區危機處理小組負責人應該先準備好新聞稿，直到區域危機處理小組特別指示時才出來說明)。


當區域危機處理小組負責人知道後： 1.區域危機處理小組負責人通知要集合小組成員的副負責人(通常採召開會議方式)；2. 區域危機處理小組決定部署機動災難復原支援小組在災區；3.區域危機處理小組負責人決定聯絡公司總部危機處理小組召集人。


以上就是在上班與非上班時間的某危機處理計畫情境，或許沒有很清楚的流程細項說明，不過卻是個初步的了解。以當下強調資訊安全的推動之際，危機處理相對也是需要考慮的。從台灣 921大地震，美國911事件等，在在都考驗我們危機處理的能力，而在IT方面或許沒有前項的重大傷亡情況，但是像資安的緊急事件處理，如電腦主機系統當機或是設備損壞，電腦病毒破壞之處理，或是發生網路入侵事件等。也當成立危機處理小組，選定小組成員，有了危機處理計畫後，危機處理小組負責人是否能做好溝通協調的工作，掌握關鍵成功因素，定期做計畫演練等，相信足可在危機發生時做好應變，維持生命安全、使業務持續運作、讓企業永續經營。(本文作者現職為安永管理顧問公司資深顧問)