觀點

BCP實務運作的困難

2004 / 12 / 31
口述/許偉健 整理 /卓長熹
BCP實務運作的困難

相關證照
資訊安全已有一些很穩定與被認同的證照,但是完全談BCP的相關證照卻非常少。目前直接對BCP領域提供教育訓練、專業度提升與考試認證核發者,只有美國的 DRI International (DRII)組織的CBCP證照(可參考網址http://www.drii.org/ ),包含BCP的相關內容,例如如何規劃、業務衝擊分析、訊息傳遞、溝通協調、恢復步驟等。另一個重要的組織是英國BCI (The Business Continuity Institute) 的PAS 56規範(可參考網址http://www.thebci.org/),這是BCP規劃建置上一個很好的導引,此組織並沒有考試制度,但是要成為此會員的條件並不容易,需有三年以上的相關經驗,與專家前輩的推薦。1997年DRII並與BCI合作,共同推展出BCP的國際認證標準。

另外,與BCP相關的國際標準證照還有兩者,一是CISSP執照(Certified Information Systems Security Professional),可參考(ISC)2網站,網址是https://www.isc2.org/cgi/content.cgi?category=3,另一個是ISACA(Information Systems Audit and Control Association)的CISM Certification,網址是 https://www.isaca.org/ 受訪者本身曾參與協助BSi(英國標準協會,British Standard Institute)、Insight Consulting與BCI 組織的PAS 56規劃及評估,同時擁有CISSP及CISM證照,他表示,企業要永續經營,BCP是非常重要的工作,而要能夠確實的協助組織達成營運不中斷的目標,除了實戰經驗之外,執照的取得是一個很好的途徑,並可幫助資訊安全人員自我評估與教育、以及專業度的提升。

災難實況
近幾年來,台灣無論是天災或是人為因素,帶來組織重大災害的狀況層出不窮,都在在突顯出BCP的重要性;舉凡颱風、水災、地震、停電等天災;淹水帶來的災害效應以致機房停止運作、服務中斷的實例時有耳聞,也給政府或企業帶來更多警惕。

台灣的選舉熱和樂透彩券風亦是特殊文化而且正在發燒,伴隨的危機可能是員工去聚眾遊行,亦或遭遊行抗議狀況而交通受阻。另外,如果您公司的核心人物中了樂透,不再來上班了,您是否做好應變了?受訪者舉了一個在英國銀行發生的實例,其核心部門就是因中了樂透彩而集體離職,糟糕的是代理人亦在同一部門,長官只能委婉懇留這些重要人物在一星期內工作移交。

而網路危機,像是病毒入侵、網站攻擊、新軟體的測試上載等,再者,諸如罷工事件、恐怖份子與對岸的威脅等,亦都是會造成企業營運中斷的可能,讓沒有準備的企業處在危機中。

現在台灣有許多社會現象和犯罪行為有模仿國外趨勢,諸如選舉引發的群眾運動、炸彈行為等,因此國外經驗的參考與預防規劃是很值得思考的方向。

BCP的目的與計畫
BCP的目的主要是為了減少組織事件發生之衝擊,及縮短系統停止提供服務之可接受度,以降低財務損失、維持企業聲譽、保護企業人員、提高客戶滿意度,以及法律的需求。其計畫項目包括以下幾點:

1. 提高員工對不熟悉環境之警覺性
2. 加註系統服務及內部通信之持續性
3. 計畫內容須簡短且淺顯易懂
4. 定義之規範須可靈活應用並與各項聲明契合

BCP的成功因素

國外的組織通常會有一組人員負責災難發生的後續作業,成員是組織的核心人員、高階主管。災害發生後,高階主管再個別對其負責的單位進行恢復作業,通常第一個被通知的單位是技術部門,再來是其他的業務單位;計畫BCP之前先有業務衝擊分析,關鍵性的業務會被定義出來優先恢復。業務衝擊分析、輕重緩急辨認與解決方案的提出,就像樹幹衍生樹枝的結構一樣被發展出來而完整。 BCP重視人的管理和備援機制,要成功建立BCP有相當多考量,以下是受訪者給組織的建議與提示:

1.範圍:
業務衝擊分析的範圍須延伸至處理遭破壞的建築物或週遭實體環境,及失去重要關鍵人力資源的範圍。提醒企業勿過於過於信賴外部的服務提供者;去使用服務之前確定雙方已有適當契約;確定廠商是否有有效的永續經營計畫。

2.危機管理與有效的溝通:
明確定義指令中心與指引,可明確知道重要員工、客戶與服務提供者的聯絡電話、可使用的網站與電子郵件、公關與媒體的處理等。

3.回復團隊與程序:
如何從主要機制傳送人員到備份機制的後勤計畫、關鍵事件的替代回復人員、從關鍵復原程序中歸納出摘要並且由回復人員所保存等。

4.對意外事件的安排:
主要機制與備份機制要保持一定的距離(例如,在不同的供電區間或電信網路)、測試備份機制與主要的關係人、顧客及服務提供者的連線狀態、事前決定有哪些重要的記錄要被重建的,並且確定要如何重建、重要文件要能夠在外地獲得等。

本文受訪者許偉健現為資誠價值及風險管理服務部協理(曾任職於英國Schroders Investment Bank, Security Analyst / Cazenove Investment Bank, Access Control Manager / Bank of Scotland, Security Consultant)
BCP