建華銀行資訊處與BS7799

文/建華銀行 資訊處


近幾年來，隨著科技的快速進步，金融產業的資訊作業已經與日常作業相結合，以建華銀行（原華信銀行）所推出「MMA投資管理帳戶(r)」為例，就是資訊作業整合下的產品，它同時整合存款、放款、證券、基金等產品，提供客戶便捷且較低資金成本的理財管道。另外，傳統上臨櫃所能執行的業務，亦逐漸被ATM、電話語音、行動銀行或是網路銀行所取代，這所有的「遠距」服務，皆為了在服務客戶時，除了可提供快速便利的服務外，更需要創造一個安全的資訊交易環境，使客戶在一年365天，每天24小時，享受無時差、無地域性差別且不間斷的服務。
計劃導入BS7799
美國的電腦安全協會及FBI每年均會針對電腦犯罪及資訊安全進行大規模的調查，以2001年的報告為例，因資訊資產被竊取所遭受到的損失，高達1億5千萬美金，這還不包括其他病毒或是財務舞弊的損失。但相較於歐美其他先進國家，台灣在這個議題上起步得比較晚。例如，國內外都曾針對網路銀行使用性做過問卷調查，國外的使用者就「安全」方面的考量，始終是排在前兩名，而國內的使用者首先考量是「提供功能的多寡」及「執行速度的快慢」，就「安全」方面大概是排在第七或第八個考量因素。




建華銀行一直很重視資訊安全議題，過去也投入了很多的人力與資源，在業務內容與系統安全間取得一個平衡點，我們一直在檢討是否有那些防護措施執行得還不夠？有那些安全機制是我們還沒有建立的？在一個寶貴的機會下接觸到「BS7799資訊安全管理系統」的認證，經過與部門同仁多次的討論，我們覺得BS7799是檢視企業組織內所有現行安全制度是否完善的檢定機制，同時企業亦可藉由取得認證的過程中，將現有安全機制下很多基礎工作加以穩固，以確保安全無虞的金融電子服務。因此去年元月，在高層主管的全力支持下，建華銀行藉由導入國際級資訊安全管理系統機制，與國際資訊安全制度接軌，以提供銀行客戶一個安全無虞的電子交易環境。



以資訊處為主要驗證對象
因為銀行絕大多數的資訊作業，都集中在資訊處，同時也希望在整個過程中能累積相關的經驗，以便未來推廣至銀行其他單位及關係企業。因此在建華銀行內選定資訊處作為BS7799驗證的對象，而涵蓋的範圍，包括資訊處日常對個人金融、企業金融、投資銀行所提供的各項服務，以及資訊處平日的程式開發、系統維護、硬體維護管理、資料庫管理、辦公室自動化、網路管理及異常事件通報管理程序等。而驗證的地點，更包含資訊處所在地、媒體異地存放處及異地備援中心。


資訊安全是每一個人的工作
在整個過程當中，由資訊處副總方乃真、經理謝尚彬和各科級主管，及各科推動人員合計超過20人以上的核心工作小組，以及外聘的顧問公司，負責整體的推動作業。而間接的參與人員，更超過資訊處一半以上的工作同仁，另外還對全體資訊處的同仁針對資訊安全再進行教育訓練。其實對於資訊安全，很多人都有一種迷思，認為資訊安全僅是少部分人的工作，或是意外事件都是由外部駭客所引起的，因此我們一直教育我們的同仁，資訊安全是每一個人的工作。事實上，因內部員工疏失所導致的資訊安全事件高達65%以上。我們也向我們的同仁宣導，外在環境不斷地在改變，法令法規的要求，連帶的對企業風險就有不同的考量；在考量風險的同時，也要考量成本效益。藉由資產盤點、風險評估、作業程序的撰寫，以及內部查核作業等，提醒我們的同仁對資訊安全的重視。




雖然許多的作業在沒有執行BS7799資訊安全認證作業前，銀行本身即在進行，但我們仍然反覆地討論、測試、修正，為的就是對同仁展示建華銀行要為客戶塑造一個更安全的交易平台所做的努力與決心。


納莉颱風帶來大挑戰
建華銀行花了數個月的時間為通過BS7799之認證做準備，卻在預計初評的那一天遇到預期之外的挑戰。預計初評的那一天，正好是去年的9月17日，也就是納莉颱風來襲的那一天，那時台北市遭受到前所未有的水患，而資訊處所地處的位置，正好位於台北市水患最嚴重的地區。當天地下四層樓完全浸水，發電機無法供電，備用發電機無法長時間供機器設備正常運作，而一樓水深及腰，同仁進出都必須以涉水的方式進入，所有資訊設備無法運作，但同一時間，中南部的分行仍需繼續營業，因此我們先要求中南部分行，依照平日演練方式以人工方式登入各項帳務資料，同時調集資訊處相關資源，依照之前所擬定的備援計劃，啟動位於中台灣的異地備援中心，於預定時間內恢復全省連線，並隨即請中南部的同仁補登各項交易。




18日中南部分行透過備援中心維持正常營運，當日結帳作業後，台北主中心簡易發電機備妥後，再將資訊系統切換回台北主資訊系統繼續執行當日批次。19日上午台北地區恢復正常上班，所有人屏息以待，9點正常上班時間一到，全省連線順利開出，資訊作業恢復正常運作。也在這個時候，我們接到驗證公司的來電，除了關切受災的情況，並表示負責建華銀行驗證工作的瑞典籍主任稽點正常上班時間一到，全省連線順利開出，資訊作業恢復正常運作。也在這個時候，我們接到驗證公司的來電，除了關切受災的情況，並表示負責建華銀行驗證工作的瑞典籍主任稽核員來電詢問我們的備援作業是否有運作，如果沒有運作，則後續的驗證作業將不再繼續執行。我們表示除了備援機制有啟動外，並且在最短的時間內恢復正常作業。也正因為如此，在後續驗證作業中予國外的主任稽核員留下深刻的印象，據瑞典籍的主任稽核員Mr.
Berggren表示，大部分公司的備援計劃都還需要經過測試以驗證其可行性，而建華銀行則是實際執行後的真實案例。備援計劃能夠有效地執行，除了平日的規劃外，更需要不斷地測試與檢討。也正因為如此，建華銀行資訊處在去年年底正式取得BS7799的證書，不但是全台灣第一家通過BS7799認證的企業，也是東南亞第一家通過BS7799認證的銀行。


備援中心：最短時間內恢復企業運作
以備援中心的建置而言，在荷蘭等歐洲國家，早就將備援中心能否正常營運，視為新銀行核發執照的重要依據。尤其歷經911恐怖攻擊後，國內外越來越多的企業開始思考，當突如其來的意外事件發生時，如何能有效地保障公司資產，並能快速地回復正常運作，使得企業損失達到最小，這已經是目前全球企業經營者最熱門的共同話題。而導致資訊作業中斷的原因，有15%乃導於突發事件。所謂的突發事件，是指各種天然災害、火災、人為疏失或是資訊設備遭人為的異常侵入等。而根據美國Standish調查報告，一旦應用程式中斷，企業每分鐘平均損失約為1萬美金。若是停機，企業每分鐘的平均損失，更是從美金1,000元至27,000元不等。




而另外依據美國「National Archives and Records Administration」的調查報告顯示，如企業在14日之內無法恢復原有的資訊作業，約有75%的企業其業務將面臨停頓，而其中43%的企業將無法立即重新營業。倘若超過14天才恢復資訊系統作業，則更有1/3的企業在2年內會面臨嚴重的經營危機。由此可見備援機制建立的重要。然而國內在這方面所投注的時間及精力，相較之下就少了許多。也正因為備援計劃與企業永續經營有著密切的關係，因此不管是Hot
site或是Cold site的備援中心，其建置的考量，就是如何在最短的時間內恢復企業的運作，使企業的損失達到最小。因此，備援中心的建立，舉凡一切公用設備，例如水、電、通訊都是基本配備，其他如消防、防水設備，或是因台灣處於地震帶，防震的功能都必須是考量項目。



持續演練、測試，以及企業的承諾皆是關鍵
而更重要的是，需要定期的演練、測試；從前述的過程當中，除了確認計劃的可行性，以及增進人員的熟練度外，同時也可作為縮短作業時間，以及計劃修正的依據。另外依不同的發生時間及狀況，其處理的作業程序與作業時間都不盡相同，舉例來說，當發生火災時，還要考量到火場鑑識的時間，這就與單純的淹水處理方式不同。備援中心的建置是否成功、企業對於資訊作業風險的認知，以及企業對永續經營與資訊安全的承諾，都是關鍵的成功因素。




總結來說，資訊安全不是一個口號，也不是買了一堆安全產品就表示已經做好各項防禦工作，重要的是高階主管的全力支持，以及所有同仁對資訊安全的認知。如果只是某一、兩位人員的推動，建華銀行應難達成今日的成果。對於所有建華銀行資訊處同仁平日的投入所產生的結果，我們也不以目前的現況而自滿。資訊安全是一條長遠的路，對於資訊安全，我們仍將持續地努力與付出，讓更多的客戶能更安心地使用建華銀行所提供各項資訊作業平台。