營運持續 on 資安見聞錄

[觀點] 企業營運持續管理標準：BS 25999

Mon, 09 Nov 2009 04:54:00 +0000

隨著外在環境不斷變化與企業組織的擴張發展，在營運過程之中，來自於天然環境、競爭對手和市場變動所造成的影響，乃不可避免，企業到底該如何未雨綢繆，運用良好的治理與管理制度，來妥善處理這些衝擊改變，已成為企業高層與管理人員必須要學習的課題。

企業面臨危機而營運中斷的因素很多，除了天然災害如地震、颱風、火災等所引起的廣泛衝擊之外，因為設備故障如伺服器當機、硬碟資料損毀，以及蓄意行為如電腦病毒、駭客攻擊等所造成的營運風險也逐漸增加。

從IT層面來看，所謂的災難復原與備援系統的建置，若企業願意承擔起相關成本，技術上並非困難的事，難處在於管理階層究竟該如何進行規劃與組織人員訓練、評估何時該啟動災難復原程序、判斷作業程序是否合理，以及協調支援單位在一定時間內相互配合達成目標，最後形成一個企業營運持續管理(Business Continuity Management；BCM)系統，這些無一不是挑戰。

BS 25999的過去與現在

對於災害的應變與防護，國際上其實已有相關的計劃或標準，例如美國國家防火協會，即制訂了「災害/緊急管理與企業營運持續計劃」，作為發生災害時的緊急應變程序；加拿大也有「營運持續計劃指南」，確保企業的營運能在災害之後持續運作；新加坡「業務持續性與災害復原」標準SS507，更同時包含了IT災難復原和BCM兩項重要領域。

英國標準協會BSI過去也制訂「PAS56營運持續管理指導綱要」，作為企業在面臨營運中斷時，如何去維持關鍵企業營運的參考，目前則積極地推動更新的BS 25999作為營運持續管理系統的標準。

BS 25999標準分為兩個部份，BS 25999-1是作為參考手冊，已於2006年11月發佈，說明了營運持續管理的各項作業要點，包括建立程序、實作過程與指導原則，讓相關人員可以了解其實施方式，而BS 25999-2則是說明營運持續管理的要求，企業必須落實標準中的各項規範，通過稽核之後才能獲得BS 25999的認證，此標準於2007年11月底正式發佈。

BS25999提供了一個營運持續實施策略與框架，讓企業可以在重大事故之前，預先做好防範的準備措施，而在災難來臨時，也可以透過事先的妥善演練，來降低可能造成的營運損失，對於企業高層人員如執行長和董事會成員而言，具有BCM的策略規畫，可視為企業治理的重要任務之一，除了可以提升組織的應變與復原能力，更能滿足股東、上下游合作夥伴與客戶的要求。

BS 7799 VS. BS 25999

關於營運持續管理，在ISO 27001的前身BS 7799已有這個控制項目，說明企業需要識別關鍵的業務流程，進行風險評鑑以了解企業的弱點與潛在的威脅，再依照其重要性來排定復原的先後順序。BS 7799主要是從資訊安全的角度來看營運持續管理，提到企業營運持續計劃除了考量人員、資產與業務之外，其他相關設施只要牽涉到資訊的機密性、完整性與可用性，都要一併列入計劃之中，並且定期進行測試與改善。

BS 25999則是從整個企業經營角度來衡量，提到了更完整的營運持續管理生命週期(BCM Lifecycle)，包括了以下幾個階段：

了解企業的現況 - 由於企業的屬性與類型不同，所處的環境也有很大的差異，為了要評估在發生危機時可能面臨的衝擊，企業必須找出「什麼才是企業賴以維生的關鍵？」這有可能會是ERP、CRM，也可能會是Email或網路連線，因此必須透過「風險評鑑」和「營運衝擊分析」二種方式，來識別出面臨的威脅、弱點與風險值，估算可能造成的損失。另外最重要的，企業還必須要找出可接受的復原目標時間(Recovery Time Objective；RTO)，舉例來說，當一個人發生急性中風之後，若在三小時內沒有經過緊急搶救治療，就會造成難以挽回的遺憾，這是人人必須把握的黃金時間，所以如何在可容忍的營運中斷時間內進行應變，是企業要去審慎評估的。
制定BCM的策略 - 在了解企業的關鍵營運流程與可能會發生的災難之後，就可以根據企業的營運目標、資源與成本來制訂所要採取的因應策略，並且選擇能夠降低風險的措施。
發展與實施BCM回應 - 在此一階段中，企業必須要發展出一套營運持續計劃(BCP)，計劃中必須包括人員職責分配、教育訓練辦法、計劃啟動條件、緊急應變程序、備援機制、災難復原程序等。
演練、維護與審查 - 完成BCP之後，最重要的就是要進行測試與演練，確保計劃項目能夠一一順暢執行，在演練之後，還要針對有疏失的地方持續加以改進，以確保營運持續計劃能夠有效執行。
使BCM成為企業文化 - BCM是一個持續的管理、協調與監督過程，BS 25999標準中強調，必須要讓BCM深入成為企業文化中之一員，才能達到企業永續經營的目標。

BS 25999發揮的最大效益

或許有人認為自己在生活之中，不太可能會發生意外，每當身旁有人不斷提醒時，往往會認為是太過於「杞人憂天」，總覺得自己凡事皆能逢凶化吉。其實太過自信與缺少準備，往往使人們在面臨危機時手忙腳亂而造成更大傷害。

所謂「前事不忘，後事之師」，對於企業來說，以往無論是國外的911恐怖攻擊、倫敦地鐵爆炸、卡翠娜風災，國內的921大地震、東科大火、納莉風災、SARS等事件，許多的經驗都值得我們引以為戒，災害固然難以預防，但設備毀損、資料遺失，操作失誤所造成的損害，卻是企業可以事先規劃避免的。

BCM的基本精神就是要去「預料無法預料的事」，要將各種可能狀況的劇本預先準備好，確保意外或災難發生時，企業能夠依照事先擬定的因應方法，讓關鍵的商務活動不會因此中斷而造成龐大損失。但是，BCM的推動，準備條件除了人力、物力與經費之外，最重要的仍在於是否經過完整的測試與演練，能在時間內發揮預期的效用，這些都在在考驗著企業管理階層的遠見與決心。

所以，唯有透過不斷的沙盤推演，使相關人員確實熟悉各項應變作業流程，再經由模擬災難情況來實際演練，以評估計劃可行性，事後也務必進行檢討，針對不足之處予以修正，這樣才能發揮BCM的真正效益。(本文於2007年11月刊載於CNET網站)

[觀點] 從服務中斷事件談營運持續管理

Mon, 26 Oct 2009 03:53:00 +0000

今日企業對於IT的倚賴已愈來愈深，無論是網路連線、資料傳輸或是系統問題，一旦無法正常的運作，連帶會使企業重要的營運服務也隨之中斷，當IT問題演變成為營運問題，也就代表資訊人員的責任更加重大，更需要去思考如何確保IT的持續營運。

2007年5月，日本全日空航空公司，因為國內線電腦系統當機，使得旅客櫃台作業停擺，飛機大排長龍，共有127個航班被取消，超過250個航班誤點一個小時以上，估計約有五萬名旅客受到影響；2008年3月，華航的電腦主機系統，也因為突然大當機，無法辦理旅客報到和行李託運，使得前往東南亞和東北亞的航班，被迫延誤一、二個小時，使得三千七百多人的行程受到影響。

除此之外，中華電信在2008年2月時因為簡訊中心發生軟體故障，導致有數十萬用戶，無法正常收發簡訊，經過數小時搶修之後，才慢慢恢復運作，但是恢復過程中，仍然有流量壅塞的問題，使得簡訊發送也受到延誤；同樣的時間前後，微軟MSN即時通訊也因為伺服器定期維修時間逾時，造成亞太地區的使用者，不能正常登入使用，斷訊時間長達了6個小時，連帶使其提供的電子郵件信箱也無法正常服務。

從國際標準來看營運持續管理

面對IT系統問題所造成的服務中斷，對資訊人員而言，最好的辦法就是在意外事件發生之前，根據各種可能的狀況，擬定好如何應對的策略，一旦災難真的不幸發生，就可以根據這些事先定義的作業程序來緊急應變，以確保關鍵的業務運作不會因災害而中斷，並且在最短的時間內，盡快將所有系統和服務回復到正常運作。

因此，企業的營運持續管理主要是從經營層面來看，或許你會說，我只是個小小的資訊人員，並不像老闆擁有決策權，談經營管理對我來說有點太遙遠，但事實上，正因為我們是資訊人員，是確保組織關鍵運作的小齒輪，所以更要吸收持續管理的概念，在危機來臨的時候發揮實力，減少災難對企業所造成的傷害。

目前，有關營運持續管理(Business Continuity Management)的規範，英國的BS25999是個很好的參考，這項標準分為兩個部份：BS25999-1是作為落實營運持續的參考手冊，對於營運持續管理系統，有完整的描述與實施說明；BS25999-2則是對於營運持續的管理要求，同時也是一個可以作為驗證的標準。

在BS25999標準中，營運持續管理的實施過程主要分為四個階段，分別是「了解您的組織」、「制訂BCM策略」、「發展與實施BCM回應」和「演練測試與改進」，礙於篇幅的關係，無法在此一一解說，建議可以參考BSI的官方網站 ( http://www.bsigroup.tw/zh-tw/ )，或是Business Continuity Institute (http://www.thebci.org/ ) 網站，可取得非常豐富的參考資訊。

落實營運持續管理精神

營運持續管理的精神是要去「預料無法預料」的事，根據各項可能造成損失的事件，預先擬訂相對應的劇本，一旦不幸發生時，就可以按照劇本演出，避免因手忙腳亂而造成企業更大的損害。

換句話說，營運持續的精神也可以落實到生活之中，例如我們要維持一個家庭的運作，首先要了解的就是家庭的關鍵活動是什麼？其中有一項可能就是你的工作，因為你的工作所帶來的收入，可以負擔家庭的生活支出，提供生活的基本保障。

但是，有沒有想過你的工作面臨的風險有哪些？可能的風險包括：因公司倒閉或工作績效不佳，被公司資遣或開除而失業；或是因為不小心受傷或生病，導致無法工作。所以為了要降低失業的風險，我們可以擬訂的策略是什麼？簡單來說，可能的方法有：

避免風險 - 把工作辭掉，乾脆自己當老闆，就不會被開除。
降低風險 - 待在經營穩健的公司，並且努力工作拿出表現。
接受風險 - 公司營運良好，倒閉的機率很低，所以不必怕。
轉移風險 - 購買醫療保險，一旦生病時不必擔心醫療費用。

根據以上這些策略，我們要自己評估適合並且可行的做法，再去收集更多資訊以訂出詳盡的計畫，像是想轉移風險時，到底該買什麼保險(意外、防癌或住院險)？一年能承擔的保費是多少？要找哪一家保險公司投保？適合的保額是多少？把它訂出來之後，再依照計畫一一去實施。

所以，同樣的方法回到企業來看，由於企業的經營型態與員工環境比家庭複雜，管理階層要考量的風險就更加廣泛了，而對於網管人員來說，我們要做的就是去找出網路管理的關鍵活動是什麼？當這些關鍵活動中斷時，可能造成的損失或影響有哪些？服務可容許中斷的時間是多久？我們要如何去降低發生中斷的機率？能夠實施的應對措施有哪些？最後，還要再經由不斷的演練、測試，以確認這些計劃是可行的，再針對有缺點的地方加以改進。

如何擬訂緊急應變計劃

在BS25999標準中，它提供了整個營運持續管理實施的策略與框架，讓我們可以依照不同的產業屬性，擬訂有效的應對策略，目的就是要降低災難發生時的損失。其中最重要的就是必須成立緊急應變小組，在災難發生的第一時間內，依照所擬定的緊急應變計劃來進行，避免人員、系統、組織受到更多的傷害。

因此，擬訂一個緊急應變程序是非常重要的，例如企業在撰寫網路營運應變程序時，建議可從以下角度來思考：

偵測 – 網管人員必須設定一些工具或偵測措施，來偵測網路流量是否異常，或是發現某個網路裝置是否產生負載問題。

通報 – 一旦發現異常事件，我們可能需要通知其他的網管人員或資訊主管來共同防範，也需要選擇快速有效的通報方法，例如透過簡訊或電話。

判斷 – 網管人員必須進行初步判斷，是否要針對事件進行持續監控，或是採取更進一步的處理，因此，必須清楚定義事件的等級與對應的措施。

處理 – 網管人員可視損害情況，取得授權後進行緊急處理，例如是否要阻擋惡意IP來源封包、是否要停用網路介面或設備、是否需要更改設定組態等。

記錄 – 最後，網管人員務必牢記，所有的過程都必須要留下文件或記錄檔，以便進行後續的事件查核，並且作為日後改善的目標。

凡事預先防患於未然

在古書《左傳》裡提到：「居安思危，思則有備，有備無患。」相信這是大家在學校都有唸過的一句成語，但是要如何去縮短知道與落實之間的差距，對我們來說才是一大考驗。幸好，我們可以隨時看看別人、想想自己，從已經發生過的事件，或是參考國際的標準規範，來思考出適合的應對方法，而透過了解營運持續管理的概念，無論是在工作或生活之中，對我們一定都會有實質的幫助。(本文刊載於2008年5月號網管人雜誌)