Kevin 學習筆記

前陣子有媒體報導指出，公共自行車系統在尖峰時段發生異常，導致部分使用者無法順利借還車輛。依據業者初步說明，原因與系統更新過程中的異常有關。雖然問題最終在數小時內排除，但此事件也提醒我們，資訊系統一旦出現異常，不僅影響服務可用性，更可能在高使用量時造成使用者不便與營運壓力。 這類事件雖然屬於技術面的系統異常，但若原因涉及資訊安全事件，影響範圍與風險將更為嚴重。例如，除了服務中斷外，還可能伴隨資料外洩、系統被入侵或成為攻擊跳板等相關問題。因此，無論是系統更新、維運作業或因外部因素導致的異常，企業或機關都應定期執行營運持續演練 。 營運持續活動的目的，不僅在於面對資安事件的應變，更在於確保各種營運中斷情境下，組織能迅速回復關鍵服務、降低影響範圍。透過定期的檢視與演練，能強化組織在突發狀況下的應變能力，確保民眾服務不中斷，也讓資訊系統的穩定性與韌性持續提升。 在這樣的背景下，我們可以進一步談談「營運持續計畫（Business Continuity Plan，簡稱 BCP）」的重要性。BCP 是一套在面臨突發事件時，確保組織核心業務能持續運作，或在可接受時間內恢復的策略與流程。它不僅適用於資訊安全事件，也涵蓋自然災害、系統故障、人為疏失等情境。透過事前的規劃與定期演練，組織能在危機發生時有條不紊地應對，降低中斷帶來的衝擊，確保服務不中斷。 在營運持續管理中，常被提及的幾個核心指標如下： RTO（Recovery Time Objective，復原時間目標）：指在系統異常後，系統可接受的最長停機時間，也就是「多久內要恢復運作」。 RPO（Recovery Point Objective，復原點目標）：指可接受的資料遺失範圍，代表「最多能損失多少時間內的資料」。例如 RPO 為 30 分鐘，表示即使發生災難，最多只能遺失 30 分鐘內的資料變動。 WRT（Work Recovery Time，工作復原時間）：指系統恢復後，業務單位將作業流程與資料恢復至正常狀態所需的時間。例如，系統雖於兩小時內復原（RTO），但人員仍需一小時進行資料驗證與重新啟動業務流程，這段時間即為 WRT。 MTPD（Maximum Tolerable Period of Disruption，最大可容忍中斷時間）：指業務可容忍的最長停擺時間，超過此時間將對組織造成嚴重甚至不可逆的影響。 這些指標之間...

最近工作上經常遇到一個情況：大部分客戶不太喜歡資安稽核，因為會總覺得稽核就是來找麻煩、增加工作量。 不過，如果換個角度想，稽核其實有很多面向：除了檢查問題、增加負擔之外，也可以透過稽核活動，推動政策落實與流程改進。當然，稽核有好有壞，主要看執行方式與目的。 接下來就淺談 第一方稽核、第二方稽核及第三方稽核 的差別。 稽核比較表 稽核類型 誰來稽核 稽核對象 主要目的 特點 第一方稽核 公司內部人員 自己的組織 自我檢視，確認內部流程是否符合規範 內部自我檢查，重點是持續改進 第二方稽核 客戶或合作夥伴 供應商或合作單位 檢視合作方是否符合規範，提出改善建議 具有利害關係，可邀請外部專業協助 第三方稽核 獨立驗證機構（如 SGS、BSI） 申請認證的公司 確認公司符合標準規範，取得正式認證 公正獨立，結果具公信力，無利益關聯 第一方稽核 定義 ：公司內部人員稽核自己組織，用來自我檢視是否符合既定規範，並進行改善。 特點 ：重點是 自我檢討與持續改進 。 第二方稽核 定義 ：客戶或合作夥伴對供應商進行稽核，檢視是否符合相關規範，並提出改善建議。 特點 ：稽核者對被稽核者有一定利害關係，可以邀請外部專業團隊協助執行。 第三方稽核 定義 ：由完全獨立、具有公信力的驗證機構執行稽核，檢查公司是否符合標準規範，例如 ISO 27001。 特點 ：第三方沒有與公司直接利害關係，稽核結果對外具公信力，是正式認證的依據。 雖然三方稽核概念差異不大，但實務執行感受不同。 對於第一方、第二方稽核 ：有時會讓人困惑或猶豫，甚至覺得麻煩，但其實是改善流程、落實政策的好機會。 第三方稽核 ：過程單純，結果依標準而定，不帶人情與內部利益考量。 最後，分享這篇筆記給大家，如果你對第一方、第二方、第三方稽核有不同看法或經驗，歡迎留言討論！

這是我首篇撰寫學習筆記。其實老早就有打算開始撰寫學習紀錄寫於部落格，只是因為選擇障礙而遲遲沒有動手。網路上有許多不同的部落格平台，查得越多反而越難抉擇。雖然各平台各有優缺點，但畢竟這是一條長遠的路，若一開始沒有選好，日後可能還得面臨 搬家 的麻煩。 當然，也有一條終身免搬家的路，那就是從無到有，由自己架設部落格。不過這樣維護成本可能會超出預算，思來想去，還是先從平台開始，邊比較邊累積經驗。 我的文筆或許不算好，但這裡就當作是學習與記錄的空間。如果你有任何想法或建議，也很歡迎留言交流。