作者： | |
ISBN： | 9786267293768 |
出版社： | |
出版日期： | 2024/09/25 |
內文簡介
＜內容簡介＞
☆首版入選國家文官學院選書☆
│全新增訂版+資安風險升級主題 │
──特別加寫資安風險等最新發展章節，回應駭客及數據安全問題不斷出現的新時代！
企業災難案例& 韌性+敏捷管理的入門經典！
一本當前每家企業都討論的一本書！
五年前，這本書從韌性、風險管理、營運持續（Business Continuity）與災後復原（Disaster Recovery）等角度，跨界討論工安（Safety）與資安（Security）的議題。
五年之後，這個世界有更多的不安，人類與企業經歷了世紀一見的新冠疫情、不再和平的地緣政治衝突、網路勒索與加密貨幣的案件頻發，以及更多的不確定與科技工具的進步及進步下的不適配。
人們已經不再疑惑，國家與企業現在為什麼要投入「韌性」（Reslience）管理？它究竟有何重要性與價值？
在當代經營策略中──「環境」──而非競爭者，可能才是企業最大的對手；一再忽視風險的公司幾乎不可免於被多變時代擊傷。
也正是面對當前不確定性高、技術與數位跨國連結而引致的惡意攻擊層出不窮的時代，本書作者於災後復原及風險管理領域執業多年，兼從最新知識與災難企業案例的結合，生動說明了「韌性管理」的新觀念與新作法；除了安全的預防意識外，企業界也強調是否有一套「緊急復原對策」備變系統並且可操作落實，目前這一趨勢已嵌入許多全球公司最重視的的管理環節中。
│企業資安、工安部門、高階經營管理層級必讀風控書目│
當前大型跨國組織都在強調韌性管理的觀念、急迫感與行動綱領──
從美加大停電到NASA衛星事故、從駭客入侵航空公司到半導體廠火災……；在年度的策略預案裡，我們是否想過：「如何把賺到的錢安全放進口袋」？
在經營情境中，最稀有的資源不是部門預算，而是領導者的注意力。
面對一再刷新損失紀錄的商業災害及「一日千里」的資安新挑戰，到底領導者該有何種新思維來應對？本書全面性地由「防災─減損─災後復原」，甚至是企業受災的理賠洽商，一步步帶領讀者認識天然災害／安全意外／電腦系統被駭等風險的高度不確定本質，以及當災禍降臨時，缺乏演練與漠視「危機中如何領導」的企業將會受到什麼樣的懲罰。
同時，從事相關領域實務多年的作者也指出全球標竿企業／政府已將「韌性」標準納入供應鏈管理，尤其是「一旦發生風險，後果就極為嚴重」的飛安與醫療領域裡，最新的「安全」維護與一般公司的安全觀念有何異同。
本書也是一部即時的「韌性」文化變革的企業內部啟動書籍，一家重視安全的組織，會鼓勵人人成為「當責者」：人人願意瞭解現況、負責任、發掘改善風險管理之道，甚至加以承擔，跳脫不重視安全的惡性循環。
│精彩收錄：企業資安、工安部門、高階經營管理層級必讀案例│
詭譎多變的國際社會局勢與氣候異常遠遠超過一般人的想像。
當「超乎常理的變動」成為新常態，處於不確定風險中的企業如何回答？
★名人推薦：
美國曼恩峽谷（Mann Gulch）森林火災（1949年）、
日本阪神大地震製鞋產業（1995年）、
美國NASA火星氣候軌道探測器事件（1998年）、
美國半導體廠J晶片廠火災（2000年）並牽動手機業者K與N國際市場版圖、
台灣知名R網路書店水災（2001年）、
美國911事件上千名員工緊急疏散（2001年）、
台灣SARS事件（2003年）、
美加大停電（2003年）、
台灣A銀行資安事件處理始末（2006-2008年）、
知名M石油企業漏油事件（2010年）、
智利礦場事故（2010年）、
日本福島核電廠海嘯（2011年）、
日本G公司駭客入侵（2011）、
S石化廠爆炸（2011）、
台大竹東分院跳電處理始末（2013-2015年）、
美國知名L零售業者駭客入侵（2013年）、
台灣PCB業者B公司火災（2015年）、
美國E公司資安事件總座與資安長下台（2017）、
英國O航空公司電腦當機（2016-2017年）、
梅雨季超大豪雨（2017年）、
美國智慧製造H工廠被駭客入侵（2017年）、
美國C公司資安事件造成全球性客戶問題（2020）、
歐洲能源集團U公司資安事件（2022）
│專業官產學界共同推薦│
王价巨／銘傳大學建築學系教授，行政院災害防救專家諮詢委員會委員
不管面對風險或危機，天然災害或人為事故，「韌性管理」的前瞻性思考逐步成為整合性的專門領域知識，因應能力、調適能力到轉型能力的建構已是當代從個人到組織的基礎工程。本書適時串接了趨勢課題，釐淸重要觀念，値得一讀。
吳相勳／元智大學助理教授兼管理才能發展研究中心主任
近年來，隨著國際局勢動盪不安，企業經營面臨前所未有的挑戰，風險管理的重要性也日益凸顯。本書作者吳明璋先生，長年深耕於風險管理領域，近年來更是不遺餘力地將這些觀念推廣給企業高階管理人員，而本書正是他多年來研究與實務經驗的集大成。吳明璋先生在書中深入淺出地解釋了風險管理的各個面向，並輔以許多經典案例，讓讀者更容易理解這些觀念如何在實際情況中應用。特別値得一提的是，作者最近與我合寫了台灣第一篇運用本書架構應對的資安短個案，廣泛受到企業主、專業經理人歡迎。該案例充分證明了本書所提出的架構不僅具有理論價値，更具有極高的實用性和落地性。
本書不僅適合企業高階管理人員閱讀，也適合所有對於風險管理議題感興趣的讀者。相信透過本書的引導，讀者將能建立起更完善的風險管理思維，並將其應用於工作和生活中，從容應對各種挑戰。
吳啓文／ NICS 國家資通安全研究院副院長
「CrowdStrike 事件」*凸顯企業在面臨無預期的緊急應變下，資安營運持續計劃（BCP）的重要性。本書以豐富的工安、資安實例，提醒主管在處理災害管理的陷阱與迷思。
（*按：意指本書出版前夕的7月19日，全球企業在更新網路安全公司CrowdStrike解決方案後，導致Windows作業系統運作中斷，電腦顯示藍白畫面或恢復中（Recovery）介面。這起事件波及多個行業，造成眾多服務中斷，如航空業、銀行、酒店、醫院、證券市場、廣播電視，電子支付和緊急服務均受到影響。在全球範圍內造成數十億美元損失。）
李蔡彥／政治大學校長
面對VUCA時代複雜與未知挑戰，企業組織的韌性與永續儼如當代顯學。本書博採理論、跨域融通，透過不同樣態的實務及個案分析，帶領讀者洞悉風險、自我省察，做好嚴陣以待不被攻略的準備。本版尤以關注資安議題的更新，不啻與時俱進的經管寶典。
林儒明／世界銀行首席資訊安全長
《鋼索上的管理課》是一本深入探討企業如何在當今多變的環境中培養韌性與敏捷性的書籍，深度探討企業如何在當今多變且充滿挑戰的環境中，培養韌性與敏捷性。首先，作者吳明璋透過豐富的實務經驗，詳細解釋了如何將風險管理、營運持續與災後復原策略融入企業的日常運營中，幫助讀者在面臨危機時做出更明智的決策。其次，吳明璋闡述了敏捷管理的理論框架，更以具體案例展示了如何在實踐中有效應對變化。這對於企業領導者在面對快速變化的需求和市場壓力時，提供了實用的操作指南。最後，隨著資安威脅的日益複雜，本書提供了最新的國際標準與實務經驗，特別是在應對勒索軟體攻擊、供應鍊管理和系統老化方面，為讀者提供了前瞻性的管理策略。
總體而言，《鋼索上的管理課》不僅適合管理階層，也對所有關心風險管理與企業永續發展的專業人士而言，是一本極具價値的參考書籍。
杜懋之（Mathieu Duchâtel）／法國蒙田研究所國際研究總監（Director of International Studies, Institut Montaigne）
在新的資訊安全挑戰和地緣政治風險不斷上升的時代，本書是一本必讀的資源，讓您對復原力管理有實用的見解。
喬爾．班克羅福特-康納斯（Mr. Joel Bancroft-Connors）／敏捷管理（Agile）專家
我是企業教練喬爾．班克羅夫特-康納斯。當《鋼索上的管理課》一書作者明璋詢問我是否願意為他的新書作評介時，我感到非常榮幸。我在2023年擔任「敏捷CEO獎」的評審時，見證了台灣的CEO與企業在創造可持續價値和組織方面的成果，也對這兒的人民和公司在這方面議題的努力有了新的認識。
台灣社會文化中的韌性、創新和適應的精神都體現了我在敏捷和Scrum課程中教授的東西。因此，當我有機會受邀引介明璋的書時，我自然迫不及待地要跟各位推薦了。隨著我們世界中VUCA（易變性、不確定性、複雜性、模糊性）不斷加快，我們在商業模式中迅速做出改變的能力變得至關重要。同時，我們得最大限度地提高安全準備，並確保應對突發事件的能力也要加速提升。吳明璋在書中提出了「韌性管理」的概念，這是敏捷開發、智慧商業實踐、風險管理及復原實踐的交集。這個概念強調，災難即使不比商業競爭對手更有敵意，至少也是同等程度的敵人。韌性管理也促使我們認識，我們不僅能夠預防災難，還能事先備妥良好的應急措施。面對未預期的事件，我們需要一種系統思維方法，從識別到預防，再到應對，最終實現復原。
我將這本書視為「技術債」（Technical Debt）的概念，以投入短期利潤交換長期可持續性，並將其提升為整個組織乃至行業的系統思維方法。
我期待這本書之後也會有英文版本，這樣我就可以將它放在我的書架上，與《轉變》、《精實創業》及《鳳凰計劃》等作品並列。
克拉爾．羅梭（Ms. Clar Rosso）／國際資訊系統安全認證協會（ISC2）執行長
ISC2 認可資安人的專業知識，以建構具有韌性和敏捷的資安策略；它不僅能保護我們的資訊和關鍵資產，還推動創新、驅動全球數位經濟的發展，並捍衛我們的國家。
★目錄：
新版序
初版前言 「韌性」是一門顯學
Part 1 勿恃敵之不來
1-1 越過山丘，轉過一個又一個的念頭
1-2 蠢蠢欲動的隱形敵人
1-3 我的隱私，未來的曝險
1-4 遊戲玩家的「天堂」，資訊人員的夢靨
1-5 這次客戶老闆發飆了
1-6 要做到「多安全」才算安全？
Part 2 危機意識的領導管理
2-1 面對「新常態」該有的新思維
2-2 息事寧人的文化慣性
2-3 都是懶人密碼惹的禍
2-4 從受災企業股價看其組織復原力
2-5 營運持續或災後復原？下一步在哪裡？
2-6 營運持續為數位韌性之本
2-7 最佳實務企業的做法
2-8 經驗不足導致蝴蝶效應
2-9 結構性規劃的起手式
2-10 災後復原專案的關鍵因素
2-11 當應變組織失效
2-12 過度自信的領導團隊
2-13 措手不及的組織應變
2-14 敏捷與韌性──相異卻相應的朋友
2-15 當資安標準遇到管理
2-16 全球資安缺口的現象與補強──寫於ISC2安全大會後
Part 3 準備是最好的應變
3-1 「災後才想到專家」來得及嗎
3-2 呼叫專家，我們有麻煩了
3-3 規劃為韌性行動的第一步
3-4 優先評估關鍵性營運
3-5 災害衝擊遠大於你的預期
3-6 面對書面計畫的陷阱
3-7 虛驚為事故的前哨站
3-8「有計畫無演練」流於形式
3-9 資安風險分析初探：外在威脅與起因
3-10 老舊系統不是IT問題，而是資安折舊問題
3-11 勒索軟體成為犯罪集團取款機
3-12 從「預防無效」到韌性思維
Part4 災後復原的現場與實務
4-1 當意外降臨，「什麼東西最貴」？
4-2 災後復原為移動中的目標
4-3 個人自救用品
4-4 眼見為憑...但只是冰山一角
4-5 災害管理是異常管理
4-6 資安調查恍然大悟
4-7 災因調查追追追
4-8 理算洽商之攻防實務
Part5 經典個案
5-1 終結國際知名手機品牌的一場小火
5-2 刪減樹木修剪經費造成美加大停電
5-3 總經理為駭客事件下台
5-4 引發董座總座請辭最後一根稻草
│附錄│
6-1 知易行難的韌性研究
6-2 標準與管理實務的演進
6-3 韌性專案的知識體系
後記與致謝
參考資料
＜作者簡介＞
吳明璋（Bright Wu）
任職於 Aon 怡安，榮獲2023 ISC2 Global Achievement Awards（Asia-Pacific）與擔任2023年全球頂尖敏捷CEO大獎評審。現為標準檢驗局電子工程國家標準技術委員會委員、SEMI Taiwan 資安委員會委員、中華公司治理協會、金融研訓院董監事資安治理課程講師。
發表三十餘篇中英日資安標準、資安治理與數位韌性文章，如EETimes、ISSA Journal、SEMI Standards Watch、彭博商業周刊中文版（Bloomberg Businessweek Chinese）、哈佛個案商業評論（Harvard Business Review）繁體中文版、電子時報，以及工商時報等。
曾執行超過1,500人次災後復原計劃（DRP）教育訓練與研討會，以及超過1,000人次桌面演練，目前協助高科技客戶執行營運持續計劃（BCP）專案。專注在資安、工安與工控風險管理領域，以ＡgileＢizCont™ 框架推廣國際趨勢BCP 2.0─敏捷營運持續（Agile Business Continuity）。
與作者聯繫：agilebizcont＠gmail.com
更多作者社群活動及影片訊息請見：
https://groups.google.com/d/forum/agilebizcont
https://www.youtube.com/@agilebizcont
★內文試閱：
•作者序
新版序
請容我向「哆啦A夢」借任意門，時光倒回2018年本書首版的出版幕後花絮。
當時我趁著轉換工作的空檔，將災害管理前中後階段實務經驗化為文字，並嘗試跟合作過的出版社聯繫出版可能，大多數的回應是風險管理與韌性（Resilience）管理議題太專太新太冷門，所以「謝謝再聯絡」。由於我也曾擔任過行銷企劃工作，可以理解出版業績的壓力。
吃了多次閉門羹後，鄭俊平先生敞開大門，接受我的提案。在出版會議後，鄭總編還送我數本出版社的書籍。他示意我可以參考這些書籍介紹性文章，將生硬的內容寫些通俗性的文章。儘管內心本已經處於交稿的狀態，但後續又補充了約萬字文稿，以生活故事闡述風險背後的邏輯後付梓出版。
這五年來，我因為這本書也經歷了未曾有過的經驗。如：國家文官學院（2020）、全國科學技術會議（2020）等場合的發表。這五年地球村中的我們也共同歷經了全球Covid（新冠）疫情前後的社會劇變，「韌性」因此躍升為國際產、官、學、研的顯學。當鄭總編2023年底邀我為本書新版增益內容時，我沒有多加考慮就答應了。
以下讓我說說過去這五年各種國際事件、在地行動於本書主題裡的「微縮影」吧。
全球鉅變、在地觀點：「超乎常理的變動」成為疫後新常態
從本書付梓至今，詭譎多變的國際社會局勢與氣候異常遠遠超過一般人的想像。中美貿易戰（2018至今）、巴黎聖母院大火（2019）、新冠疫情（2020~2023）、全球供應鏈中斷（2020~2022）、美國「零元購」（zero-dollar shopping，2020╱2021~）、疫後罷工（2022╱2023）、俄烏戰爭（2022~）、台海軍演（2022─）、歐洲乾旱（2022╱2023）、美國野火（2022╱2023）、中國東北洪災（2023）、夏威夷火災（2023）、以巴戰爭（2023─），台灣0403地震（2024），以及數不清氣候異常與重大資安事件，使得「韌性」成為疫後社會與商業鉅變後的生存焦點。
在疫情期間，全球供應鏈中斷與在地人力短缺造成各國通膨的壓力。根據中華經濟研究院引述標普全球（S&P Global）資料，2022年全球通貨膨脹率7.60%，開發中國家處於約兩倍的高檔，為14.94%。而標普全球在2024年1月發布的預測，去年（2023）全球通貨膨脹率約5.60%，今年（2024）預測為4.60%。
即便是疫後兩年，今年（2004）各國經濟展望仍是起伏多變。中華經濟研究院分析全球需求仍處於低迷，美國、中國、日本、歐元區預估2024年經濟成長趨於保守，較去年度減緩。拜供應鍊重組之賜，東南亞地區的外資持續升溫，則可望帶動部分地區（如台灣與南韓）的經濟成長。
三個韌性閱讀的心得
在「韌性」一詞尚未普及，本書首版有幸獲選為2020年國家文官學院7月選書，我也榮幸擔任本書前版閱讀心得的評審，展開全國公務機關與公營事業眼中的韌性之旅……
欣喜的是，這些心得投稿者還具備多樣化的實務背景，他們將其穿插在文章前言（如遊樂區資訊系統）、自身業務經驗（如醫院、勞動檢查、校園輔導等）、演練情境（如醫院、文化單位重大車禍），以及案例（如韌性台灣政策）。
投稿者們各自發展了自己的韌性創見，他們的個人論述與實務的驗證也是我學習到的心得。我曾就這次經驗發表在《工商時報》，在此摘取三大重點，作為補充本書新版強調風險偏見、溝通與實務對話的重要性：
1）「比喻」為風險溝通之媒介
在風險溝通上，這種媒介通常被忽略、實為非常重要的角色。除引用黑天鵝、灰犀牛等社會大眾熟知的比喻，投稿者以個人巧思「設計」出了不同的比喻（如：風起電影、扁鵲故事、韌性像肌肉等），這皆有助於與利害關係人溝通風險的特性。
即使找不到恰當的比喻，投稿者也運用另一種媒介探討為何政府需要韌性管理。有人提到，被動式與穩健的組織為政府在面對風險管理的盲點。這類的形容詞也有助於我們理解投稿者所處場域的限制。
2）「弦外之音」為創見之基礎
讀懂本書初版的「弦外之音」並非易事，往往也是投稿者發展個人創見的第一步。除了深刻的體悟，還要有細膩的觀察，以破除社會一些「想當然爾」的原有觀念。
有些投稿者會這樣闡述書中欲表達的弦外之音，例如：
對於一般人來說，危機一詞「太過沉重且正式」。如今，新的思維「韌性管理」採行了前瞻性思考，為一門綜合專門領域知識。在這個多面向的實務取向，強調時間動態、資源組態與人員心態之管理學專論。尤其是涉及管理的部分，韌性是當責也是承擔。及至應變人員專業能力的養成，如訓練或演練，就非常重要。透過平日的演練，「直視惡魔的眼睛」。不管準備多繁複，也不能輕易被捨棄。因為錯誤總會發生，災變發生後最重要的課題為「減損」。針對政府單位忽略風險移轉與減損加強準備，培養領導者與團隊韌性能力，以避免陷入自身舊框架的限制。
很多投稿者融會貫通本書的主要觀念後，點出了政府機關的文化思維，據此提出改善建議之道。我身為作者，頗有「跨域遇知音」的心領神會。
3）實務為論述的驗證之地
這些弦外之音或許點出投稿者反芻了國內現象後產生的結論，但就像某投稿者提出「以失敗為師」的主張，但這需要更多故事、實務與案例來支持投稿者提出的創見。
韌性其實也是是跨域的實務積累。從實務案例中發展新的理論框架，為韌性管理提供洞見與視野。缺乏實務案例，論述就像是真空狀態下生物，成為無生命的化石標本。即便是考古學家，也會仔細整理化石周遭的生物與土地肌理，呈現當時生活生存的多重樣貌。
另外，許多投稿文章混淆了「韌性」與「永續」（ESG）兩個觀念。儘管韌性起源自於生態學，但韌性是從風險管理學、組織管理學發展出實務性的應用。2020年，美國《彭博商業周刊》（Bloomberg Businessweek）專文探討過在疫情之下，「風險管理專業經理人」已成為美國熱門行業。除了風險管理的趨吉避凶，存活後的重生新生便是韌性管理面臨的生存議題。
若我們回到企業經營的「底線」（Bottomline）思維：如果企業都沒有明天，哪來的餘裕推動永續？從風險管理的角度，組織韌性才正是企業永續之本。
四年前，我有幸參與2020全國科學技術會議，當時政府各部會主題都已圍繞在韌性。
從該次會議議題文稿中可見，韌性已成為跨部會的策略主軸之一。在科研與前瞻的議題，發展強化科技風險評估策略；在經濟與創新的議題，發展以智慧應用提升韌性、接軌國際完善資安體系及提高能源整合電網韌性；在安心社會與智慧生活議題，強調打造堅韌安全之智慧國家、完善調適精進災害預警、環境智慧打造韌性城市，以及整備網絡奠基智慧生活。
根據上述跨部會策略，我在會議中建議將「韌性教育」納入國家人才培育策略。目前韌性教育並非學校教育的主流，很難為學生培養因應未來多變環境的領導者。而過去在殺價競爭的壓力之下，台灣企業不斷地壓低風險管理的費用與支出。除非在客戶合約的要求之下，風險管理成為OEM代工模式下的「奢侈品」，更不用提韌性。
不論是聯合國經濟合作發展組織（OECD因）應韌性社會來臨、或許多國際領導者對於韌性教育的承諾，還是世界經濟論壇「HR 4.0」議題，這些都彰顯國際韌性教育的重要性。因應未來國內科研、政策與產業所需，國內韌性教育也將有助於培養專業人才之國際競爭力。
新版對「資安敏捷」更新
由於這幾年歷經了疫情管制的歷史，我結合國際時事、韌性管理觀念與時俱進的發展，陸續發表了中英日30餘篇文章。除整合過去的新作品、並為本書重寫新的內容，尤其主要更新了韌性與資安議題的論述。
資安議題發展一日千里，故成為本書再版更新的重點。本書新版已移除舊版附錄的「中小企業版數位韌性規劃」，它無法因應當今複雜的資安議題。本版更新簡介美國「國家標準技術研究所」（NIST）「網路安全管理架構」產業標準（CSF），也適用於中小企業規模。再者，延伸第一版「預防無效論」（前譯為「預防無用論」）的背景、因應與後續發展；也增加國際資安標準簡介內容，以及勒索軟體、老舊系統與密碼管理等頭痛議題，以及面臨供應鍊與跨部門議題的挑戰。
尤其，本書特別關心「資安」與「工安」的跨域風險管理交流。舉例來說，國際資安工控標準ISA╱IEC 62443 也增加安全（Safety）維度。本書初版前言引述Gartner（2015）建議實體安全（或工安）納入2020資安情境，五年後Gartner（2020）CEO指出，調查發現2024年之前的資安風險多會出現「個人可擔責」（Personally Liable）這類問題。最後，非資安、風險管理背景的上市櫃董監事與專業經理人也是本次新版特別關注的讀者，我也增加了管理角度出發的資安議題、背景性觀念。
筆者有幸於2023年取得國際敏捷證照（SCRUM Master），本書新版還增加了敏捷議題，希望解決層級組織因應複雜多變VUCA環境的挑戰，並開啟敏捷與資安、工安領域應用的對話。
展望：韌性為組織自救力
曾在一場桃園縣政府專書導讀會中，我一開始詢問聽眾：韌性管理和政府有關嗎？當災害來臨，政府開設地方各級災害應變中心，這個「救人」機制已相當成熟完備；反之，從緊急應變、災後復原到營運持續管理，韌性管理更強調政府「自救」的能力。過去我們即從紐約消防局於「911事件」案例中省思，自救才能救人。
韌性管理發展為風險管理進化版，培養新常態下組織與個人競爭力。面對多重複雜環境的挑戰，組織或個人難以用日常的經驗法則，因應多重風險帶來的生存威脅與損失。「三隻小豬」寓言故事啟發我們對於韌性的重要性。如果沒有豬小弟的備案，就可能喪失最後的生存機會。韌性不再只是被動的規避風險、也不是可有可無的組織餘裕（Slack），已成為VUCA（易變性、不確定性、複雜性、模糊性）日常必備的營運資源。
我想就這五年經驗與觀察，以新版的面貌與國內專家社群交流。然而，在字句推敲之間，我難免也心裡滴沽：自己的創見會不會哪天被新興的AI工具所取代？所幸，活生生的經驗並非現階段生成式AI所能完全取代，兼具實務與邏輯的洞見（Insight）亦是如此。
從過去十年的工作經驗來看，從風險管理到韌性管理的旅程不會是單行道，可能是迂迴的九彎十八拐。我很珍惜身為作者的這份機會，可以跟跨業異業專家先進交流，並期待未來交換人生體悟的韌性風景。
／寫於2024甲辰青龍年．小年夜
•摘文
前言
「韌性」是一門顯學
你是否因處理突發狀況而整夜待命？是否擔心無法處理危機而徹夜難眠？是否擔心團隊能力不足，延宕處理公司的危機？儘管「趨吉避凶」是我們的本能，然而我們並未真正認識危險。一旦大難臨頭，一般人的通病是走捷徑。閃躲它非但無法解決真正的問題，有可能造成更棘手的處境。這是否和我們的工作經驗與學習歷程有關？
展閱當代管理之父彼得．杜拉克先生六十年演說集，不禁回想近二十年個人學習與職場生涯。在累積一定的績效與歷練，經理人得以步步高升。進階者從MBA 師生同儕學習，在職涯轉折點充電後再出發。
從國內外個案的分析，太多主管因處理災害危機不當而黯然下台，甚少因處理有功而被拔擢。
為何這門攸關公司生死存亡、主管升遷的管理課程，鮮少出現在主管養成教育？
原因很簡單，危機消息止於自家大門之內。在家醜不得外揚的情況之下，企業講師不教；在我國近六十年MBA 教育的發展中，這類型的風險課程並非商學院的主流，學校也不教。
由於災後復原為移動中的目標，階段性目標隨時空環境而調整。在有限的資訊與資源之下，主管很難在第一時間做出決定，連帶會影響第一線部屬的士氣與進度。由於缺乏災害處理的實務經驗，臨危受命的應變小組僅能從排山倒海的問題中被動因應。每個臨危受命處理災害的主管，就好像在高空上走鋼索戰戰兢兢。
新管理思維
近年來，台灣一再發生「短延時強降雨」，也開始面對「限電」或「缺電」的可能性。Gartner（2014）強調，資安已經進入「預防無用論」時代。災害衝擊遠大於你的預期，「防範未然」不再是唯一事前準備的處方。
然而，沒有經歷過災害，很難體會災害管理這堂課。以美國911事件為例，恐怖攻擊造成紐約雙子星大樓應聲倒塌。瞞天蓋地的金屬塵爆席捲商業大樓數以萬計的電腦。大樓停電造成資訊與聯絡中斷，上千台受污染的電腦必須徒手背出災區迅速復原。這段時間，所有的業務一片混亂、完全停擺。在大型災害的案例中，災害的類型不會是單一的，伴隨而來的是複合型的影響。
那該如何以新思維分配風險管理的資源？
在規劃風險管理資源時，我們習慣將「雞蛋放在同一個籃子」。在技術思維之下，「規避」（Avoid）為常見的風險策略，就像是硬體採購。但，主事者往往忽略「減損」（Mitigate）或「移轉」（Transfer）策略的可行性。在有限的資源之下，單一部門僅關心單一策略，無法照顧到風險管理之全貌。甚至我們聽到客戶說，她只是智慧製造的技術人員，「風險管理是老闆的事」。
其實，最稀有的資源不是部門預算，而是領導者的注意力。面對一再刷新紀錄的災害，到底領導者該有何種新思維？
在協助全球知名半導體大廠教育訓練中，一間最賺錢的廠最先導入「災後復原計劃」（Disaster Recovery Planning）。以往他們不乏災後全損的例子，上億元設備就這樣報銷。由於該設備金額在保險自付額以內，企業得自掏腰包，自行支付損失。這樣的觀念驗證一個基本的觀念：「營運越好，越不能出問題」。廠長強調：要將賺到的錢「安全」的放進口袋。
這驗證了一句話：風險管理，人人有責。
IDC（2017）也特別強調：「它（資安）並非是IT 安全—此觀點造成限制並將解決方案投射在疲於奔命的IT團隊；相反的，它是企業風險—此觀點涉及部門、高階主管與董事會，並協助定義在這個流程中IT 所扮演的角色」。
因此，風險管理不單只是風險部門的工作。除了高階主管，本書的溝通對象為廠長、資安長、財務保險、智慧製造、工安人、緊急應變小組、資安人或資訊人。此外，保險相關的從業人員也是本書關心的對象。
不為人知
這個實務領域並沒有統一的語言。常見的為風險管理、災害管理，或災後重建。倘若以Google 查Disaster Recovery（災後復原），發現大部分的討論偏向於IT 軟硬體。除了災前的客戶訓練與計劃，保險人同樣關注災後客戶的搶救減損。
那麼，到底該如何界定這一行？
根據我國最新的《行業標準分類》（2016），行政院將全台行業類別規劃517 個細項。有趣的是，「復原」僅有「電腦災害復原處理服務」（6209）與「歷史遺址及建築物之翻新及復原」等兩個行業細項。
但是，「機械設備之實質改造、翻新、重製，視同製造活動」，依性質分別歸入C 大類製造業25-29中類之適當業別。僅有產險有明確的類別，屬於K大類「金融及保險業 6520 財產保險業」。然而，與保險有關之公證服務僅被歸類魚6559 細類「其他保險輔助業」。由於《行業標準分類》統計我國行業主要的經濟活動，因此災後復原並未反映在真正的產值，足以說明這個行業的特殊屬性。
依我個人的觀察，國內投入24 ／ 7（一周七天，一天24 小時）災後復原專業業者的數量鳳毛鱗爪。甚者，擁有跨國復原公司經驗，兼顧IT 與設備復原者，可能用手指就可以數的出來。即便擴大涵蓋產險、保險經紀人與公證服務等相關專業，可達數百或上千位專家或顧問。然而，這個領域和客戶簽訂保密協定，外界鮮少有人得知災後復原的始末。
在社會大眾的印象中，這個行業宛如戴上神秘的面紗，更難傳達正確的搶救減損的觀念。因此，等到危機來臨時，第一線人員與主管忙著應付大小瑣事，無暇冷靜思考、分析與規劃。
應用層次
許多消防演習重視滅火與救人，但該如何協助關鍵性的設備資產進行減損搶救？本書希望提供跨部門協同學習之參考依據。為了避免艱澀難懂的專有名詞，本書以淺顯易懂的角度解釋常見的問題與觀念，並輔以實際案例加以說明。
過去進入災害現場的經驗，驅使我蒐集整理國內外經典案例。為了讓讀者身歷其境，本書整理隱身在新聞或書籍的小故事，如：美國曼恩峽谷（Mann Gulch）森林火災（1949年）、日本阪神大地震製鞋產業（1995年）、美國NASA火星氣候軌道探測器事件（1998年）、美國半導體廠J晶片廠火災（2000年）並牽動手機業者K與N國際市場版圖、台灣知名R網路書店水災（2001年）、美國911事件上千名員工緊急疏散（2001年）、台灣SARS事件（2003年）、美加大停電（2003年）、台灣A銀行資安事件處理始末（2006-2008年）、知名M石油企業漏油事件（2010年）、智利礦場事故（2010年）、日本福島核電廠海嘯（2011年）、日本G公司駭客入侵（2011）、S石化廠爆炸（2011）、台大竹東分院跳電處理始末（2013-2015年）、美國知名L零售業者駭客入侵（2013年）、台灣PCB業者B公司火災（2015年）、美國E公司資安事件總座與資安長下台（2017）、英國O航空公司電腦當機（2016-2017年）、梅雨季超大豪雨（2017年）、美國智慧製造H工廠被駭客入侵（2017年）、美國C公司資安事件造成全球性客戶問題（2020）、歐洲能源集團U公司資安事件（2022）。
本書的應用涵蓋四個層面：（1）無任何危機管理計畫、規劃或標準導入者、（2）已有計畫、規劃或標準導入者、（3）首次碰到災害急需迅速復原者、（4）欲執行「認知」（Awareness）訓練推廣者。
針對（1），本書提供簡易的參考指南，特別是中小企業；針對（2），本書協助檢視自己不足之處，提供下一步的參考方向；針對（3），本書提供災後復原所需的觀念與經驗；針對（4），本書補充相關的知識與經驗缺口，提供訓練課程所需的教材內容。
從廣義的角度來看，災害管理的研究涉及範圍相當廣泛。由於恐怖攻擊或種族暴動較少在國內發生，並不屬於本書討論的範圍。本書重點不在大家熟知的保安保全、人道救援、社區重建或心理重建，而是較少觸及的組織管理層面。
本書的一小步
本書嘗試從韌性、風險管理、營運持續（Business Continuity）與災後復原（Disaster Recovery）等角度，跨界討論工安（Safety）與資安（Security）的議題。
在許多企業中，「資安」與「工安」都是花錢的單位，分屬於資訊與勞工安全衛生環保不同部門的業務範疇。然而，在風險管理的整體性考量之下，工安與資安皆為系統性的風險，但在公司日常業務下甚少交集。
這是本書的一小步。從風險的角度，希望可以建立「資安」與「工安」溝通的橋樑。Gartner（2015）在《2020 資安情境》（Cybersecurity Scenario 2020）強調將實體的「安全」納入「資訊安全管理系統」（Information Security Management System，ISMS）的重要性。
因此，雙領域結合的風險思維，不僅是現在的熱門話題，在AI 或智慧機械人時代更具有前瞻性。除了工安與資安領域之外，本書整合其他領域的實務經驗，以便在推動方案上具體可行。從組織管理角度，本書有助於災前任務編組與災後組織變動之參考；從專案管理角度，本書有助於災前的持續營運規劃與災後復原方案之執行；從危機溝通角度，本書提供組織需面對橫向與縱向的溝通問題；從教案設計角度，本書濃縮過去APEC 工作坊經驗，提供給有志推動情境式教學者參考；從個案研究角度，本書可協助風險管理、工安或資安部門從他人案例中借鏡，避免未來重蹈覆轍。
前瞻性思考
韌性不僅是國際政策的顯學，更是組織迅速恢復營運的關鍵。至今，國內外客戶將之列為稽核重點，甚至成為領先同業的競爭優勢。這些都可以從本書的經典案例獲得實務上的驗證。
在變動的社會中，我們比以往接觸更多的風險。不管是巨災還是人禍，災害是你猜不透的敵人。從個人到組織、從社交媒體到人工智慧，如何正向面對它呢？舉例來說：
（1）福禍相倚是人生常規，企業經營也是如此。透過風險管理，以達個人風險緩衝之成效。幸福企業除了提供完整的員工福利，也要協助員工做好風險管理。
（2）現今通訊與媒體科技無時無刻吸引我們的注意力。一旦稍有不慎，可能就會增加自己曝險的機會。在注意力弱化與匱乏時候，個人與組織更要在平日加強因應風險的能力。
（3）在人工智慧（AI）或智慧機械人時代，許多大量、單一或重複性的工作已經被取代。目前它們無法取代人類在緊急的狀況下做出決策。因此，現場人員必須具備緊急應變與災害管理的能力。
在面對動態的全球性或在地化威脅，許多挑戰仍有待跨界先進的交流與指導。我有幸在跨界學習中，從前輩、先進、同事與客戶的學習交流中累積寶貴的經驗。再多的言語無法表達我的感謝之意，那就以這本小書做為回饋的禮物。
請一同與我展開這趟奇幻的學習之旅。