Cybersec Wednesday｜業務連續性計劃：應對重大事故的關鍵
不論是面對自然災害、技術故障還是網絡攻擊，任何形式的災難都可能對企業的正常運作造成重大影響。因此制定一個全面的業務連續性計劃（Business Continuity Plan, BCP）能確保企業在面對災難性事件時能夠繼續運營，對於企業的持續發展至關重要。
以一家專注於開發和銷售軟體解決方案的科技公司為例，儘管擁有豐富的客戶數據和知識產權，卻未充分重視網絡安全和預先制訂BCP。當該公司的核心系統遭到勒索軟體攻擊，導致數據被加密和系統無法訪問時，一時間就難以有效作出應對。
具體而言，缺乏有效的BCP可能導致的後果主要包括：
1. 業務中斷：缺乏事先規劃的應對措施，使公司需要幾天時間才能部分恢復系統，導致業務運營完全中斷。
2. 財務損失：業務中斷導致直接的財務損失，加上未能及時交付產品和服務導致的合約違約賠償，使公司面臨重大財務壓力。
3. 客戶信任度下降：客戶對公司的信任度急劇下降，部分長期客戶選擇轉向競爭對手，導致客戶流失。
4. 品牌和聲譽受損：事件被媒體報導後，公司的品牌形象和市場聲譽受到嚴重損害，恢復需要長時間和大量資源。
如上文所提到，BCP的主要目標是確保企業在遭遇任何形式的中斷後，能夠迅速恢復並繼續提供關鍵服務。而制訂全面且有效的BCP時，可參考以下重要步驟：
- 項目規劃：先確立BCP的目標和範圍，訂下基本原則和方針，並為整個計劃的架構提供指導。
- 業務影響分析（ Business Impact Analysis , BIA）：評估自然災害、技術故障等潛在中斷事件對業務流程的影響，包括財務損失、客戶影響和合規風險，並為每個流程設定恢復時間目標（RTO）和數據恢復點目標（RPO），同時訂下優次排序，是識別和評估關鍵業務過程對企業運營重要性的關鍵階段。實施BIA需要組建跨部門團隊來收集運營資料，以識別關鍵業務流程和所需資源，藉評估結果制定恢復策略。分析結果應定期匯總成報告並更新，以確保策略的時效性和有效性。
- 計劃制定：根據BIA的結果，制定具體的恢復策略和應急行動計劃，以保護關鍵業務功能免受中斷的影響。
-計劃測試：通過實際演練來驗證BCP的有效性，確保策略和程序按預期運作。測試結果應詳細記錄，並根據發現對BCP進行必要的調整和優化，以持續反映企業的實際需求和業務狀況。
除了以上制定BCP的必要步驟，更新和維護策略能確保計劃與當前業務環境、技術進展和測試反饋保持一致。企業應定期（至少每年一次）或在重大業務或技術變更後，全面審核BCP，並進行測試以改進不足之處，增強恢復能力。
當制訂好計劃，亦有賴員工配合才能有效實踐。要為員工提供培訓，教導他們學會識別各種潛在風險，熟悉應急措施和緊急響應程序、不同員工的角色和責任，以及必要的安全措施和溝通策略。通過模擬和定期演練，員工能強化他們的知識和技能，以便在危機中迅速有效行動。
建立全面的BCP和提供培訓，讓企業能提高業務韌性，保持運營連續性和恢復力，即使在困難時期也能維持運營，實現持續發展。
網絡安全在很多方面還需要注意，如有任何疑問歡迎加入我們的 Cybersec Infohub 計劃，讓行業裏的網絡安全專家為你解決，如果你懷疑自己或公司的電腦被駭或有可疑的行為，亦請盡快聯絡網絡安全專家求助。
