ISO 22301 (BCMS 營運持續管理系統) 主導稽核員

-

隔了很多年之後，難得又有機會參加ISO 22301  (BCMS 營運持續管理系統) 的原場主導稽核員培訓課程。最大的挑戰，當然還是仔細閱讀條文，並準備第五天下午的考試。稽核員考試多半已採用數位線上考試，ISO 22301比較特別一點，在2026年的現在仍維持紙筆測驗，但考試為秉持公平原則，只提供條文本文於作答時查閱。不可以參考其他材料。

比起大家耳熟能詳的ISO 27001，BCMS雖然為「數位發展部資通安全署」認可之資通安全專業證照，但它著重的重點就不只在資訊技術，而是讓導入單位提供產品的活動，盡可能不要發生無法控制、無預期的中斷(disruptions)。若發生，則應從中斷中復原(recover from disruptions)。

想當然爾，會導入本標準的單位，花錢事小。它們看重的是基礎關鍵設施或服務的責任，或是在意商譽、營業收入或信譽的重要營利事業單位。

BCMS的重點在提供一套架構與方法論，幫助導入的機構依照一套方法論，包含衝擊類別與準則，盤點主要產品與服務，整理出各項「活動」對應的最大可容忍中斷時間(MTPD)，以及讓服務至少回復到最低時間的回復目標(RTO)。最後鑑別出與產品或業務最相關的關鍵活動(prioritized activities)。這些活動之間可能有先後相依性，對資源的仰賴程度，以及連結供應上的程度也不同，都要將其盤點出來。

光找出關鍵活動並沒有用。單位必須在事前採取借鏡自 ISO 31000的風險處理架構，預先將關鍵活動相關的中斷風險都先盤點，並採行風險處理措施。

假使單位遇到極罕見但依然發生的災害，或者人禍時，事前的風險處理已經無法控制，則進入第二道防線──啟動BCP計畫，讓應變團隊與資源(人、機、料、法)分別就緒，透過人員撤離、移轉場區、使用備用機台.....等不同方式，盡量減少業務中斷的時間。人命的損失難以估計，因此執行上的安全問題必須被優先考量。此外，對生產事業而言，可能仰賴選商取得諸多原物料或資源，亦可能是要將商品轉運、加工，委外廠商與供應鏈亦應考慮其中。 國際衝突、全球化與氣候變遷，還有ICT的備妥性等等，自然也是不能忽略的環節。

ISO 22301的架構與其他新版ISO國際標準相仿，

4目標範圍、5領導作為、6規劃、7支援、8運作、9 績效評估、監督量測、10 改善，條文架構相同。不若ISO 27001:2022有附錄眾多的控制措施。本文主要的差異，在於條文8的差異很大。重點在

  • 8.2 建立BIA業務衝擊評估
  • 8.3 風險評鑑
  • 8.4 BCP，包含必須包含的內涵與具體內容
  • 8.5 演練與執行、檢討
  • 8.6 評估改善與更新

在課程演練與評估上，講者會不斷強調以下重點，以加強觀念：

1.對BMCS服務產業的領域知識要有所了解，例如食品業、製造業、半導體業等等。才能稱職扮演稽核角色。

2.BCMS系統層面的風險，與個別關鍵活動的風險評鑑，各在哪個條文，討論的面向是什麼?

3.針對特定條文(如8.6業務持續的評估)，會規劃那些查檢項目並查看哪些證據?

4.確認條文9監督量測應該安排那些查檢，以確認有效性?

5.從稽核角度，要從那些方面確定BCMS有效運作?是只看有沒有演練嗎?

6.規劃一個(或多個)場區的單天稽核行程與規劃，依據情境並安排人天。

7.用自己的話說明BCMS中的BIA與後續風險評鑑的關係。如果BIA的結果不正確，對風險評鑑的影響是甚麼。

8.與其他ISO課程相同，要能精準衡量某個情境應該開立主缺、次缺，或進行後續的追查。講師再三提醒，稽核是客戶導向的服務業，切勿扮演包青天，務必要「勿枉勿縱」，以免丟掉寶貴的分數。




參考:

https://www.iso.org/obp/ui/#iso:std:iso:22301:ed-2:v1:en


 

 


留言

張貼留言

這個網誌中的熱門文章

The Disk2vhd Disaster — and How StarWind’s V2V Brought Redemption! --About Windows Server 2012 STD P2V

-
Our company has been operating a Windows Server 2012 STD host installed on a physical 2U rack server for years. As services on the machine are nearing decommission and hardware failure risks are increasing, we've decided to virtualize the system to streamline operations. Summary(Suggestion) Use StarWind’s V2V Converter / P2V Converter directly — it saves valuable time. If you have sufficient privileges, the converted system can be mounted directly to another Hyper-V host . If the server has multiple partitions , choose to clone the entire physical machine. Avoid converting individual disks separately to prevent unexpected complications. Background ChatGPT and Microsoft’s commonly recommended P2V conversion tool is Disk2vhd . It allows conversion without shutting down Windows. Most articles from ~10 years ago suggest this tool. I initially tried splitting the system: storing the recovery and C drive in one VHD, and the database D drive in another, to reduce file size. Sy...
Read more »

如何刪除Trello的卡片資訊 (deleting Trello cards)

-
圖片
Trello是個很棒的圖形化任務管理工具，對於想試試任務管理、看板方法的人相當有幫助。依照Ruddy Lee 所言 [ 原文出處 ] ，「讓工作流程被視覺化，讓我們的決策更接近事實、更容易作為改善的依據、更容易管理及更有效率」。這句話實在說得太棒了。 Trello很容易上手，唯獨在某件事情上有些困擾。如果放了不需要的卡片，該如何將其真的刪掉呢？依照程式預設的介面，卡片只是被「封存」(Archive)，實際上還存在Trello之中。 原來的Trello應該是考慮防呆或誤刪，不讓卡片輕易消失。但這樣容易累積很多垃圾卡片，日子久了很難進行整理。 參考Trello的 [ 官網 ]，真的要刪掉任務卡片，請點 Archive按鈕下面的一行灰色小字 Share and more....，在展開的對話方塊的最下方， 才會出現 Delete的選項。這樣，才是真正的刪除。
Read more »

Excel的大魔王：不可視字元(NO-BREAK SPACE, )

-
公司有許多同事Excel功力已臻化境，Vookup、樞紐分析等功能非常上手。但有時會遇到一個棘手的問題，某些客戶編號(學號)會對不到，或是排序時，明明同屬於一組單位代碼109的資料，卻被排序到不同的位置去。 一般而言，這是因為要拿來比對的兩個欄位之間 (1)資料型態不同 (2)比對的字串末尾夾雜著不可視字元。型態不同的問題，可以利用Excel的「資料剖析」將欄位裡的資料整欄選取，使其變成真正的數字或文字(光改儲存格格式是沒有用的)。但如果資料來自於網站複製貼上的文字，在每個欄位末尾可能藏著設計師放進去、美化表格的字元，肉眼保證看不到，這就超悲哀了。 通常可用的方法有： 1.用len()函數查一下字串的長度，例如儲存格 A1的值是109， len(A1)卻看到長度是4；不得了，後面有鬼。 2.如果已知資料長度固定，那麼資料剖析時選固定寬度，可以像切西瓜一樣從你要的長度位置切下去，後面的就不要了。 3.如果長度不固定而且數字文字混雜，，可以先用 clean()、trim()等函數清一次；如果不能奏效，只能用SUBSTITUTE這個函數將不要的可疑字元濾除。 以這次的案例而言，本來以為是夾雜空白字元，乾脆發狠利用Excel內的char()函數，從1-255組出ASCII全部的字元做比對。結果還是找不到(崩潰)？ 後來想想，這個已知的不可見字元在字串末尾，用right(xx,1)可以找出來他的本尊，再用code()函數可以找出他的字碼。得出的結果是char(63)，是個問號? 這個答案是錯的。最後看一下Excel還有個函數就叫unicode，可以依照字元查編碼，得出這個搗蛋鬼的真正樣貌是 UNICHAR(160)，學名是不換行空格(NO-BREAK SPACE)，人果然是他殺的。要取她的字元，則要用 UNICHAR(160)。 https://zh.wikipedia.org/wiki/%E4%B8%8D%E6%8D%A2%E8%A1%8C%E7%A9%BA%E6%A0%BC 由此，網路上流傳的特殊字元清除名單，在Excel中處理時應該略作調整。 Char(1)，空字符NULL Char(9)，tab Char(10)，換行 Char(13)，Enter Char(32)，空格 Char(160)...
Read more »