鋼索上的管理課【全新增訂版+資安風險升級主題】：韌性與敏捷管理的洞見與實踐

新版序
初版前言 「韌性」是一門顯學

Part 1 勿恃敵之不來
1-1 越過山丘，轉過一個又一個的念頭
1-2 蠢蠢欲動的隱形敵人
1-3 我的隱私，未來的曝險
1-4 遊戲玩家的「天堂」，資訊人員的夢靨
1-5 這次客戶老闆發飆了
1-6 要做到「多安全」才算安全？

Part 2 危機意識的領導管理
2-1 面對「新常態」該有的新思維
2-2 息事寧人的文化慣性
2-3 都是懶人密碼惹的禍
2-4 從受災企業股價看其組織復原力
2-5 營運持續或災後復原？下一步在哪裡？
2-6 營運持續為數位韌性之本
2-7 最佳實務企業的做法
2-8 經驗不足導致蝴蝶效應
2-9 結構性規劃的起手式
2-10 災後復原專案的關鍵因素
2-11 當應變組織失效
2-12 過度自信的領導團隊
2-13 措手不及的組織應變
2-14 敏捷與韌性──相異卻相應的朋友
2-15 當資安標準遇到管理
2-16 全球資安缺口的現象與補強──寫於ISC2安全大會後

Part 3 準備是最好的應變
3-1 「災後才想到專家」來得及嗎
3-2 呼叫專家，我們有麻煩了
3-3 規劃為韌性行動的第一步
3-4 優先評估關鍵性營運
3-5 災害衝擊遠大於你的預期
3-6 面對書面計畫的陷阱
3-7 虛驚為事故的前哨站
3-8「有計畫無演練」流於形式
3-9 資安風險分析初探：外在威脅與起因
3-10 老舊系統不是IT問題，而是資安折舊問題
3-11 勒索軟體成為犯罪集團取款機
3-12 從「預防無效」到韌性思維

Part4 災後復原的現場與實務
4-1 當意外降臨，「什麼東西最貴」？
4-2 災後復原為移動中的目標
4-3 個人自救用品
4-4 眼見為憑...但只是冰山一角
4-5 災害管理是異常管理
4-6 資安調查恍然大悟
4-7 災因調查追追追
4-8 理算洽商之攻防實務

Part5 經典個案
5-1 終結國際知名手機品牌的一場小火
5-2 刪減樹木修剪經費造成美加大停電
5-3 總經理為駭客事件下台
5-4 引發董座總座請辭最後一根稻草

│附錄│
6-1 知易行難的韌性研究
6-2 標準與管理實務的演進
6-3 韌性專案的知識體系

後記與致謝
參考資料

 

新版序

　　請容我向「哆啦A夢」借任意門，時光倒回2018年本書首版的出版幕後花絮。

　　當時我趁著轉換工作的空檔，將災害管理前中後階段實務經驗化為文字，並嘗試跟合作過的出版社聯繫出版可能，大多數的回應是風險管理與韌性（Resilience）管理議題太專太新太冷門，所以「謝謝再聯絡」。由於我也曾擔任過行銷企劃工作，可以理解出版業績的壓力。

　　吃了多次閉門羹後，鄭俊平先生敞開大門，接受我的提案。在出版會議後，鄭總編還送我數本出版社的書籍。他示意我可以參考這些書籍介紹性文章，將生硬的內容寫些通俗性的文章。儘管內心本已經處於交稿的狀態，但後續又補充了約萬字文稿，以生活故事闡述風險背後的邏輯後付梓出版。

　　這五年來，我因為這本書也經歷了未曾有過的經驗。如：國家文官學院（2020）、全國科學技術會議（2020）等場合的發表。這五年地球村中的我們也共同歷經了全球Covid（新冠）疫情前後的社會劇變，「韌性」因此躍升為國際產、官、學、研的顯學。當鄭總編2023年底邀我為本書新版增益內容時，我沒有多加考慮就答應了。

　　以下讓我說說過去這五年各種國際事件、在地行動於本書主題裡的「微縮影」吧。

　　全球鉅變、在地觀點：「超乎常理的變動」成為疫後新常態

　　從本書付梓至今，詭譎多變的國際社會局勢與氣候異常遠遠超過一般人的想像。中美貿易戰（2018至今）、巴黎聖母院大火（2019）、新冠疫情（2020~2023）、全球供應鏈中斷（2020~2022）、美國「零元購」（zero-dollar shopping，2020╱2021~）、疫後罷工（2022╱2023）、俄烏戰爭（2022~）、台海軍演（2022─）、歐洲乾旱（2022╱2023）、美國野火（2022╱2023）、中國東北洪災（2023）、夏威夷火災（2023）、以巴戰爭（2023─），台灣0403地震（2024），以及數不清氣候異常與重大資安事件，使得「韌性」成為疫後社會與商業鉅變後的生存焦點。

　　在疫情期間，全球供應鏈中斷與在地人力短缺造成各國通膨的壓力。根據中華經濟研究院引述標普全球（S&P Global）資料，2022年全球通貨膨脹率7.60%，開發中國家處於約兩倍的高檔，為14.94%。而標普全球在2024年1月發布的預測，去年（2023）全球通貨膨脹率約5.60%，今年（2024）預測為4.60%。

　　即便是疫後兩年，今年（2004）各國經濟展望仍是起伏多變。中華經濟研究院分析全球需求仍處於低迷，美國、中國、日本、歐元區預估2024年經濟成長趨於保守，較去年度減緩。拜供應鍊重組之賜，東南亞地區的外資持續升溫，則可望帶動部分地區（如台灣與南韓）的經濟成長。

　　三個韌性閱讀的心得

　　在「韌性」一詞尚未普及，本書首版有幸獲選為2020年國家文官學院7月選書，我也榮幸擔任本書前版閱讀心得的評審，展開全國公務機關與公營事業眼中的韌性之旅……

　　欣喜的是，這些心得投稿者還具備多樣化的實務背景，他們將其穿插在文章前言（如遊樂區資訊系統）、自身業務經驗（如醫院、勞動檢查、校園輔導等）、演練情境（如醫院、文化單位重大車禍），以及案例（如韌性台灣政策）。

　　投稿者們各自發展了自己的韌性創見，他們的個人論述與實務的驗證也是我學習到的心得。我曾就這次經驗發表在《工商時報》，在此摘取三大重點，作為補充本書新版強調風險偏見、溝通與實務對話的重要性：

　　1）「比喻」為風險溝通之媒介
　　在風險溝通上，這種媒介通常被忽略、實為非常重要的角色。除引用黑天鵝、灰犀牛等社會大眾熟知的比喻，投稿者以個人巧思「設計」出了不同的比喻（如：風起電影、扁鵲故事、韌性像肌肉等），這皆有助於與利害關係人溝通風險的特性。

　　即使找不到恰當的比喻，投稿者也運用另一種媒介探討為何政府需要韌性管理。有人提到，被動式與穩健的組織為政府在面對風險管理的盲點。這類的形容詞也有助於我們理解投稿者所處場域的限制。

　　2）「弦外之音」為創見之基礎
　　讀懂本書初版的「弦外之音」並非易事，往往也是投稿者發展個人創見的第一步。除了深刻的體悟，還要有細膩的觀察，以破除社會一些「想當然爾」的原有觀念。

　　有些投稿者會這樣闡述書中欲表達的弦外之音，例如：

　　對於一般人來說，危機一詞「太過沉重且正式」。如今，新的思維「韌性管理」採行了前瞻性思考，為一門綜合專門領域知識。在這個多面向的實務取向，強調時間動態、資源組態與人員心態之管理學專論。尤其是涉及管理的部分，韌性是當責也是承擔。及至應變人員專業能力的養成，如訓練或演練，就非常重要。透過平日的演練，「直視惡魔的眼睛」。不管準備多繁複，也不能輕易被捨棄。因為錯誤總會發生，災變發生後最重要的課題為「減損」。針對政府單位忽略風險移轉與減損加強準備，培養領導者與團隊韌性能力，以避免陷入自身舊框架的限制。

　　很多投稿者融會貫通本書的主要觀念後，點出了政府機關的文化思維，據此提出改善建議之道。我身為作者，頗有「跨域遇知音」的心領神會。

　　3）實務為論述的驗證之地
　　這些弦外之音或許點出投稿者反芻了國內現象後產生的結論，但就像某投稿者提出「以失敗為師」的主張，但這需要更多故事、實務與案例來支持投稿者提出的創見。

　　韌性其實也是是跨域的實務積累。從實務案例中發展新的理論框架，為韌性管理提供洞見與視野。缺乏實務案例，論述就像是真空狀態下生物，成為無生命的化石標本。即便是考古學家，也會仔細整理化石周遭的生物與土地肌理，呈現當時生活生存的多重樣貌。

　　另外，許多投稿文章混淆了「韌性」與「永續」（ESG）兩個觀念。儘管韌性起源自於生態學，但韌性是從風險管理學、組織管理學發展出實務性的應用。2020年，美國《彭博商業周刊》（Bloomberg Businessweek）專文探討過在疫情之下，「風險管理專業經理人」已成為美國熱門行業。除了風險管理的趨吉避凶，存活後的重生新生便是韌性管理面臨的生存議題。

　　若我們回到企業經營的「底線」（Bottomline）思維：如果企業都沒有明天，哪來的餘裕推動永續？從風險管理的角度，組織韌性才正是企業永續之本。

　　四年前，我有幸參與2020全國科學技術會議，當時政府各部會主題都已圍繞在韌性。

　　從該次會議議題文稿中可見，韌性已成為跨部會的策略主軸之一。在科研與前瞻的議題，發展強化科技風險評估策略；在經濟與創新的議題，發展以智慧應用提升韌性、接軌國際完善資安體系及提高能源整合電網韌性；在安心社會與智慧生活議題，強調打造堅韌安全之智慧國家、完善調適精進災害預警、環境智慧打造韌性城市，以及整備網絡奠基智慧生活。

　　根據上述跨部會策略，我在會議中建議將「韌性教育」納入國家人才培育策略。目前韌性教育並非學校教育的主流，很難為學生培養因應未來多變環境的領導者。而過去在殺價競爭的壓力之下，台灣企業不斷地壓低風險管理的費用與支出。除非在客戶合約的要求之下，風險管理成為OEM代工模式下的「奢侈品」，更不用提韌性。

　　不論是聯合國經濟合作發展組織（OECD因）應韌性社會來臨、或許多國際領導者對於韌性教育的承諾，還是世界經濟論壇「HR 4.0」議題，這些都彰顯國際韌性教育的重要性。因應未來國內科研、政策與產業所需，國內韌性教育也將有助於培養專業人才之國際競爭力。

　　新版對「資安敏捷」更新

　　由於這幾年歷經了疫情管制的歷史，我結合國際時事、韌性管理觀念與時俱進的發展，陸續發表了中英日30餘篇文章。除整合過去的新作品、並為本書重寫新的內容，尤其主要更新了韌性與資安議題的論述。

　　資安議題發展一日千里，故成為本書再版更新的重點。本書新版已移除舊版附錄的「中小企業版數位韌性規劃」，它無法因應當今複雜的資安議題。本版更新簡介美國「國家標準技術研究所」（NIST）「網路安全管理架構」產業標準（CSF），也適用於中小企業規模。再者，延伸第一版「預防無效論」（前譯為「預防無用論」）的背景、因應與後續發展；也增加國際資安標準簡介內容，以及勒索軟體、老舊系統與密碼管理等頭痛議題，以及面臨供應鍊與跨部門議題的挑戰。

　　尤其，本書特別關心「資安」與「工安」的跨域風險管理交流。舉例來說，國際資安工控標準ISA╱IEC 62443 也增加安全（Safety）維度。本書初版前言引述Gartner（2015）建議實體安全（或工安）納入2020資安情境，五年後Gartner（2020）CEO指出，調查發現2024年之前的資安風險多會出現「個人可擔責」（Personally Liable）這類問題。最後，非資安、風險管理背景的上市櫃董監事與專業經理人也是本次新版特別關注的讀者，我也增加了管理角度出發的資安議題、背景性觀念。

　　筆者有幸於2023年取得國際敏捷證照（SCRUM Master），本書新版還增加了敏捷議題，希望解決層級組織因應複雜多變VUCA環境的挑戰，並開啟敏捷與資安、工安領域應用的對話。

　　展望：韌性為組織自救力

　　曾在一場桃園縣政府專書導讀會中，我一開始詢問聽眾：韌性管理和政府有關嗎？當災害來臨，政府開設地方各級災害應變中心，這個「救人」機制已相當成熟完備；反之，從緊急應變、災後復原到營運持續管理，韌性管理更強調政府「自救」的能力。過去我們即從紐約消防局於「911事件」案例中省思，自救才能救人。

　　韌性管理發展為風險管理進化版，培養新常態下組織與個人競爭力。面對多重複雜環境的挑戰，組織或個人難以用日常的經驗法則，因應多重風險帶來的生存威脅與損失。「三隻小豬」寓言故事啟發我們對於韌性的重要性。如果沒有豬小弟的備案，就可能喪失最後的生存機會。韌性不再只是被動的規避風險、也不是可有可無的組織餘裕（Slack），已成為VUCA（易變性、不確定性、複雜性、模糊性）日常必備的營運資源。

　　我想就這五年經驗與觀察，以新版的面貌與國內專家社群交流。然而，在字句推敲之間，我難免也心裡滴沽：自己的創見會不會哪天被新興的AI工具所取代？所幸，活生生的經驗並非現階段生成式AI所能完全取代，兼具實務與邏輯的洞見（Insight）亦是如此。

　　從過去十年的工作經驗來看，從風險管理到韌性管理的旅程不會是單行道，可能是迂迴的九彎十八拐。我很珍惜身為作者的這份機會，可以跟跨業異業專家先進交流，並期待未來交換人生體悟的韌性風景。