假設你的機構，制訂了網絡保安事故的應變計劃。計劃是否有效，有沒有遺漏的地方？當機構發生數據外洩或保安事故，會發生甚麼事？很多機構雖然有制訂一些應變措施，但這些計劃甚少經過測試，到真正需要執行時，負責人往往沒有十足的信心和把握。
波耐蒙研究所 (Ponemon Institute) 今年較早時間發表一項有關網絡防衞能力的研究報告，在環球八個國家或地區，訪問二千八百多位從事IT及資訊保安的人士。77% 受訪者表示他們的機構，沒有制訂正式的網絡保安事故應變計劃；接近一半受訪者的機構，只有非正式、臨時湊合的應變計劃，甚至沒有任何計劃。
波耐蒙報告又發現，亞太地區受訪者對所屬機構的網絡防衞能力，評分在八個地區排行最低，只有 31%。44% 亞太被訪者認為網絡保安事故對業務或 IT 服務，造成「非常頻繁」或「頻繁」的破壞。
由此可見，在網絡防衞能力上，很多機構還未準備好，受困於初階的障礙。隨著近年數據外洩及網絡攻擊日益頻繁，業內資訊保安顧問普遍認為，機構需要以更認真的態度看待事故應變，未雨綢繆作好準備。要確保應變計劃具備成效，應包含以下四個要點。
1. 反覆測試
不少機構都聲稱有制訂事故應變計劃，但甚少機構曾經進行測試。這是頭號錯誤，因為任何未經測試的計劃，成效都是不確定的。業內準備得最充足的機構，甚至會召開桌面演習，分紅藍兩隊進行對決。機構定期為應變計劃進行模擬測試，可尋找到應變計劃中的短板，加以改善；員工經歷過平時的模擬實測，對程序更熟練，遇事更能沉著應對。
2.列明細節，具靈活彈性
優秀的事故應變計劃，既要清楚列明各項細節，也要具備靈活彈性，能適用於不同類型的攻擊和事故。有些機構用試算表羅列應變計劃，每種事故都有對應的應變頁面表格，能方便負責人橫向快速查閱。注意網絡攻擊日新月異，應變計劃須定期更新，追上當前形勢。
3.清晰的通訊指引
應變計劃必須包括清晰的通訊方法。非正式的應變措施，往往沒有周詳考慮到通訊問題，導致遇事時計劃無法執行。特別是當網絡遇到攻擊，平時的通訊渠道嚴重失靈時，應變計劃要為員工預備穩妥的後備通訊途徑，讓他們彼此恢復通訊，並與外界取得聯絡。
4.包含各方持份者
應變計劃要列出一份精簡的持份者清單，註明每個持份者在應變計劃中的角色。要全面思考，機構有責任保護哪些持份者，哪些持份者會介入幫忙？若事故牽涉範圍大，機構的保安、網絡、業務、財務部門，都要有相應的分工回應。平時機構有既定分工，但如果成千上萬部電腦同時受到威脅，可能要另外安排資源，去完成工作。應變計劃應該注意，儘早讓法律部門參與，由法律團隊提供及時建議，例如是否要邀請執法部門或其他外界機構介入。
千里之行，始於足下。要提升機構的網絡防衞能力，以上四點都是切實可行的建議。
作者： Job Lam
IBM 香港資訊安全業務總經理
