• slider image 529
:::
公告 鄭輝鵬 - 公務人員閱讀專區 | 2020-09-01 | 點閱數: 641

本書學校有採購喔!歡迎同仁借閱!

內容摘要

文:吳明璋

 

越過山丘,轉過一個又一個的念頭

有一天,我們家小學三年級的小孩興高采烈拿著《瘋狂科學營》手做 DIY實驗成果回家。這次的主題為「直流電 vs. 交流電」。

我問她,為什麼家裡供電用直流電,但戶外電塔以交流電傳輸? 她說,不知道。

我說,上萬伏特的高壓電從電廠出來,從電廠到家裡的距離少說有數十公里遠。高壓電以交流電的傳輸方式,損耗較小。

當然「直流電 vs. 交流電」兩種標準之爭還有其他的理由,但我先不說。以免一次講了太多的資訊,小孩無法吸收。

為了加深小孩的印象,我接著問小孩:請問你有看到電線上「腳踏兩條船」的小鳥嗎?

我的原意是想表達「腳踏兩條船」的小鳥被電死了。所以,存活下來的小鳥會乖乖在一條電線站好。

不料,小孩回答:交流電是為小鳥設計的。

所有聽到這個故事的人總會哈哈大笑,這是典型的「倒果為因」的推論。

生活中存在太多這樣的推論。舉例來說,小孩發現上學要遲到了,必不吃早餐。「吃早餐」為因,「遲到」是果。我們通常注意緊急的事(如:遲到),犧牲眼前重要的事(如:吃早餐),而忽略改善真正的原因(如:晚起)。

風險管理也一樣。在與客戶討論風險時,我們歸納常見的三大謬誤:假裝不存在、讓駭客攻擊、為何要分享。

 

「假裝不存在」

不管是意外災害還是駭客入侵,發生與否都是機率問題。所謂的機率,就和個人經驗有關:沒遇到的事就假裝它不存在。

英國一年可以喝掉 6億 4,000 萬杯茶。對於英國人來說,下午茶是人生的享受,當然在奶茶沖泡法也有所堅持。百年來,英國人不斷地爭辯奶茶的沖泡順序:到底茶加入牛奶或是牛奶倒入茶中,哪一個好喝?國際知名作家喬治.歐威爾( George Orwell )先生也加入這場戰局,提出十一條「泡好完美的茶」的規則。

沒想到,這沖泡法被統計學家費雪( Fisher)在 1935 年的實驗找到解答。他的女同事宣稱可以分辨出這兩種調配奶茶的差異。因此,費雪將兩種方法各調配出 4 杯奶茶,以隨機方式請她試喝並做出判斷。結果,她在 8 杯奶茶中答對 6 杯的調配方式。

這到底是她的能力或是她的巧合?費雪後來發展出有名的小樣本檢定方式( A/B TEST)。

就在歐威爾百年誕辰,英國皇家化學會( Royal Society of Chem¬istry )決定公布他們科學實驗的結果。由於高溫易破壞牛奶的蛋白質,因此,熱茶加入冷牛奶中才能得到絕佳的風味。一個超過 300 年英國人的喝茶習慣,先後經過社會科學與自然科學雙重驗證,最終獲得合理的成果。

從奶茶的故事中,我們可以依據個人經驗,隨機泡出好喝的奶茶。同樣的,如果我們依據個人經驗面對災害,災害管理結果也可能是隨機的。

哲學家黑格爾曾經說過,「凡合理的( Rational)東西皆是現實的( Real ),凡現實的東西皆是合理的」,後人把它詮釋為「存在即合理」。舉例來說,為了尋找這本書的創作靈感,我不知喝了多少的咖啡、綠茶、啤酒,甚至紅酒。當小孩看到時,她都會說爸爸又喝酒,我就無言了。但是,有趣的事情發生了。自從我們家買了整套日本插畫家高木直子的圖文書,小孩迷上她書中的大小故事。書中不時出現她泡湯後晚餐配啤酒的畫面。她儘量會試當地出產的酒,包括:天鷹清酒、少爺啤酒、瑪丹娜啤酒、漱石啤酒、瑪丹娜啤酒、越後啤酒、越初梅、雪中酒、大吟釀等,甚至烈酒。從此以後,小孩看到我喝酒就不會大驚小怪,她已經建立「存在即合理」觀念。

同樣的,當我們以正面思考災害的存在,也就有它的合理性。儘管缺乏科學上的證明,許多經典案例足以證明災害與駭客成為事業的首要敵人。但是,依我們「息事寧人」的文化慣性,總希望「大事化小、小事化無」。倘若老闆不將這兩者納入他的事業天敵,主管也無力改變組織文化的慣性。第一種謬誤就會連結到以下第二種謬誤。

 

讓駭客攻擊

另一個常見的資安謬誤是:要不要讓駭客攻擊我們的資訊系統,等到系統癱瘓之後再向老闆爭取經費?

當老闆不重視資安時,這是主管面對資安的無奈。到底根本原因在哪裡?生物的演化學可以帶給我們新的啟發嗎?

在一個大草原上,不同種類的動物生存在一起。為了抵禦天敵,長頸鹿、斑馬與瞪羚通常結伴行動,彼此分擔警戒的角色。長頸鹿負責守衛,斑馬注意四周的動靜,而瞪羚以敏銳聽覺輔助斑馬的警覺。它們共同的天敵為獅子,還有土狼。

通常獅子為動物共同的天敵。然而,一旦土狼搶不到食物,成群結隊的土狼會去搶奪獅子剛捕獲的獵物。落單的獅子也會讓土狼三分,最後不甘心落寞離去。在高度競爭的環境,金字塔頂端的獅子還可能面對土狼搶食的風險。

這就是新一代演化理論的重點。生物學家范華倫( Leigh van Valen)的靈感來自於「紅皇后假說」。在《愛麗絲夢遊仙境》的續集《愛麗絲鏡中奇遇》中,愛麗絲拚命奔跑。奇怪的是在她眼中,周遭的風景卻沒有移動。紅皇后對愛麗絲說:「你必須用力奔跑,才能使自己留在原地。」原來,圍繞在愛麗絲身旁的環境也和她以同樣的速度移動,才造成她認知上的假象。

在這樣的相對性假說之下,日本生物學家稻垣榮洋描述被攻擊者與攻擊者彼此演化的策略:「生物受到攻擊以後,會演化出新的防禦術以求自保。另一方面,發動攻擊的生物也會為了突破新的防衛術而持續演化。如此一來,防守方又得再演化出更新的防禦術,如果不像這樣持續演化就無法生存下來。」

稻垣榮洋由此下了個簡單的結論:「生物因為有敵人,所以才會持續演化。」倘若在同一區域沒碰過敵人,生物不需要持續演化。難怪有主管認為,駭客入侵一次系統比跟老闆講一百遍資安會更有效。

換個腦袋想一想,為什麼不讓自己人假扮駭客,入侵自己的系統? 這就是目前最新的資安韌性觀念:培養「自己人攻擊自己人」的能力, 也就是俗稱公司內部的「紅軍」。

 

為何要打開天窗說亮話?

面對風險,我們的文化慣性就像是這句順口溜所描述的:多做(說) 多錯、少做(說)少錯、不做(說)不錯。除了文化慣性,為何災害資訊的分享如此隱諱?以上述的生物學為例,駭客或巨災為當代組織的天敵,對象為在同一個區域的多個產業。如果我們不是在同一個生態圈近身觀察,可能無法知道箇中原委:

 

( 1)弱勢組織:有哪些弱點,而被駭客徹底擊垮?

( 2)存活組織:被駭客攻擊而存活下來的組織,進化哪些能力?

( 3)共同防禦:組織或許可以仿效動物的警戒角色。各司其職、互通有無,從不同的風險中成長。

 

此外,復原過程的資訊有其敏感性。尤其是一旦災害發生,動態的關鍵資訊是組織在災後復原的行動基礎。因為在意外災害發生之後, 「大家都面臨巨大的誘惑,會想扣住或掩飾敏感、困惑或是尷尬的資訊」(貝澤曼與華金斯, 2008)。就像是《國王的新衣》寓言故事一樣,沒有人願意去戳破。

在平日風險文化中,如何去面對災後隱藏資訊的「巨大誘惑」? 最佳實務企業的做法為何?更何況災後復原為移動中的目標,災害管理也是異常管理。經驗不足的搶救可能導致後續的蝴蝶效應。這些都需要在災前與災後建立開放性的溝通橋樑。後續我們將借用心理學的分析工具,在以下的章節一一闡述。

 

風險的創意思考

從混亂到秩序,災害管理本身就是創意管理。

創意大師愛德華.狄波諾( Edward de Bono)的「六頂思考帽」( Six Thinking Hat )在創意思考領域中廣泛使用。舉例來說,白帽子代表中立、客觀;紅帽子代表直覺、情感;代表情緒、感覺。傾向於以預感、直覺、印象來思考。黑帽子代表謹慎、負面;黃帽子代表積極、正面;綠帽子代表創意、巧思;藍帽子代表統整、控制。為了避免討論時思維混亂,狄波諾建議「一次一頂」的思考帽或依序戴上不同帽子思考。

由於災害管理在管理異常,災害管理本身也是創新管理。以智利礦場事故為例,哈佛教授點出創新的重要性:「這些專家必須明白,無論他們有多豐富的經驗,都不曾面對眼前的挑戰。專家團隊必須共同探索、試驗和創新,整合深厚的知識和構想,而不只是應用它們。各個成員必須機動地因應情勢需要,靈活地加入或退出各個工作群組」。

在風險與災害管理領域,許多前輩累積他們的智慧,發展不同的「思考帽」:「建構意義」( Make Sense)( Weick,1993 )、 AcciMap ( Rasmussen & Svedung, 2000 )、「組織化回應」( Organized Response )( Kreps & Susan, 2006 )、「災害是緩慢的暴力」( Disaster as Slow Violence )( Nixon ,2011 )、「安全 II」( Safety II )( Hollnagel, 2012 、 2013 )、「日常性災害」( Everyday Disaster )( Matthewman, 2015 )等。這些「思考帽」以全新的角度讓我們重新認識風險與災害。

基於前人的智慧,本書提倡「災害是敵人」( Disaster as Enemy)。除了獲利之外,過去主管的眼中專注於競爭者的一舉一動,但現在駭客與災害成為影響企業獲利的「新常態」。正當各國法令修法與「韌性管理」新典範帶動之下,開始將這兩大敵人納入列管。就如台積電的前董事長張忠謀先生強調,「我們的對手不一定是敵人,環境也是你的對手」。

 

越過山丘

近日身邊一位友人經歷生命中的大事故。到土耳其搭乘熱氣球成了她一生中難忘的經驗。就在離開熱氣球降落平台往地面上跳,悲劇發生了。她的腳不小心被熱氣球的繩索絆倒,造成粉碎性骨折。

相較於她的經歷,我個人的左膝蓋事故算是「小巫見大巫」。在過去兩年針灸復原時間,我多次躺在復健床上,兩眼直視著天花板,啥事也不能做。回想當時考取資訊安全稽核員( BS 7799)證照的產業環境,那是 2004 年。於是,多年來構思本書的內容逐漸沉澱。有時靈光乍現,出現自我對話的反思;即便在上下班通勤時,某個觀念仍然一再的斟酌與推敲。

到底個人從韌性可以獲得什麼啟發?有一個聲音從心底浮現:不懂得和痛苦做朋友,可能無法體會到真正的幸福!不懂得和意外做朋友,可能無法體會正常的工作!

透過韌性管理的新觀念,本書與你分享我和意外做朋友的人生故事。正向心理學啟發者一行禪師曾經分享學習的訣竅。他引用「了知捕蛇的更好方法經」(簡稱「蛇經」)一段話:「一個有智慧的學法者就像是一個人用叉子捕蛇。當他在野地裡看到一條毒蛇時,他用叉子叉住蛇頭下部,用手捏住蛇頸,即使蛇纏住此人的手、腿或身體的其他部位,也咬不著它。這是捕蛇的較好方法,不會導致痛苦或疲憊。」除了學習的重點,一行禪師發現如果有些人學經是為了辯論或炫耀,也像是不正確捕蛇方法。學習要懂得抓住重點,否則也會冒著學習上的風險。

以下就是我和其他專家越過山丘的沿路風景與經典故事。

 

書籍介紹

本文摘錄自《鋼索上的管理課: 駭客、災變與多變動時代的韌性管理學》,大寫出版

*透過以上連結購書,《關鍵評論網》由此所得將全數捐贈兒福聯盟。

 

作者:吳明璋

 

商業環境新風險無所不在,面對全球未知敵人,你該如何防備應變?

——財經中文書第一部:全球企業災難的案例書 & 韌性管理的入門課本

 

為什麼先進國家與企業在本世紀之後,都投入了「韌性」( Reslience)管理?它究竟有何重要性與價值?

為什麼在當代經營策略家的面前——「環境」——而非競爭者,可能才是企業最大的對手?

由全球重要的公安/工安/資安事件出發,本書深度剖析了風險管理與災後復原能力的相關議題。

面對當前不確定性高、技術與數位跨國連結而引致的惡意攻擊層出不窮的時代,於災後復原及風險管理領域執業多年的本書作者,兼從最新知識與災難企業案例的結合,生動說明了「韌性管理」的新觀念與新作法;除了安全的預防意識外,企業界也強調是否有一套「緊急復原對策」備變系統並且可操作落實,這已嵌入許多全球公司最重視的管理環節中。

 

企業資安、工安部門、高階經營管理層級必讀風控書目

當前大型跨國組織都在強調韌性管理的觀念、急迫感、故事與行動——

 

從美加大停電到 NASA衛星事故、從駭客入侵航空公司到半導體廠火災……;在年度的策略預案裡,我們是否想過:「如何把賺到的錢安全放進口袋」?

在經營情境中,最稀有的資源不是部門預算,而是領導者的注意力。面對一再刷新紀錄的商業災害,到底領導者該有何種新思維?本書全面性地由「防災─減損─災後復原」,甚至是企業受災的理賠洽商,一步步帶領讀者認識天然災害/安全意外/電腦系統被駭等風險的高度不確定本質,以及當災禍降臨時,缺乏演練與漠視「危機中如何領導」的企業將會受到什麼樣的懲罰。同時,也指出如英特爾這類全球標竿企業已將「韌性」標準納入供應鏈管理,尤其是「一旦發生風險,後果就極為嚴重」的飛安與醫療領域裡,最新的「安全」維護與一般公司的安全觀念有何異同。

 

本書也會是一部絕佳的「韌性」文化變革的企業內部啟動書籍,一家重視安全的組織,會鼓勵人人成為「當責者」:人人願意瞭解現況、負責任、發掘改善風險管理之道,甚至加以承擔,跳脫不重視安全的惡性循環。

:::

English web page

Hou Bi English web page
Address:No.195, Houbi Dist., Houbi Vil., Tainan City 731, Taiwan (R.O.C.)
Tel:06-6872915
Fax:06-6873106

English translation

TIME.IS

臺南市 目前的時間:

即時空品測站資訊看板

紫外線觀測

一般示警(全台灣)