●《用安全將資訊包覆的ISO 27001》

　　企業面對市場競爭，除了要努力維持好的品質及降低成本，創新技術的能力更是

　面對千變萬化的競爭與需求的核心能力。然而在了解必須保有各項競爭能力後，

　如何確保重要資訊不外流也是企業絞盡腦汁得處處小心的一環。

　　資訊安全的牆要築多高，在充斥著便利與快速的要求下，

　資安人員應該從何處著手。

　一般對於資訊安全的的認知，是針對公司內部資安保全較弱的一環進行補強，

　確保其不成為資訊安全的漏洞，例如木桶理論所定義的就是，組織就像是一個木桶，

　而組織所能承載的容量取決於最短的木片，這裡所描述的承載內容也包含了資訊安全

　的能力。

　　但是對於資源有限的企業，究竟這樣的投入是否符合經濟效益，很多企業在擔心資

　訊安全之虞，看見龐大的資安維護成本就卻步了。

　　現在我們必須思考，企業將資源投入在安全性不夠的位置，企圖將最短的木片

　加高，以防止成為組織內各種可能的資訊的漏洞。這樣的做法對於資源充沛的企業，

　並沒有什麼問題。但大多數的企業都認為資源是有限的，如何將資源分配在能創造價

　值的地方組織才能獲利，這裡要表達的是，並非獲利比加強資訊安全重要，因為這二

　者都應該被重視。

　　對於組織的資訊安全管理，我們建議應該回到一個最基本的觀念，如果企業無法清

　楚的瞭解組織內的重要流程，將陷入資源濫用的窘態。如何透過清楚分析組織流程，

　判斷出重要流程，進而規劃合理有效的資訊安全管理，資源被有效應用了，才能為企

　業創造更大的價值。

　又是一年的開始，很多公司開始設定年度目標，想藉由目標設定來提升經營績效。

　不過，有人懷疑到底設定目標是否真能提高績效？甚至有人乾脆不定目標，

　拿「計劃跟不上變化」做藉口，就這樣進入了管理的黑洞中。

　首先來看一下績效指標（Performance Indicator），

　有些公司會區分為KPI（Key Performance Indicator）與PI。

●無論是KPI或PI都有以下注意事項：
　1、必須能夠反應所屬流程的好與壞：

　　  例如，什麼指標最能夠代表出貨檢驗流程的績效？有些人設定了「出貨檢驗合格率」，

　　  您覺得呢？試想，如果「出貨檢驗合格率」高，是否也可能代表出貨檢驗不確實？
　2、數據來源要有代表性：

　　  曾經有人設定了「向心力」做為人力資源管理流程的績效指標。

　　  不過，該流程Owner必須想好如何用量化的數據來衡量向心力。
　3、計算公式必須是合理的：

　　  對於以下的公式（當月退貨數量/當月出貨數量）做為退貨率的計算公式，

　　  看起來似乎沒有問題，但可以確定當月退貨的數量都是當月出貨的嗎？

　　  客戶會不會累積一段時間集中退貨呢？
　4、能夠與目標相結合：

　　  有人曾經問過「績效指標與目標有什麼關係」？

　　  目標（Objective）設定是為了展現管理或改善「程度」的行動，目標的背後要有一個

　　  行動方案，目標是一種動態的呈現；而績效指標是建立一個模型來衡量績效，

　　  屬於靜態的呈現。以目標設定的SMART原則來說，其中S、M、R屬於績效指標設定的

　　  原則，加上A與T就成了完整且有意義的目標了。
　

●時間咻的！真快∼轉眼就要過新年了!

　祝福您：新年快樂，龍年行大運。

　在除夕圍爐熱鬧團聚的時刻，

　別忘了，　

　跟家中長輩、身旁的家人說聲

　感謝的話語。

●好句分享
　Change your word , Change your World.

　改變你的詞，改變了你的世界。