海科館管理複雜IT委外有一套，建制度預留開發工時才能搶時效

在78年以前，基隆東北濱離岸不到百米的孤島旁，日本人填海造地，接成了山海秀麗的八斗子半島，還將隔山的瑞芳煤炭，沿著空中索道不停地運過來，啟用了20世紀初東南亞最大規模的北部火力發電所，後來更成為老臺電人暱稱的北火發電廠，與日月潭水力發電廠，一火一水，成為撐起臺灣五六零年代工業起飛的電力心臟，直到44年後才退役。

那幾棟長年冒著煤煙，矗立在半島山腰的廠房，搖身一變，成了臺灣唯一的海洋科技博物館（簡稱海科館），連當年北火電廠的發電機基座都保留下來，成為海科館大廳的裝飾品。

臨近太平洋旁占地48公頃的海科館在2014年正式開幕，目的是展示海洋科學與科技的發展和應用，與屏東車城的海生館齊名，成為臺灣兩座以海洋為主題的博物館。

大多數民眾對海科館的直覺印象認為，海科館是「海洋」的博物館，能夠看到新奇的海洋生物，海科館經營管理組主任何林泰笑著表示：「很多民眾以為海科館是海洋主題的博物館，期待有一間很大的水族館，可以看到海豚或是各種各樣的魚，進來才發現，館內都是科學器材和實驗模擬設備。」

這裡的展覽主題著重在漁業、水產養殖、海洋特性、海洋資源和海洋工程科技等，來解釋海洋與人之間相互共生所發展的技術，甚至還有一艘臺船自製8,600櫃等級的貨櫃船1/10模型。

海科館隸屬教育部管轄的博物館，是較晚期成立的博物館，所以海科館在初期規畫階段時，參考了其他博物館籌畫經驗，包括自然科學博物館、科學工藝博物館和海洋生物博物館等，來設計經費分配、軟體建置和建築規畫。

不過，在1997年開始籌備海科館時，適逢行政院展開組織改造之際，全臺公務機關不只縮編還有總量管制，資訊人力也一一向上集中，海科館籌備團隊正式編制只有12人，大多是海洋專業研究人員，連一個專責資訊人力都沒有。何林泰表示，政府配置海科館人員時，沒有指派資訊相關背景的人力，因此無法自主開發海科館的系統，這是海科館選擇委外開發的原因。

也因此，海科館籌備後期就決定採取OT委外作法，正式營運後的海科館館方定位是管理單位，負責全館管理、研究和其他行政工作，由教育部所屬公務人員擔任。但全館資訊系統的建置委外，以及日後第一線服務民眾的展覽活動和票務則都委外經營，由高雄一家造船公司接手，成立委託經營團隊來負責。

非資訊科班出身的何林泰，除了海洋專業之外，因曾在臺北海洋生活館擔任過管理部副理，他一手擔起所有資訊系統的建置規畫和後續管理監督之責，而何林泰所屬海科館經營管理組，則成為了統一管理所有資訊系統的海科館IT管理單位。

海科館資訊系統主要包括了兩大部分，屬於海科館內部的有9大管理系統，包括入口網站、文件、薪資、人力資源、資產、電子報、專案和公文系統等，另有一批系統，則是在建置完成後，移交給展覽委外經營團隊使用，包括了POS系統、售票系統、車輛管理系統和博物館展示系統等。

複雜的委外管理是最大挑戰

儘管在海科館籌建之初，籌備處在56億元建置經費中，規畫了約2億元來支應涵蓋行政、研究和展覽活動所需的軟、硬體委外開發費用，其中，何林泰可用的預算雖不寬裕，但也夠用，他最大的挑戰卻是複雜的委外管理。

最不同於一般自行開發系統的政府機關，或自有資訊團隊的其他博物館，何林泰掌管的所有系統全都委外招標，甚至，更複雜的情況是，一套系統可能得經過四手委外，例如由一號廠商負責設計，而第二號廠商建置硬體，第三號資服業者接手開發軟體，完成後將系統使用權交給委外經營團隊，也就是第四號委外公司，甚至連後續的每季定期稽核，若遇到特殊事件，何林泰還得委託另外的專家來協助評估。如何持續管理這麼複雜的委外關係，是何林泰日常工作的一大挑戰。

制訂具有彈性的IT維護契約

舉例來說，因為系統規畫者、系統開發廠商和系統使用者分屬不同的委外廠商，尤其，訂定系統需求時，遠早於委外經營招標之前，系統規畫廠商只能依照當時館方設想的營運程序來設計，等到正式營運後，系統難免需要配合經營團隊的執行現況來調整，這時就得由委外經營公司向海科館提出需求，再轉交給原先的系統開發商來處理。

以經營團隊最常用到的海科館票務系統來說，這個系統採雙層架構，後端是中央資料庫系統，由館方負責維運，前端則是由委外經營團隊使用的端末系統。因售票作業總有調整或異動，就得修改端末系統的介面，有時只需小幅修改，但有時則需調整系統架構才行，像套票機制就是讓何林泰非常頭痛的一次大調整。

在建館規畫之初，因展覽型態單純，票務系統先提供按類型個別售票，如常設展、特展或海洋劇場來售票，何林泰表示，但當時沒有考慮到日後需要更高彈性，可以滿足更多銷售類型的套票機制，像是三合一套票，與其他活動搭售的折扣套票，或甚至是與餐廳跨業合作套票，這些都是正式營運後，海科館委外經營團隊在業務執行過程中，才發現的實務面系統需求。

但是，若從頭辦理系統修改招標作業，按一般系統外標案程序來追加開發，得花不少時間。為了解決此問題，海科館與系統開發廠商的維護合約中，新增一項「增修時數」的條款，也就是事先確保開發廠商後續要提供的系統開發工時，例如2年500小時或1,000小時的工時，可用於修改所有系統。

所以，不論是館方或是委外經營公司遇到系統修改需求，向何林泰提出申請後，何林泰會通知維修廠商，確認這項開發需求可使用多少時數，若廠商覺得合理，就可以立刻展開這項開發工作，或由廠商回報工時，再由海科館同意也行，不需要再進行繁雜的發包程序。

除此之外，海科館因位處海邊，展館的IT設備比其他博物館更容易損壞，為了確保系統的正常運作，每一季海科館會隨機稽查相關設備。不僅如此，若系統發生故障，何林泰還在維護合約上規定，廠商需要在4個小時內派人進行基本處理，並在8小時內完成修復，恢復正常營運。除了特殊狀況之外，若未能在時限內排除，則會有對應的扣點或罰款設計來督促廠商。

資安需隨時雙重備份才能降低損失

因為委外，海科館對於資安也有特別的講究之處，尤其在「政府機關（構）資通安全責任等級分級作業規定」中，依照政府機關層級、涉及業務內容和涉及資料保存重要性來畫分等級，分別為A、B、Ｃ級，而海科館由於是教育部所屬的研究機構，需符合C級機關的資安要求。

C級機關資安等級的稽核項目相當多，包括：自行成立推動資安小組來規畫作業、至少1項核心資訊系統完成ISMS導入、每2年至少辦理1次內部稽核、每2年至少辦理1次核心資訊系統持續運作演練等11項。如此繁多的稽核項目，大多數擁有專屬資訊部門的企業至少需要花費2年的時間才能夠完成，然而，對於非專業出身的何林泰而言，更是一大挑戰。

海科館在2013年導入資訊安全管理制度（ISMS），每年撥出預算的1%以上做為資安預算，並且指派副館長擔任資安長的職位，若海科館發生資安事件時，會緊急啟動資安小組來處理。

不過，何林泰也透露，海科館委外經營公司曾在2016年發生，駭客癱瘓海科館的經營系統，來勒索比特幣的資安事件。所幸，海科館行政資訊系統和委外經營公司自用的前端資訊系統，不只採用實體隔離，還用不同區域網路隔開。而票務相關資料平日就會即時回傳到後端的資料庫上，並搭配D2D2T備份策略（資料備份到硬碟，再備份到磁帶），因此，這次遇到資安事件時才沒有造成嚴重的損失。

資安不是將本求利的生意

雖然駭客攻擊委外經營公司的系統，而非行政部門的行政系統和研究系統，重要資料也未遭竊外洩。但是，事件發生後，海科館還是舉辦了多場資安會議，不斷要求委外經營公司，如每周需進行完整備份、更新防毒軟體、加強防火牆管理等，並提出短、中、長程的資安計畫來改善系統的漏洞，還會不定期進行資安稽查。

不經一事，不長一智，何林泰表示，委外經營公司原先認為，資安投資浪費時間、金錢和人力，無法獲得任何利益，但經過這起勒索攻擊後，轉而改變初衷，願意認同資安不是將本求利的生意，而是保障利益的投資。

目前，海科館每年資訊預算約1千萬元，但高達七、八成用於維護既有系統和設備，何林泰坦言，可用來投入實現新想法或開發新系統的資源並不多，頂多是遇到政府展開特定政策時，不定時可以申請到專案式補助經費，但也難以事前進行長期計畫。不過，何林泰認為，任何服務都得隨資訊與時俱進，IT團隊得連委外廠商都一起前進才行。

開館3年，雖然何林泰率領的海科館經營管理組仍舊沒有資訊專責人力，但他仍然想要繼續強化展示活動和客服品質。站在近80年前老廠房改造的展示大廳中，何林泰還是不斷地思考新的點子，尋找新的想法。

 CIO小檔案 

何林泰

海洋科技博物館經營管理組主任

學經歷：海洋大學海洋生物研究所碩士畢業，正就讀海洋大學海洋生物研究所博士班。曾在臺北海洋生活館擔任管理部副理。1997年海科館籌備處成立後，進入籌畫處任職，從研究助理做起，後來成了經營管理組主管。目前是海科館經營管理組主任，在海科館任職長達10年

（圖片來源／國立海洋科技博物館）

 機關檔案 

國立海洋科技博物館

●　地址：基隆市中正區北寧路367號

●　成立時間：2014年1月26日

●　主要業務：展示海洋科學教育、研究海洋科技的發展與應用

●　員工數：40人

●　年營收：2億元

●　館長：吳俊仁

 資訊部門檔案 

●　資訊部門主管職稱：經營管理組主任

●　資訊部門主管姓名：何林泰

●　直屬主管：館長吳俊仁

●　資訊部門人數：3人

●　IT預算：1,000萬元

 IT部門大事紀 

●　2006年：籌建計畫管理以及內部行政業務處理等業務資訊化之作業平臺

●　2006年：原有對外服務網站、資料庫系統和電子郵件系統轉移至新系統平臺

●　2008年：建立潮境海洋研究中心整體資訊系統基礎建設

●　2008年：提升維生系統監測與監控設備之功能

●　2008年：建置行政管理相關系統

●　2011年：建置數位博物館相關資訊系統

●　2012年：建置自動化售票設備簡化售票作業

●　2012年：自動化票務管理系統與自動化驗票閘門相關設備整合

●　2012年：建立自動化停車管理系統和車位在席偵測導引系統

●　2013年：規畫建置多媒體導覽觸控式資訊站

●　2013年：導入ISMS（含個資管理）制度