看證券業模範生怎麼做資安

群益證券自1988年開業以來，迄今，沒有一季獲利結算是虧錢的。群益證券執行副總裁兼資訊部主管賈中道認為，提供安全而穩定的交易環境，多樣而彈性的系統選擇，不僅確保群益證券的業績表現，更證明安全的交易環境，才是證券業IT系統的核心。

第1步：確保交易安全
「跟金錢有關的交易，一點都不能馬虎，」賈中道表示，群益證券很早就注意到網站的安全性，將左右網路服務使用者對群益證券的信賴。為了達到安心投資的目的，賈中道說，取得交易安全的認證，包括：2001年群益證券取得「優良電子商店標章」；2002年參加經濟部「e-21金網獎」的比賽，獲得第一名「金質獎」的肯定；甚至在2003年8月，成為臺灣少數幾家，先期導入電子交易憑證確保網路下單安全的券商；一直到2005年取得「資訊透明化電子商店標章」等，都是達到讓網站使用者安心的目的。

賈中道回憶說道，「推動電子交易憑證時，客戶嫌麻煩，造成很大的客戶反彈，」但以群益證券的立場，沒有安全的交易機制，就不會有客戶。因此，賈中道選擇簡化其他的流程，讓客戶雖然使用較複雜的電子交易憑證，但整體而言，流程還是相對精簡的，例如，將超過10種以上的電子交易系統，都用同一套電子交易憑證搞定。

第2步：評估IT成效
「為了確保交易系統的安全性與正確性，群益證券每天都會對交易系統進行滲透測試和弱點掃瞄，」賈中道說，在盤中交易時，也會監控交易系統的效率。對群益證券而言，一年220個股票交易日，對交易系統安全性的要求，沒有一天打折過。

賈中道對於交易系統安全不打折，但為了激發員工的創意，他在IT工具使用上往往相當先進。首先，在2004年，群益證券是臺灣第一個引進微軟軟體派送服務（System Management Server 2003）的企業。面對全臺灣40幾家分公司，2,000多名終端電腦使用者，賈中道指出，以往沒有引進自動化軟體派送工具時，IT人員光是全臺巡迴做軟體升級，至少都要花一個月以上的時間。「這對於證券業要求的系統安全性和即時性，都有很大的落差。」他說。

對於新系統的導入，賈中道重視成效甚於成本，不論是微軟軟體派送服務的導入，甚至是全臺第一家引進微軟企業版即時通訊軟體LCS（Live Communication Server），他認為，透過新的IT工具導入，除了提供IT系統的效率外，更重要的是提升員工的創造力。賈中道認為，「唯有站在使用者角度，思考IT的服務和應用，IT才能發揮對企業營運的最大價值。」群益證券看重的不是IT新技術的導入，重點在於，「從使用者觀點出發，評估IT技術是否有效且安全。」他說。

第3步：取得資安認證，落實BCP
群益證券對交易安全的堅持，也讓其成為第一個取得ISO 27001資安認證的證券業者。賈中道表示，ISO 27001有助於協助企業鑑別、管理和減少資訊系統面臨的各種風險，對企業和客戶而言，也是一種承諾與肯定。但ISO 27001對群益證券而言，並不是全部，更重要的是，如何一步一腳印的落實企業永續經營計畫（BCP）。

企業永續經營計畫是一個持續管理的過程，賈中道表示，群益證券為了做到預防和減少災難事件對企業營運的衝擊，嚴格落實異地備援機制和災難復原的計畫和演練。

「受害的系統如何在最短時間內復原，必須要人、系統和交易行情都能即時到位。」賈中道說。群益證券除了選擇在距離臺北超過50公里、經過地質研究是臺灣地震斷層帶最少的地方，設置了同步異地備援中心，最遲30分鐘內可恢復整個系統交易，連網路連線都做了三重備援外，內部也有很好的人員調度計畫。

賈中道指出，群益證券一旦總公司面臨不能繼續營運的災難，哪些部門的哪些人，必須在30分鐘內先趕到臨時辦公室上班，並與異地備援中心做系統連結，繼續維持公司營運。「為了真正落實企業永續經營計畫，群益證券每半年都進行實戰演練，」他說，透過反覆練習，讓反應變成本能，才能夠做到臨危而不亂。

第4步：簡化硬體品牌
在企業永續經營的邏輯下，賈中道在相關硬體採購上，則採取簡化品牌、方便管理的作法。他表示，「透過電腦硬體品牌的單純化，將有利於服務和人力應用的最大化。」光是異地備援中心主要的系統都必須和總公司一致，再加上群益證券超過90個以上的交易系統，電腦伺服器數量就超過200臺，還不包括其他的Tandem和Unix等大型主機。

賈中道進一步說明，如果電腦伺服器或大型主機都是不同品牌，一旦遇到緊急狀況時，不僅所有資源不能互用、做緊急調派，人員維護的效率上，也不若單一品牌的熟練。群益證券便曾經經歷過，4臺大型主機同時壞3臺的驚險狀況，因為都是同一品牌，所以維修人員能在最短時間內作備品調度和維修，以維持交易系統的正常營運。

第5步：以ITIL為目標
「手機下單是電子商務的最後一哩，」賈中道說，當群益證券已經順利推出手機下單的服務後，群益證券接下來將以導入ITIL（資訊技術基礎架構庫）的資訊服務交付（Service Delivery）和資訊服務支援（Service Support）為年度目標。

以往群益證券的IT服務都專注在交易相關的安全議題上，但接下來，除了資安以外，賈中道說，如何落實使用者部門和IT部門達到SLA共識，進而做到由使用者部門攤提IT預算的「準利潤中心」，這些都可以透過ITIL，目前已經成為ISO 20000國際標準來達成。他也說，IT部門每個月至少有500～600張的需求單，若能做到SLA共識，將可適度的量化各部門提出的IT需求單。文⊙黃彥棻

CIO小檔案－賈中道
群益證券執行副總裁兼資訊部主管
●學經歷：輔大應用數學系畢，並取得政大經營管理（EMBA）資管碩士，先前曾於中國生產力中心從資訊工程師一路到擔任經理一職，於7年前加入群益證券後，一路從協理、副總經理高升到執行副總裁。

公司檔案－群益證券
●成立時間：1988年9月
●主要業務：提供證券、期貨、選擇權、債券等金融商品之交易與服務
●員工人數：2,200人
●資訊部門人數：90人（分成網路發展處、電子交易系統處、技術研發處、維運處及需求管理等5處）
●每年IT預算：採購約1.5億元，維護約1億元，人事薪資約0.9億元