CARVER+Shock 脆弱性評估法

CARVER+Shock是一種源自美國軍方的攻擊目標優先排序工具，後由美國食品藥物管理局（FDA）應用於食品防禦領域，專門評估供應鏈中易受蓄意污染攻擊的環節。其名稱為七個評估指標的縮寫：關鍵性（Criticality）、可及性（Accessibility）、可恢復性（Recuperability）、脆弱性（Vulnerability）、影響（Effect）、可辨識性（Recognizability）以及衝擊性（Shock）。此方法是威脅評估與關鍵控制點（TACCP）體系的核心，用以滿足全球食品安全倡議（GFSI）所認可標準（如FSSC 22000、BRCGS）對食品防禦的要求。它與預防非蓄意危害的HACCP及防範食品詐欺的VACCP不同，CARVER+Shock專注於防範惡意、具意識形態動機的攻擊行為，是建構完整食品防護體系不可或缺的一環。

企業應用CARVER+Shock的步驟主要有三：第一步，成立跨部門食品防禦小組，繪製從原料接收到成品配送的詳細流程圖，並初步識別可能遭受攻擊的製程節點。第二步，針對各節點，團隊依據CARVER+Shock的七項指標進行評分（通常為1至10分），將各項分數加總或加權計算，得出每個節點的綜合脆弱性分數。第三步，識別出分數最高的節點作為「關鍵脆弱點」（Key Vulnerability Points），並針對這些高風險點設計與實施具體的緩解措施，例如安裝監視器、強化門禁管制、執行員工背景調查等，並將所有評估過程與措施詳實記錄於食品防禦計畫中。透過此流程，企業不僅能符合美國《食品安全現代化法案》（FSMA）等法規要求，更能將有限資源聚焦於最高風險處，實證效益包含將稽核通過率提升至95%以上，並顯著降低潛在攻擊事件的發生機率。

台灣企業導入CARVER+Shock主要面臨三大挑戰：一、專業知識與資源不足，特別是中小企業缺乏專職的食品防禦管理師與預算。對策是利用主管機關（如美國FDA）提供的免費線上工具「Food Defense Plan Builder」進行初步建構，並尋求外部專家協助，以符合成本效益的方式進行客製化輔導。二、供應鏈透明度低，難以評估上游供應商的脆弱性。對策為在供應商管理程序中加入食品防禦稽核問卷，並強化收貨區的物理安全管制，將外部風險阻絕於第一線。三、重「食安」輕「食防」的文化慣性，員工熟悉HACCP但對蓄意攻擊威脅認知不足。對策是將食品防禦訓練整合至既有的食安教育訓練中，透過定期舉辦模擬演練，將防禦意識內化為企業文化，並向管理層強調其對於品牌聲譽與營運持續的關鍵價值。建議採分階段導入，預計6個月內可建立初步防禦機制。