應對措施

應對措施（Countermeasure）是風險管理流程中，針對已識別風險所採取的主動性行動，旨在降低風險的殘餘風險水平至組織可接受的範圍內。根據ISO 31000:2018第6.5條「風險處理」的規定，應對措施必須具體、可執行且與組織目標一致。其核心邏輯是「風險評估→風險處理→風險監控」的循環過程。與「風險控制（Risk Control）」不同，應對措施更強調主動性的預防與緩解，而非僅是事後補救。在NIST CSF（網路安全框架）中，應對措施對應「保護（Protect）」與「回應（Respond）」兩大功能，確保組織在面對威脅時具備韌性。對於企業而言，有效的應對措施設計是風險管理從理論走向實務的關鍵轉折點，直接影響企業的商業持續能力（BCM）。

實務應用通常遵循「識別→評估→設計→執行→驗證」的五步法。第一步，透過ISO 31000的風險評鑑工具（如風險矩陣）確定風險等級；第二步，針對高風險項目設計具體應對措施，例如在資訊安全領域導入ISO 27701的個資保護控制措施；第三步，設定執行時程與負責人；第四步，執行應對行動；第五步，透過KPI監控措施的有效性。以台灣某大型電信業者為例，針對電信中斷風險，其應對措施包括建立多重備援電信節點（降低衝擊）、向保險公司投保電信中斷險（轉移風險）、以及建立災難復原（DR）演練機制（降低衝擊）。實務上，企業應設定量化指標，如「關鍵系統恢復時間目標（RTO）降低20%」或「資安事件響應時間縮短至30分鐘內」，以驗證應對措施的實際效益。

台灣企業在導入應對措施時常見三大挑戰：第一，法規合規壓力增加，特別是2023年修正的《個人資料保護法》對企業應對資安風險的義務要求更高，企業需建立符合個資法第27條的技術與管理措施；第二，資源配置優先順序不明，中小企業往往因成本考量僅採取最低限度的應對；第三，風險文化不足，員工對應對措施的執行力不足。克服方法包括：首先，建立「風險矩陣」優先處理高衝擊風險項目，確保資源精準投放；其次，導入ISO 22301業務持續管理標準，將應對措施制度化；第三，透過定期演練（如資安演練、BCM演練）提升員工執行能力。建議企業在導入初期設定90天快速導入期，以小規模試點驗證效果，再逐步擴展至全組織，確保投資報酬率（ROI）可被管理層量化確認。