反恐框架建構

Counterterrorism framing 是指組織如何透過特定敘事、邏輯與價值判斷，來定義和呈現恐怖主義威脅的過程。這不只是描述威脅本身，而是決定「哪些威脅被視為真實風險」以及「哪些風險值得管理資源投入」。根據 ISO 31000:2018 的風險管理原則，風險的識別必須依賴於風險管理者的認知框架，若框架存在偏差，將導致風險識別不完整。此概念在安全風險管理中具有決定性地位：不同的框架會引導不同的風險應對路徑，例如「安全化框架」可能優先強化物理防護，而「發展框架」則可能優先投資於社區關係與供應鏈韌性。這與 ISO 31000:2018 第 6.4.2 條的風險識別要求直接相關，企業必須確保其風險識別框架具有系統性與完整性，而非僅依賴直覺判斷。台灣企業在建立 ERM 框架時，需明確定義其反恐風險的識別邊界，以避免資源錯置於低風險領域。

實務導入需依 ISO 31000:2018 的風險管理流程執行三個核心步驟。第一步是「情境建立」：依據 ISO 31000:2018 第 5.4.1 條，企業需分析其營運環境（如地理位置、客戶群、供應鏈結構），決定採用何種反恐框架。例如，若企業在歐盟市場營運，需考量 EU 2019/1937（吹哨者保護指令）及相關反洗錢法規對供應鏈盡職調查的要求。第二步是「風險識別與評估」：依據 ISO 31000:2018 第 6.4.2 條，使用風險矩陣（Risk Matrix）將識別出的威脅情境量化。第三步是「風險處理」：依據 ISO 31000:2018 第 6.5 條，根據框架選擇風險處理選項，包括風險規避、降低、轉移或接受。例如，若框架將資訊資產外洩定義為恐怖主義活動的手段，則需強化 ISO 27701 的隱私控制措施。此過程必須由董事會或風險委員會監督，確保框架的選擇與企業的風險偏好（Risk Appetite）一致。

台灣企業導入反恐框架主要面臨三個挑戰。第一，法規認知不足：許多中小型台灣企業對國際反恐法規（如美國《反恐資助法》或歐盟相關指令）缺乏系統性認知，導致風險識別失準。建議透過 ISO 31000 認證輔導，建立跨法域的合規地圖。第二，資源分配失衡：企業往往將資源集中於傳統資安威脅，忽略了實體安全與供應鏈中斷風險。應依 ISO 31000:2018 的風險優先順序原則，依風險衝擊程度分配資源。第三，框架一致性問題：不同部門對同一威脅的解讀可能不一致，例如 IT 部門視威脅為技術問題，而法務部視為合規問題。建議建立跨部門風險治理委員會，統一風險語言與評估標準。依 ISO 31000:2018 第 5.3 條，高階管理階層必須確保風險管理框架在整個組織中具有一致性，並定期檢視框架的有效性。

Counterterrorism framing 的實務應用直接對應以下國際標準與法規：ISO 31000:2018 是風險管理的核心框架，提供風險識別、評估與處理的系統性方法；ISO 27701 是 ISO 27701:2019，專門針對個人資料保護的風險管理，在反恐框架中用於保護敏感資料；NIST Cybersecurity Framework（CSF 2.0）提供資產識別與保護的技術框架，適用於防範以資通系統為目標的恐怖活動。法規層面，歐盟的 NIS 2 指令（Directive (EU) 2022/2555）要求關鍵基礎設施提供者建立更嚴格的威脅偵測與應變機制，直接影響在歐盟營運的台灣企業。此外，FATF（金融行動對抗洗錢組織）的建議（Recommendations）也為企業建立反恐融資風險識別提供了國際標準依據。這些標準與法規共同構成企業反恐風險管理的外部約束條件。