威懾

Deterrence（威懾）源於軍事理論，指透過使對手預期到攻擊成本超過其預期收益，從而使其放棄攻擊的策略。在資訊安全與營業祕密保護領域，它被定義為一種「預防性控制」（Preventive Control）。根據ISO 27701:2019第6.1.2條款，組織應識別並評估威脅，並設計對應的威懾措施。這與「Mitigation」（緩解）不同——緩解是發生後的減災，而威懾是在事件發生前就終止意圖。Deterrence的核心在於心理層面的威懾，透過展示強大的防禦能力與嚴厲的法律後果，使潛在攻擊者（包括內部員工與外部駭客）重新評估其攻擊成本。臺灣《營業祕密法》第20條規定之損害賠償機制，即是企業實施Deterrence的重要法律工具。值得注意的是，Deterrence必須與「Detection」（偵測）和「Response」（回應）相結合，單純的威嚇若無實際執行能力，將導致威懾失效。在NIST CSF 2.0框架中，Deterrence屬於「Govern」（治理）與「Protect」（保護）功能的交叉地帶，強調組織必須建立清晰的威脅情境與對應的威懾策略。對於企業而言，Deterrence的成功與否，直接影響到其風險偏好（Risk Appetite）的設定與風險容忍度（Risk Tolerance）的實際執行。若威懾機制不清晰，攻擊者可能低估攻擊成本，導致企業面臨可預見但未被防範的資產外洩風險。因此，Deterrence不只是技術問題，更是組織治理與風險文化建設的核心議題。

實務導入Deterrence通常分為三個階段。第一階段為「威懾設計」：企業需進行威脅建模（Threat Modeling），識別高價值資產（如核心技術配方、客戶名單）及其潛在攻擊目標，並依ISO 31000風險評鑑原則設定威懾情境。第二階段為「威懾機制部署」：包含技術面（如存取控制、資料加密、Honeypot誘餌系統）與法律面（如入職前保密協議、離職競業禁止條款、定期個資保護宣導）。第三階段為「威懾驗證」：透過紅隊測試（Red Teaming）與演練，確認威懾措施是否能有效嚇阻模擬攻擊。以臺灣製造業為例，某半導體企業在導入ISO 56001創新管理系統後，透過在生產設備上設置異常存取警報與法律警告標示，成功使內部員工對非法複製技術文件的意圖降低了40%。量化指標方面，企業應追蹤「威脅偵測時間（MTTD）」與「威脅偵測後成功攔截率」，目標是將威脅偵測成功率提升至95%以上。另可參考GDPR第32條「技術與組織措施」的合規達成率作為績效指標。Deterrence的成功應直接反映在年化損失預期（ALE）的降低上，而非僅停留在文件層面。企業應建立「威懾有效性評估」機制，每年至少進行一次，以確保威懾措施隨威脅情境演進而動態調整。

臺灣企業導入Deterrence主要面臨三個挑戰。第一，文化障礙：臺灣企業文化偏向「信任員工」，對內部威懾措施（如員工行為監控）有抵觸心理。對策應是將Deterrence框架化為「保護員工與企業共同利益」的敘事，而非單向監視，並在員工手冊中明確載明違規後果。第二，法規適應性：臺灣《個資法》與《營業祕密法》的執行標準與歐盟GDPR存在差異，企業常因不清楚國內法規的實際執行強度而低估威懾效果。對策是聘請專業法務團隊進行「威懾情境模擬」，確保內部政策與國內法規一致。第三，技術資源分配不均：中小企業往往認為Deterrence是大型企業的專屬資源。對策是採用分層威懾策略，優先保護核心資產（如客戶資料、技術圖紙），而非全面鋪開。優先行動項目應包括：1. 盤點核心資產清單（30天內完成）；2. 建立內部通報與懲處機制（60天內完成）；3. 進行員工個資保護與營業祕密意識訓練（90天內完成）。預期效益是將內部威脅事件發生率降低30%，並提升員工對資訊安全政策的遵從度。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注臺灣企業Deterrence相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家臺灣企業。申請免費機制診斷：https://winners.com.tw/contact