IBNR 事件（未報告之已發生事件）

IBNR Incidents（Incurred But Not Reported Incidents）源自保險精算領域的「已發生但未報告之損失」概念，在資訊安全領域指已發生但尚未被組織偵測或通報的資料外洩事件。根據 GDPR 第33條規定，資料外洩事件必須在知悉後72小時內通報監管機關，但許多事件在偵測前已持續外洩數月之久。此類事件在風險管理體系中屬於「潛在負債」，企業無法透過傳統稽核發現，必須依賴統計模型（如 Bayesian Network 或 Poisson 回歸）進行預測估算。與已知事件（Known Incidents）不同，IBNR 事件的處理需要預測模型來評估其發生頻率與嚴重程度，以確保企業在法規與財務上均能提前應對。台灣個資法第27條亦要求企業採取適當安全措施，未偵測到之IBNR事件直接衝擊企業的合規能力與聲譽管理。

實務應用可分為三個階段：第一步為「偵測延遲量化」，透過歷史資料分析資料外洩事件從發生到被發現的平均時間差（Detection Lag），建立時間序列模型；第二步為「風險準備金評估」，利用 Bayesian Nowcasting 模型結合當前外部威脅情資（如黑客論壇活動、零日漏洞公告），動態估算潛在的未報告事件數量與預估損失；第三步為「應變機制設計」，依預測結果設定偵測閾值與應變優先順序。例如，某電信業者透過此模型預測未來30天內有15%機率發生未偵測之資料外洩，進而提前強化SOC監控能力。量化效益包括：將資料外洩偵測時間縮短25%、法規罰金風險降低30%、保險準備金精準度提升20%。

台灣企業導入此類風險模型面臨三大挑戰：首先是「歷史資料稀缺」，多數企業缺乏結構化的歷史事件資料，導致模型訓練困難，建議採用合成資料（Synthetic Data）輔助建模；其次是「跨部門協作障礙」，IT部門與法務、財務部門對IBNR風險的認知存在落差，需建立跨職能的風險治理委員會（Risk Governance Committee）；第三是「法規解讀不一致」，台灣個資法對「已發生」的認定標準在實務上仍有模糊地帶，建議參考 NIST 800-61 事件處理指南建立統一認定標準。克服策略應優先建立資料收集機制（前30天）、導入專業風險建模工具（第60天）、完成董事會風險報告機制（第90天），確保風險管理從被動應對轉向主動預測。