衝擊鏈

衝擊鏈（Impact chain）是指從初始威脅事件（如極端天氣、資安攻擊）開始，經由一系列中間事件傳遞，最終導致組織營運中斷或資產損失的因果連鎖過程。其核心在於識別「因果路徑」，而非僅關注單一事件本身。根據ISO 22301（業務持續管理系統）的風險評估原則，衝擊鏈的識別需涵蓋資產依賴關係、關鍵業務功能及資源間的相互依存性。例如，電信基礎設施的中斷可能導致資訊系統失效，進而觸發供應鏈斷裂與客戶服務癱瘓。此概念與NIST CSF（網路安全框架）中的「偵測與回應」功能相呼應，強調衝擊的動態傳遞特性，而非靜態的單點防護。對於企業而言，理解衝擊鏈是建立韌性（Resilience）的基礎，因為只有掌握傳遞路徑，才能有效切斷連鎖反應。

實務應用可分為三個階段：第一步為「情境建模」，參考ISO 31000的風險識別框架，建立包含威脅強度、脆弱性與暴露度的情境圖譜；第二步為「路徑量化」，使用脆弱性曲線（Fragility curves）或情境模擬（如本研究中的電網脆弱性模型）計算各節點的衝擊程度；第三步為「緩解策略設計」，針對高衝擊路徑配置冗餘資源或備援系統。以台灣製造業為例，2024年台南電信設備廠因地震導致電信中斷，衝擊鏈迅速延伸至自動化產線停工，造成每小時逾200萬台幣損失。企業應建立「衝擊矩陣」，將各節點的衝擊值（如停電時間、資料外洩數量）納入BCP的RTO/RPO設定基準，並以年度為單位進行壓力測試，確保關鍵路徑的韌性目標可達成。

台灣企業導入衝擊鏈評估面臨三大挑戰：首先是「數據碎片化」，多數企業的資產清冊、供應商資訊與IT架構分散於不同部門，難以建立完整的因果模型。建議導入統一的CMDB（配置管理資料庫）整合資產依賴關係。其次是「量化能力不足」，台灣中小企業多以定性描述風險，缺乏量化衝擊的技術人才，建議採用ISO 27701的量化風險評估方法論，逐步建立風險評分機制。第三是「法規合規壓力」，隨著台灣《電信管理法》及《金融控股公司法》對營運韌性的要求提升，企業必須在2025年前完成關鍵業務衝擊情境的量化評估。建議採取「分階段導入」策略：第一年聚焦關鍵資產的衝擊路徑識別，第二年導入量化模型，第三年建立動態監控機制，以確保符合台灣金管會及主管機關的韌性要求。