事件生命週期

事件生命週期（Incident Lifecycle）是一個標準化的流程框架，用以指導組織如何有效管理資訊安全事件。此概念主要源於美國國家標準暨技術研究院（NIST）發布的SP 800-61 Rev. 2《電腦安全事件處理指南》，其將事件處理劃分為四個主要階段：準備（Preparation）；偵測與分析（Detection & Analysis）；抑制、根除與復原（Containment, Eradication & Recovery）；以及事後處理（Post-Incident Activity）。在企業風險管理體系中，事件生命週期是營運風險中「資訊安全風險」的關鍵應對機制，它將潛在的混亂轉化為可預測、可管理的步驟。這與僅關注災後業務恢復的「災難復原計畫（DRP）」不同，生命週期模型更側重於即時偵測、抑制威脅擴散，並從事件中學習以強化未來防禦。遵循如ISO/IEC 27035等國際標準，能確保企業的應變程序具備完整性與一致性。

在企業風險管理中應用事件生命週期，需透過系統化步驟將其融入日常營運。第一步為「準備與政策制定」，企業應根據風險評鑑結果，建立由高階主管支持的資安事件應變團隊（CSIRT），並制定明確的應變政策與程序，此舉符合ISO 27001附錄A.16.1的要求。第二步是「流程導入與演練」，針對高風險情境（如勒索軟體、個資外洩）開發標準作業程序（Playbooks），並定期舉行桌面演練（Tabletop Exercise）或模擬攻擊，確保團隊成員熟悉流程與職責。例如，台灣某金融機構每年會模擬駭客入侵情境，測試其應變團隊在72小時內完成通報與損害控制的能力。第三步為「持續監控與改善」，導入資安資訊與事件管理（SIEM）系統，並追蹤關鍵績效指標（KPIs），如平均偵測時間（MTTD）與平均應變時間（MTTR）。透過分析事後報告，企業可量化效益，如將平均應變時間縮短30%，並將改善建議回饋至風險評估流程，形成一個閉環的改進循環。

台灣企業導入事件生命週期時，常面臨三大挑戰。首先是「資源與人才限制」，特別是中小企業缺乏專職資安人員與預算。對策是採用託管式安全服務供應商（MSSP）以獲取專業監控與應變能力，並優先培訓現有IT人員基礎的事件分類與處理技能，實現資源效益最大化。其次是「跨部門協調困難」，資安事件處理需IT、法務、公關、人資等多方合作，但部門壁壘常導致應變延遲。解決方案為建立由高階主管授權的正式應變小組（CSIRT），在應變計畫中明確定義各部門權責與溝通機制，並透過聯合演練強化協作默契。第三是「法規遵循的複雜性」，需同時滿足《資通安全管理法》的通報時限與《個人資料保護法》的通知義務。對策是將法規要求內建於標準作業流程中，例如在「偵測與分析」階段設立查核點，一旦確認涉及個資外洩，即自動觸發法務通知程序，確保在法定時限內完成通報。建議企業以90天為目標，完成初步計畫建置與首次演練。