事件傳播矩陣

Incident Propagation Matrix（事件傳播矩陣）是一種系統性風險評估工具，用於描述風險事件如何在相互連接的系統或組織間傳遞。其核心概念源於網路拓撲學與風險傳遞理論，透過矩陣形式，橫軸代表初始受攻擊的系統節點，縱軸代表潛在受影響的下游系統，每個儲存格填入傳播概率或影響強度。此工具在 ISO 22301（業務持續管理系統）的業務衝擊分析（BIA）中扮演關鍵角色，特別是針對多層供應鏈或跨部門IT環境。與傳統單點風險評鑑不同，它強調的是「連鎖效應」，符合 NIST SP 800-34 中關於系統間依賴性評估的要求，確保企業在設計 BCP 時能預先應對複合型威脅，而非僅關注單一事件。

實務應用通常分為三個階段：第一步，識別所有相互依賴的關鍵資產與業務流程，建立資產依賴圖譜（Dependency Map）；第二步，定義傳播向量，包括攻擊類型（如勒索軟體、自然災害、供應商失效）與傳播路徑，並為每個路徑分配量化權重；第三步，計算傳播矩陣，識別高風險傳播路徑，制定針對性的緩解措施。例如，台灣某電信業者在面對電信設備供應商遭駭客攻擊的事件後，透過此矩陣識別出電信中斷會導致金融交易、醫療緊急通訊與政府電信服務同時失效的風險，進而將電信韌性提升至國家安全層級。量化效益通常體現在：RTO（復原時間目標）達成率提升25%、跨部門協調時間縮短30%、保險保費因風險控制能力提升而降低15%。

台灣企業導入此工具面臨三大挑戰：首先是「數據孤島」問題，各部門往往各自為政，無法提供完整的資產依賴數據，解決方案是推動跨部門風險治理委員會，打破資訊壁壘。其次是「量化能力不足」，許多企業缺乏專業風險建模人才，建議採用標準化模板並引入第三方專業顧問協助初期建立。第三是「法規認知落差」，台灣企業對 ISO 22301 的認知仍停留在合規層面，而非實務韌性，應透過聯合演練（Joint Exercise）將理論轉化為可驗證的操作能力。建議企業在90天內完成初步矩陣建立，180天內完成壓力測試，並將傳播風險納入董事會風險報告，以確保資源投入的優先順序。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注台灣企業Incident Propagation Matrix相關議題，擁有豐富實戰經驗，協助企業在90天內建立符合ISO 22301與NIST標準的風險管理機制，已服務超過100家台灣企業。申請免費機制診斷：https://winners.com.tw/contact