Likelihood-Impact Analysis

Likelihood-Impact Analysis（可能性-衝擊分析）是風險評鑑的核心方法論，透過兩個維度評估風險：發生機率（Likelihood）與衝擊程度（Impact）。根據ISO 31000:2018的風險評鑑原則，風險是「對目標的不確定性影響」，因此必須同時考量發生頻率與結果嚴重性。在資訊安全領域，這通常以風險矩陣（Risk Matrix）呈現，橫軸為可能性，縱軸為衝擊，交點即為風險等級。此方法論與COSO ERM框架相輔相成，協助企業在複雜的商業環境中，系統性地識別、分析與評估風險的相對重要性，而非僅憑直覺判斷。對於臺灣企業而言，這是建立ISO 27701個人資料保護管理系統的必要基礎步驟。

實務應用通常遵循四個關鍵步驟：第一步，識別風險情境，包括數據外洩、系統中斷、法規違規等情境，並定義評估基準（如5x5矩陣）。第二步，評估可能性，考量歷史數據、威脅情境與現有控制措施的有效性。第三步，評估衝擊，涵蓋財務損失、聲譽損害、法律責任（如GDPR最高4%營收罰款）及營運中斷。第四步，根據矩陣結果制定風險處理策略（規避、降低、轉移或接受）。例如，一家臺灣電信商若發現客戶資料外洩的衝擊極高（Level 5），則必須優先投資加密技術與存取控制，而非僅依據發生機率低而忽略此風險。有效導入後，企業通常可在12個月內降低30%的關鍵資訊風險暴露。

臺灣企業導入此分析時常見三大挑戰：首先是「量化難度」，許多企業缺乏歷史數據導致可能性評估主觀化，建議導入NIST AI RTO等量化框架輔助；其次是「跨部門協作障礙」，IT部門與業務部門對衝擊的定義往往不一致，需由CISO主導建立統一的風險評估語言；第三是「資源配置優先順序不明」，企業往往在低風險領域浪費資源。克服策略應包括：1. 建立標準化的風險評鑑手冊；2. 引入第三方專家進行獨立驗證；3. 依臺灣個資法第27條要求，將高衝擊風險列為董事會定期報告議題。預計導入6個月可完成基礎框架，12個月實現持續改善循環。