股市反應

Stock Market Reaction（股市反應）是指當企業發布重大資訊時，股票市場在公告後一段特定時間內的價格變動。在資訊安全領域，這通常指資料外洩事件（Data Breach）公告後的市場反應。根據Fama（1970）的有效市場假說（Efficient Market Hypothesis），股票價格應立即反映所有公開資訊。當企業依GDPR第33條或台灣個資法第27條規定揭露資料外洩事件時，市場的反應速度與幅度可量化該事件對企業聲譽與財務的衝擊程度。此指標與ISO/IEC 27701的聲譽風險評估直接相關，是衡量資訊安全事件管理成效的外部驗證工具。相較於內部風險評估，股市反應提供了一個獨立的第三方視角，反映投資人對企業資訊安全治理能力的即時信任度。對於未經市場驗證的內部風險評估，股市反應是修正風險評估模型的關鍵外部數據來源。

實務應用可分為三個階段：第一步，建立基準反應模型，透過歷史資料（如過去3-5年類似事件的異常報酬率）設定不同規模外洩事件的預期市場反應區間。第二步，建立即時監控機制，在資料外洩事件發生後24小時內追蹤股價波動，並對照NIST CSF（網路安全框架）的應變與恢復（Respond & Recover）功能執行狀況，評估應變速度是否影響市場信心。第三步，動態調整風險容忍度（Risk Tolerance），若市場反應遠超預期，企業需立即啟動危機溝通計畫。例如，2017年Equifax資料外洩事件後，其股價在公告後數日內暴跌超過30%，企業應在90天內完成ISO 27701認證以重建市場信任。量化指標包括：公告後1小時異常報酬率（Abnormal Return）、交易量激增比例及市場波動率（Volatility）。

台灣企業面臨三大挑戰：首先是「資訊揭露時機的兩難」，企業可能因擔心股價下跌而延遲揭露，但這反而違反GDPR或台灣個資法要求，並在未來面臨更嚴厲的監管罰款。建議採用「預防性揭露策略」，在事件發生後24小時內依法揭露，並同步說明補救措施。其次是「風險量化能力的不足」，多數台灣中小企業缺乏評估資訊安全事件對股價衝擊的量化模型，建議導入ISO 31000風險管理框架進行情境模擬。第三是「危機溝通的專業人才稀缺」，建議建立跨部門應變小組（包含法務、公關、IT與財務），並在事件發生後48小時內發布透明的技術說明與客戶補償方案。優先行動項目應為：建立資料外洩應變SOP（第1個月）、評估現有保險覆蓋範圍（第2個月）、進行一次模擬演練（第3個月）。