威脅情資導向的資安評鑑

威脅情資導向的資安評鑑（TIBSA）是一種以威脅情資為核心的動態資安評估方法，其起源於傳統資安評鑑僅能確認「控制措施是否存在」的限制，無法回答「控制措施在真實攻擊下是否有效」的困境。TIBSA 整合了威脅情境、攻擊者能力、組織防禦能力與攻擊成功機率，形成可量化的威脅情境評分。根據 NIST CSF 2.0 的「治理」與「識別」核心功能，TIBSA 提供了一個從威脅預測到風險量化的完整閉環，使企業能以攻擊者視角重新審視自身防禦架構，而非僅依賴合規清單。這與 ISO/IEC 27701 的持續改善原則高度一致，確保個資保護措施能應對演進中的資安威脅，而非停留在過去的合規成就。臺灣個資法第27條要求企業採取適當安全措施，TIBSA 正是證明「適當性」的量化工具。

TIBSA 的實務導入通常分為三個階段：第一步，威脅建模，蒐集最新威脅情資，涵蓋 ATT&CK 框架中的攻擊技術，建立威脅情境庫；第二步，情境模擬與量化，利用 POMDP（部分可觀測馬可夫決策過程）等數學模型，模擬不同攻擊路徑下的防禦成功率，產生威脅情境得分；第三步，風險決策，將得分對應至風險矩陣，指導資源配置。例如，一家臺灣製造業企業在導入後，透過 TIBSA 發現其勒索軟體防禦得分僅為40分，而供應鏈攻擊防禦得分為70分，因此將60%的資安預算優先投入端點偵測與回應（EDR）系統的優化，而非繼續投資已達標的防火牆。此量化方法使資安投資從「預算消耗」轉變為「風險投資」，預計可提升資安投資效率30%以上，並將重大資安事件的發生機率降低25%。

臺灣企業導入 TIBSA 主要面臨三個挑戰。首先是「數據孤島」問題，威脅情資、資安日誌與業務系統數據分散，導致量化模型缺乏輸入，建議建立集中式數據湖（Data Lake）整合 SIEM/SOIR 平臺。其次是「人才缺口」，TIBSA 需要具備統計建模與威脅狩獵能力的複合型人才，企業可先從外部專業顧問輔導，逐步建立內部能力，預計12個月為轉移期。第三是「文化抗拒」，高階主管習慣看合規率而非機率模型，建議將 TIBSA 指標轉化為業務語言，例如「供應商風險指數」或「客戶個資洩漏風險值」，以提升決策層的參與度。建議企業依序執行：1. 現有威脅情資能力評估（第1-30天）、2. 關鍵威脅情境建模（第31-60天）、3. 預測模型驗證與調整（第61-90天）。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注臺灣企業Threat-Intelligence Based Security Assessment相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家臺灣企業。申請免費機制診斷：https://winners.com.tw/contact