抑止

Deterrence（抑止）とは、攻撃者が攻撃による利益よりもコストを高く見積もるように仕向けることで、攻撃を斷念させる戦略です。ISO 27701:2019の「管理策」やGDPR第32條の「技術的・組織的措置」に密接に関連しています。これは単なる罰則の提示ではなく、組織が実際に検知・対応・処罰できる能力があることを示すことで初めて成立します。臺灣の《營業祕密法》第20條に基づく損害賠償請求や、ISO 27701第6.1.2條に基づくアクセス制御などは、具體的な抑止手段の例です。Deterrenceは「事後対応」ではなく「事前防止」に位置づけられ、攻撃者の意思決定プロセスに介入するリスク管理手法です。この概念は、攻撃者が攻撃を斷念する「合理的選択」を前提としています。したがって、抑止の強度は、組織の法的執行力、技術的検知能力、および情報共有の透明性に依存します。特に、サプライチェーン全體での情報共有が進む現代において、Deterrenceは自社のみならず、取引先を含めたエコシステム全體の信頼性を擔保する基盤となります。日本企業においても、経済安全保障推進法に基づく重要技術の保護において、このDeterrence概念の適用は不可避となっています。Deterrenceを効果的に機能させるためには、組織の「リスク受容度」と「リスク迴避度」を明確に定義し、それを全社員に周知することが不可欠です。

Deterrenceの実務導入は、以下の3ステップで進めます。第一ステップは「抑止シナリオの構築」です。ISO 31000のリスク評価プロセスを用い、どの資産がどの攻撃者（內部者、外部駭客、産業スパイ）に狙われるかを特定します。第二ステップは「抑止コントロールの配置」です。技術面では、DLP（Data-Loss Prevention）ソリューションやEDR（Endpoint Detection and Response）を導入し、異常なデータ移動をリアルタイムで検知・ブロックする體制を構築します。行政面では、入社時の祕密保持誓約書、離職時の競業避止義務、および違反時の懲戒規定を明確化します。第三ステップは「抑止効果の検証」です。年に一度のペネトレーションテストや、模擬的な情報漏洩シナリオに基づく演習を実施し、抑止措置が機能しているかを確認します。例えば、ある臺灣製造業では、DLP導入により內部情報漏洩の試行回數が年間60%減少した実績があります。KPIとしては「抑止措置のカバー率（資産対比）」や「未認可アクセス試行の減少率」を設定することが推奨されます。Deterrenceの成功は、攻撃者が「この組織を狙うのはコストが高すぎる」と判斷することにあります。これにより、攻撃の期待値を負に保つことがリスク管理上の目標となります。

臺灣企業がDeterrenceを導入する際、主に3つの課題に直面します。第一は「文化的な抵抗」です。特に日本企業の子會社や臺灣ローカル企業では、従業員監視を「不信の表れ」と捉える傾向があります。これに対し、Deterrenceの目的を「従業員のプライバシー保護と適正な評価基盤の構築」として再定義し、透明性のあるポリシーを提示することが重要です。第二は「法規適応の難しさ」です。臺灣《營業祕密法》第20條の損害賠償額の算定基準や、個資法第27條の罰則規定など、具體的な法的根拠に基づいた抑止メッセージを構築する必要があります。第三は「中小企業のリソース不足」です。高価なDLP製品を導入できない中小企業では、アクセス権限の最小化（Principle of Least Privilege）や、定期的なセキュリティ教育といった低コスト・高インパクトな対策を優先すべきです。優先行動項目としては、まず「重要情報の定義（30日）」「內部規程の整備（60日）」「教育・訓練の実施（90日）」というフェーズ分けが効果的です。これにより、投資対効果を最大化しつつ、着実に抑止力を強化できます。Deterrenceは一度構築して終わりではなく、脅威環境の変化に合わせて継続的にアップデートする必要があります。