什麼是營運風險管理？

作業風險是指因內部流程、人員、系統不足或失效，或外部事件所導致的損失風險，而資安威脅則構成影響當代組織最廣泛被認可的作業風險類型之一。隨著網路風險的複雜性與影響持續演進，組織迫切需要制定全面性的網路風險框架，涵蓋網路風險的識別、評估、緩解與監控，作為企業風險管理（ERM）框架的一部分。

營運風險管理是組織韌性的重要支柱，建立了一種主動式方法，用於在風險升高為高成本事件之前識別並降低風險。這是一個專注於管理組織內營運風險的框架；透過採用完整的營運風險管理實務，組織可以防止這些業務中斷與財務損失，同時維持法規遵循與利害關係人信任，並最佳化其資源配置。

什麼是營運風險管理

作業風險管理（ORM）是一種企業方法，用於識別、評估及控制源自組織營運、其系統及其人員的風險。ORM 方法論延伸至網路安全領域時，僅聚焦於可能導致資訊系統在完整性、可用性或機密性方面遭受破壞的風險。它以系統化方式提出一套方法，用於了解可能的弱點、判定其影響，並設計適當的控制措施，以將曝險控制在符合公司風險胃納可接受的水準。

不同於傳統的安全方法可能僅強調技術解決方案，全面性的營運風險管理方法涵蓋更廣泛企業風險管理模型中的關鍵面向，以識別並處理不只是單一類型的營運威脅。透過採取整合式的風險觀點，組織也能理解網路風險並非孤立存在。他們所承擔的所有其他風險、流程問題、人為錯誤、第三方風險以及法規壓力，都與網路風險處於同一個環境中。

為什麼營運風險管理很重要

當組織能夠識別潛在弱點並在這些弱點遭到利用之前加以補救時，便能持續正常運作並維持其利潤率。

有效的 ORM 也能確保在日益複雜的資料保護與隱私法規環境中符合監管要求。具備強健風險管理框架的組織，比起未進行類似投資的組織，更能因應不斷變化的合規要求，並且也能向監管機關展現已盡應有注意義務。

現代組織中的營運風險類型

當今組織面臨的風險，是一個不斷變化的威脅版圖，可能中斷業務營運、損害品牌形象，並導致重大財務損失。隨著數位轉型、雲端採用以及日益擴大的第三方生態系統，這些風險變得更加複雜。

網路安全與資料外洩

這包括資料外洩與勒索軟體攻擊、系統停機以及技術故障所帶來的威脅。隨著組織擴大其數位足跡，攻擊面也隨之增加，進而產生可被進階威脅行為者利用的弱點。若安全控制薄弱、修補程式管理無效，以及監控不足，這些威脅將更加嚴重。

流程與控制失效

這些風險源自設計不良或執行不佳的內部流程。可能包括存取控制不足、變更管理流程不佳，或缺乏營運工作流程。這些流程風險通常會反映在錯誤、延遲、違反合規，以及服務交付不一致上，並可能嚴重衝擊獲利。

第三方與供應鏈

組織日益依賴由供應商、廠商與服務提供者組成的複雜網路來提供關鍵業務功能。當第三方平台發生安全外洩、服務中斷或合規失敗事件時，這種依賴會帶來顯著偏高的風險曝險。若供應商盡職調查不足、合約管理不佳，以及對供應商安全實務的可視性有限，這些風險會進一步惡化。

營運風險管理的關鍵組成要素

有效的營運風險管理系統由各種彼此相依的要素組成，這些要素在一致的框架內協同運作。讓我們詳細討論這些要素。

風險識別與評估

這項核心要素包括以系統化方式識別並記錄整個組織中的潛在營運風險。此流程通常涉及威脅建模、弱點評估與情境分析，以了解可能出錯的方式。組織應採用定性與定量方法來評估風險發生的可能性及其影響，並經常使用風險矩陣或評分系統，依嚴重程度對風險進行排序。

風險緩解策略

在識別並評估風險後，組織需要實施適當措施來加以緩解。實務上通常落入四種策略之一：風險接受（適用於風險容忍閾值內的低影響風險）、風險避免（移除會造成不可接受風險的活動）、風險轉移（透過保險或合約將風險分配給第三方），以及風險降低（建立控制措施以限制發生可能性或影響）。

業務持續性管理

此面向處理的是在營運中斷期間及之後，企業關鍵功能仍能持續運作。這包括建立全面性的業務持續性計畫，明確列出不同中斷情境下的復原步驟、溝通策略與資源需求。透過桌上演練、模擬與全面演習進行例行測試，有助於驗證計畫並突顯可改進之處。

有效營運風險管理的效益

設計完善的營運風險管理計畫可帶來多重效益，並在支援整體業務目標的同時強化組織的安全態勢。然而，這些效益遠不僅止於降低風險，還能創造具體價值與競爭優勢..

更少的安全事件與相關成本

透過在弱點遭利用之前加以識別與緩解，有效的營運風險管理可大幅降低安全事件的發生頻率與嚴重程度。藉由採取主動式態勢，組織可避免與事件回應、鑑識調查及系統復原相關的直接成本，以及業務中斷、監管罰款與聲譽損害等間接成本。

強化監管合規態勢

營運效率提升可帶來更好的永續性，並減少在不同監管環境中的回應碎片化。如此一來，健全的風險管理計畫可產生盡職調查文件與證據，從而簡化稽核流程，並向監管機關證明合規性。

更佳的營運韌性

在風險管理實務上較為成熟的組織，面對中斷或安全事件時往往更具韌性。這些知識使這些組織能建立適當的備援、記錄並測試復原流程，並在重大營運障礙期間維持業務持續性。這種韌性不僅限於技術，也涵蓋人員、流程與第三方關係，提供多層防護以抵禦營運中斷。

更有效率地運用安全資源

以風險為基礎的方法可根據對關鍵資產最重大的威脅來客製化投資，讓有限的安全資源得到更有效的運用。組織不必以相同方式將安全控制套用於所有系統與流程，而是可根據風險概況、業務影響與控制成效來量身打造防護措施。

更強健的安全態勢

受治理的營運風險管理可透過 KRI 和指標建立衡量（並展示）安全有效性的基礎。這是一種以資料為驅動的方法，可提供一段時間內風險趨勢、有效安全控制措施，以及整體安全態勢進展的可視性。透過使用普遍接受的指標，組織中的安全專業人員可以規劃其降低特定風險曝險的歷程；將其績效與同儕進行比較；並向利害關係人展示其與安全相關的成果（而非提供主觀的進度評估）。

營運風險管理流程：關鍵步驟

營運風險管理並非一次性的工作，而是一系列需要持續執行與改進的反覆活動。這種以流程為導向的方法可協助組織在風險演變成高成本事件之前主動加以緩解。

識別營運風險

第一個關鍵步驟是盤點整個組織的營運、系統與流程中的風險。識別資料存放位置，以及這些系統包含哪些敏感資料。這可以透過歷史事件資料、威脅情報、弱點掃描、法規遵循要求以及業務流程審查來完成。與各業務單位的利害關係人建立正式的風險識別工作坊至關重要，因為不同部門交會時，通常會產生營運風險。

評估風險影響與發生機率

組織需要先識別風險，然後量化風險一旦實現時的發生可能性與業務影響。此評估通常遵循標準化方法，採用定性分數（例如：低／中／高）或定量指標（例如，財務影響估算、機率百分比）。這些評估需要分析不同類別的影響，例如財務損失、營運中斷、違反合規與聲譽損害。

採取緩解行動

組織有責任根據風險評估結果，設計並實施控制措施來管理已排定優先順序的風險。這些控制措施可能是預防性（防止事件發生的可能性）、偵測性（在風險事件發生時加以偵測），或矯正性（在事件發生後降低影響）。對於每項重大風險，組織也應制定風險處理計畫，明確規範實施控制措施的角色與責任、目標日期，以及執行計畫所需的資源。

定期監控與評估風險

由於新威脅出現、業務流程變化，以及控制措施成效不一，風險版圖是動態變化的。此類流程包括利用關鍵風險指標（KRI）進行持續監控，以衡量風險曝險程度與控制成效。例行風險審查應評估現有控制措施是否持續有效，以及是否需要根據內部或外部變化更新風險評估。

常見的營運風險管理挑戰

即使是致力於健全風險管理的組織，在實施與維護有效計畫時仍會面臨重大障礙。若未妥善處理，這些挑戰可能削弱即使設計完善的風險管理措施。

組織對風險採取各自為政的方法

這會導致各種風險管理活動彼此孤立，並由組織內不同部門分別執行。安全、合規、IT 與業務單位通常各自擁有不同的風險評估流程，並依賴不同的方法論、術語與標準來評估風險。

彼此競爭的優先事項與有限資源

由於資源限制，組織往往難以完整實施有效的風險管理流程。安全與風險管理團隊必須以日益縮減的預算、人力與高階主管關注度，來對應那些更有可能創造營收的業務計畫，而風險活動很少能獲得足夠的技術資源。

衡量網路安全風險

對許多組織而言，將複雜的網路安全情境以財務術語表達，始終是一項挑戰。不同於可能帶來直接財務影響的營運風險，網路風險通常涉及難以量化的無形要素，例如聲譽損害或智慧財產遭竊。新興威脅缺乏足夠的歷史資料，因此使準確的風險量化更加困難。

與業務流程整合

將風險管理嵌入組織的日常業務中，對許多組織而言都是一項重大挑戰。相關且適度的 風險評估 常被視為合規作業，但它們並非業務決策的根本依據。不幸的是，這種錯位可能導致新投資、產品或技術在未建立足夠程序以評估相關風險的情況下就被導入。

安全性與營運效率之間的平衡

在降低風險與業務績效之間取得適當平衡，會在大多數組織中形成持續性的張力。過多的安全措施也可能造成摩擦並妨礙業務流程，同時降低生產力並讓使用者感到困擾。另一方面，若為了營運效率而犧牲安全性，則會使您面臨代價高昂的資料外洩風險。

實施營運風險管理的最佳實務

僅有風險框架的理論知識，並不足以讓營運風險管理獲得有效實施。相反地，還需要將實務方法納入考量。

建立風險評估框架

重點應放在為組織所有部門建立一致的風險評估與文件化方法論。在此框架中，應建立結構化的風險類別、評估標準與評分方法，使不同類型的風險能夠被客觀比較。該框架需要妥善文件化，並納入更多有關如何進行評估的細節，以便將評估流程標準化，無論由誰執行評估皆然。

制定明確的風險胃納聲明

這些聲明可明確表達企業的風險胃納，而這對以風險為基礎的決策至關重要。這些聲明應針對各類營運類型、資產與情境訂定可接受的風險門檻，且在可能的情況下，這些門檻應可量化。此類聲明需要在高階主管與董事會層級獲得核准，以確保風險胃納與策略目標及治理要求保持一致。

定期進行風險評估

定期風險評估有助於團隊建立節奏，讓其風險資訊保持最新狀態，以反映威脅與業務營運的變化。組織至少必須每年執行一次完整評估，但當系統、流程或威脅態勢發生重大變更時，也需要定期執行具針對性的評估。

建立事件回應程序

建立全面性的 事件回應服務 與復原計畫，對於限制任何安全事件或營運中斷所造成的潛在損害至關重要。這些程序應明確界定組織內各利害關係人的角色、其職責，以及不同事件類型的升級路徑，讓回應行動能夠迅速啟動，且不致產生混淆或延誤。

執行桌上演練

定期進行情境式演練可讓組織在安全的環境中評估其風險管理能力。這些演練也必須納入根據特定組織風險概況所設計的真實情境，使參與者能依據既有流程與可用資源演練其回應方式。桌上演練應召集跨職能團隊，包括技術人員、業務主管、傳播人員及法律顧問，以模擬真實事件期間所需的複雜協調。

營運風險指標與關鍵風險指標 (KRI)

營運風險管理只有在具備經驗證的指標時才能有效運作，這些指標可提供對風險水準與控制措施有效性的洞察。KRI（關鍵風險指標）是用於監控風險狀況變化的衡量指標，可在事件或損失發生前，作為組織的早期預警訊號。關鍵風險指標應具備良好設計、前瞻性、可衡量性，並且直接對應可能威脅業務目標的特定風險。

組織需要建立一套平衡的領先與落後指標組合，以提供風險的整體可視性。領先指標著重於可能導致未來事件的風險狀況（例如：嘗試存取系統失敗、安全政策違規，以及系統中持續升高的弱點）。落後指標則根據事件發生頻率、處理所需時間，以及已實現風險所造成的財務後果等描述性資料，評估現有控制措施的執行情況。

風險指標應可透過有意義的儀表板及其他格式存取，以最大化其價值，並讓不同的利害關係人能夠追蹤關鍵指標。高階主管儀表板可能會顯示有關主要風險與潛在業務影響的趨勢，但營運團隊則需要關於特定技術控制與弱點的指標。透過定期檢視這些指標，組織可以發現新興風險、驗證其控制措施的有效性，並就其風險管理投資做出以資料為依據的決策。

結論

隨著威脅態勢日益複雜，營運風險管理已從一項合規工作，發展為希望保護其資產並確保業務持續性的機構所必須採取的策略性要務。無論您面臨的是快速變化所造成的不穩定性，或只是未知因素帶來的挑戰，本指南中討論的結構化方法與最佳實務，都能協助組織建立具韌性的風險管理。此能力有助於降低安全事件發生的可能性及其影響，同時提升營運績效與利害關係人的信任。

使營運風險管理模式趨於成熟是一段需要投入資源、組織專注與時間的歷程，但其帶來的效益無疑超過投入。它有助於讓組織脫穎而出，並作為保護關鍵資產的基礎，使組織能夠充分發揮其安全投資的價值，並建立吸收與從不可避免出現的營運挑戰中復原所需的韌性。