從「打地鼠」到風險治理：為什麼我們必須改變 IT 事件應對模式
在今年的 FAIRCON 大會中，有位講者提到一句話讓我印象特別深刻：
「多數公司在面對 IT 事件時，同樣的問題會一再發生。」
這句話簡單，卻直指現實。如果企業在面對事故時總是重複處理相同的問題，那麼我們做的可能不是風險管理（Risk
Management），而只是陷入一場永無止境的打地鼠遊戲（Whac-a-Mole）。
🪓「打地鼠式管理」的現象
在許多組織中，IT 或資安事件的處理模式往往呈現出以下幾種特徵：
• 相似事件一再發生，缺乏結構性的改進。
• 焦點放在「恢復服務」，而非「防止再發」。
• 重視反應速度，卻忽略了事件背後的學習。
• 管理指標偏重於「MTTR」（平均修復時間），而非「事件復發率」。
McKinsey 曾在報告中形容這種現象：「當系統發生故障時，組織的首要任務是恢復服務。然而，一次危機中奏效的戰術修補，通常無法解決下一次的問題。」短期看來，這樣的做法或許能快速止血；但長期而言，它無助於降低風險，更無法提升企業韌性。
⚠ 這樣的做法為何不是風險管理
真正的風險管理，應是一套持續識別、評估、控制與監測風險的循環過程。當我們忙著一再「敲掉」問題，卻從不追問「為什麼它會再出現」，實際上只是把能量花在表象，而非根源。缺乏根因分析（Root Cause Analysis），也沒有風險優先順序的管理，事件就會在不同的時間、不同的系統、以不同的形式再次發生。
正如 Black Kite 的研究所言：
「資安團隊與駭客之間的對抗，往往像一場永無止境的打地鼠遊戲。若缺乏治理與預防的思維，攻擊就會以不同樣貌不斷重演。」
🧭 從事件反應走向風險治理
要跳出「打地鼠式」循環，企業必須進行幾個關鍵轉變：
- 事件資料化與趨勢分析
建立事件資料庫，分析高頻重演的問題，讓數據說話。 - 導入根因分析（RCA）
不只修復，更要追溯原因，並將改進納入制度化流程。 - 運用風險量化方法（如 FAIR）
用可量化的方式衡量事件的發生頻率與潛在損失，讓預防投資有依據、有優先順序。 - 強化治理與文化
將每次事件的學習成果，回饋到政策、培訓與資源配置中。
🌱 結語
當企業仍忙於應付一再重演的問題時，我們其實並未「降低風險」，只是「維持現狀」。
真正的風險治理，不在於反應速度有多快，而在於能否讓事件不再重演。
成熟的組織，不是反應更快，而是出事更少。