歡迎來到網絡風險指南！

你好！如果你曾擔心社交媒體帳戶被黑客入侵，或是收到過可疑的電郵，那麼你已經理解了網絡風險 (Cyber risk) 的基本概念。在 P3 的課程中，我們將這些日常擔憂轉化為專業風險管理者的視角來進行剖析。

網絡風險是課程中變動最快的領域之一，因為科技發展一日千里。別擔心你是否為「科技專家」——本章並非教你編寫代碼，而是要了解這些風險的本質及其對業務的影響。讓我們馬上開始吧！

1. 什麼是網絡風險？

簡單來說，網絡風險是指由於資訊科技系統故障，導致組織面臨經濟損失、營運中斷或聲譽受損的可能性。

類比： 想像你的業務是一間實體店鋪。網絡風險就像是有人打破你的櫥窗、偷走貨物，或鎖住大門讓你無法進入工作。

威脅的本質

網絡風險的獨特之處在於它是無邊界的（攻擊者可能身處另一個國家）且具有持續性。為了理解這些風險，我們根據其來源和動機進行分類。

內部威脅與外部威脅
  • 內部威脅： 來自組織內部（如員工、承包商）。這些通常最危險，因為他們已經擁有存取系統的權限。
  • 外部威脅： 來自組織外部（如黑客、競爭對手、國家支持的團體或有組織的犯罪集團）。
蓄意風險與意外風險

這是一個常見的誤區：認為所有網絡風險都來自「邪惡的黑客」。其實，許多重大資料外洩事件都是意外導致的！

  • 蓄意（惡意）： 有人主動嘗試破壞公司或竊取資料（例如：不滿的員工竊取客戶名單）。
  • 意外（非惡意）： 員工丟失手提電腦、不小心將敏感試算表電郵給錯誤的接收人，或忘記更新密碼。

快速回顧： 網絡風險 = 資訊科技故障 + 負面後果。它可能由公司內部或外部人員引起，且可能是蓄意或無心之失。

2. 常見的網絡攻擊類型

你不需要成為程式設計師，但你必須認識 CIMA P3 課程中常用的術語：

1. 惡意軟件 (Malware)： 即「malicious software」的縮寫。這是所有旨在破壞或未經授權存取系統的軟件統稱。（例如：病毒、蠕蟲和木馬程式）。

2. 網絡釣魚 (Phishing)： 這是一種社會工程學 (social engineering)。攻擊者發送「誘餌」（通常是偽裝的電郵），誘騙使用者交出密碼或點擊危險連結。
助記技巧： 將 Phishing 聯想為 Fishing（釣魚）獲取你的資料。

3. 勒索軟件 (Ransomware)： 這是數位綁架。黑客加密（鎖定）公司的資料，並要求支付款項（贖金）以解鎖。
現實案例： 2017 年的「想哭」(Wannacry) 攻擊影響了英國國民保健署 (NHS)，導致醫生無法存取病人紀錄。

4. 阻斷服務攻擊 (DoS/DDoS)： 攻擊者向網站或系統發送大量偽造流量，使其崩潰，導致真實客戶無法使用。
類比： 這就像有 1,000 個人堵在一家小店門口，導致真正想買東西的顧客無法進入。

你知道嗎？

超過 90% 的網絡安全漏洞都被歸咎於人為錯誤。這就是為什麼培訓員工與購買昂貴的防火牆軟件同樣重要！

3. 網絡風險的影響

當網絡攻擊發生時，「損害」不僅僅是一部壞掉的電腦。這種影響會波及四個主要層面：

A. 財務影響

這包括修復問題的直接成本，以及「隱性」成本。
- 直接成本： 聘請鑑識專家修復系統的費用，或贖金（雖然我們不鼓勵支付！）。
- 間接成本： 網站停機期間失去的銷售額，以及聘請公關公司處理危機的費用。

B. 聲譽影響

信任是數位時代的貨幣。如果銀行洩露了你的信用卡資料，你還會把錢存在那裡嗎？
- 客戶信心流失： 客戶可能會流向競爭對手。
- 品牌受損： 在重大黑客攻擊後，重建「安全」的品牌形象可能需要數年時間。

C. 法規與法律影響

政府對資料私隱非常重視（例如歐洲的 GDPR）。
- 罰款： 組織若未能保護個人資料，可能面臨數百萬美元的罰款。
- 訴訟： 資料被竊的客戶可能會向公司提出損害賠償訴訟。

D. 營運影響

這涉及業務的日常運作。
- 業務中斷： 如果系統癱瘓，業務就會停擺。無法生產、無法出貨、無法開立帳單。
- 知識產權 (IP) 流失： 如果競爭對手竊取了你的秘密配方或設計，你將永遠失去競爭優勢。

重點總結： 網絡風險的影響是多維度的。它同時衝擊財務、法律、品牌以及日常營運。

4. 總結與「切記」要點

網絡風險是 P3 風險管理課程的核心部分。以下是讓你記住的快速總結：

  • 網絡風險不僅是「資訊科技問題」——它是全公司層面的策略性風險。
  • 「人」是最薄弱的環節。 大多數攻擊成功是因為有人點擊了不該點的連結。
  • 影響不只是金錢。 失去客戶信任（聲譽）對企業而言，可能比一次性的罰款更致命。
應避免的常見學生錯誤：

不要以為小型企業在網絡風險面前是安全的。攻擊者經常瞄準規模較小的公司，因為它們的安全性通常比大型企業脆弱。在 P3 課程中，我們將網絡風險視為所有組織（無論規模大小）面臨的威脅。

如果覺得內容很多也不用擔心。只要記住：網絡風險的核心在於保護資料的機密性 (Confidentiality)、完整性 (Integrity) 和可用性 (Availability)（這通常被稱為 CIA 三要素，我們稍後會深入探討！）。