SecTor 2025 | Quantifying Cyber Risk as a National Defense Imperative

本場對談由安全架構師 Kelman Magu 主持，與企業端的 Zachary Schmidt（物理/電氣工程背景，曾主導 GE 拆分為三家公司）及中小企業專家 Christopher Story（犯罪學背景）共同探討一個新興框架——企業國家安全（Corporate National Security，CNS）。對話的起點是一個看似普通的問題：網路安全的 ROI 計算器是否值得信任？然而這個問題很快被翻轉成更大的命題：單一企業的風險，其實是整個國家集體風險的切片。

Schmidt 以數字鋪陳問題規模：美國有約 30 萬家企業直接影響國家安全，全球盟友加總後達 100 萬個組織。但這些目標中，超過 75% 是不受政府監管的小型私營企業。Story 用一個具體案例點破這個抽象數字：加拿大某縣整個水務局的特殊管件，全部仰賴一家員工不到 30 人的家族小店供貨。這家店沒有任何「關鍵基礎設施」的標籤，卻是整個縣供水系統的單點失敗。Rogers 斷網一週半讓急救服務受阻、UnitedHealth 被勒索兩次損失 2,400 萬美元、醫院遭攻擊後救護車被拒於門外——這些都是「企業問題」最終演變為民生衝擊的真實案例。

在如何應對這個挑戰上，兩位講者一致指向同一個核心方法：把風險翻譯成美元。技術人員慣用的指標——阻擋率、APT 威脅情資、技術架構——對 CEO 和董事會毫無說服力。Schmidt 強調，他職業生涯真正轉折的時刻，是開始用財務模型「展示計算過程」：「你花 10 萬，是為了消除 100 萬的風險敞口。」馬什加拿大的 Julian Deloy 補充，量化工具通常結合隨機建模、統計方法與情境開發，將最壞情況下的每一項後果逐一換算為損失金額。加拿大前十大組織的合計風險試算結果超過 250 億美元，且這個數字幾年前遠遠更小——因為暗網上 HIPAA 資料的交易價格已從 10 美元漲至 187 美元。

在 AI 議題上，Magu 與 Story 都提出警告。企業正在以極快速度導入 AI，卻幾乎沒有人量化 AI 程式失效的風險敞口。某場董事會上，CEO 宣布 4% 的營收增長目標，而 CIO 在被問到「如果 AI 系統性能下滑能否回到舊流程」時，才揭露公司已裁撤所有掌握舊流程知識的人員。這正是 Story 所說的系統性盲點：效率提升的模型擺在台上，但抵消它的風險敞口卻從未被算進去。最後，兩位講者給出的實踐建議是：找獨立的、經學術驗證的 CRQ 方法論提供商；把每一個控制項（NIST 子控制）對應到具體的財務數字；用「最佳 ROI 的前十項行動」向領導層排序優先級；而選擇供應商時，比速度與功能更重要的問題是「若你遭攻擊，我兩週後還能找到你嗎？」