鱷魚法則與ISO 27001中的風險處置
3Q資安管理顧問公司在輔導一間中型科技公司導入ISO 27001:2022的過程中，遇到了一個棘手的問題：面對已經發生的資訊安全事件，公司該如何快速反應以避免損失擴大？這時，負責專案的顧問David分享了心理學中的「鱷魚法則」。這個法則告訴我們，當鱷魚咬住你的腳時，最好的辦法是果斷切斷被咬的腳，而不是試圖用手拉開鱷魚的嘴，否則只會讓整個人都被吞噬。
鱷魚法則在資訊安全中的啟發
在資訊安全風險管理中，鱷魚法則對應的是ISO 27001中的風險處置（Risk Treatment）。企業常常在發現漏洞或事件後，猶豫著是否採取行動，擔心立即關閉系統或終止某些操作會帶來短期損失。實際上，延遲決策只會讓風險擴大，造成更嚴重的後果。
David建議科技公司引入心理學中的「損失厭惡（Loss Aversion）」概念，並應用在風險處置計劃中。他們迅速定義了哪些風險需要立即採取行動（例如，停用被攻擊的伺服器），而哪些可以等待更完整的解決方案。
從攤平虧損到果斷停損
在ISO 27001的風險管理流程中，很多企業習慣用「攤平虧損」的方式，試圖用補救措施來解決所有問題。例如，發現員工密碼管理不當時，僅僅進行一次性培訓，而不去徹底檢查整體密碼政策是否符合ISO 27001的要求。這種方式類似於股票投資中不願停損的行為，短期內看似穩定，長期卻可能導致更大的損失。
David提醒企業，面對明顯的資訊安全漏洞時，應果斷採取「停損」措施。例如，若發現特定系統的漏洞無法修復，那麼應考慮立即停止使用，而非投入更多資源試圖修補。這樣的果斷行動，正是ISO 27001強調的風險應對策略的一部分。
建立快速反應的文化
心理學研究顯示，培養組織中的「快速反應文化」可以減少風險決策中的猶豫。3Q公司協助客戶設計了一套簡單的緊急應對程序，讓每位員工清楚在事件發生時該如何回報、誰應負責、以及何時需要啟動風險處置計畫。這不僅提升了整體反應速度，也減少了錯誤判斷的機率。
故事的啟示
「鱷魚法則」提醒我們，在資訊安全的風險管理中，快速而果斷的反應是關鍵。企業應學會果斷停損，並利用ISO 27001提供的框架，建立一套快速且有紀律的風險應對流程。只有這樣，才能在面對資訊安全挑戰時，保護企業資產，避免被「鱷魚」吞噬。
