概念地圖・蝴蝶結分析
作者 山姆（謝冠生）・喵喵書評創辦人
發布 最後更新
分類：管理
這一頁不只是把一個概念解釋一遍——一張自己畫的結構圖，加上拿台灣情境從頭走一次的實例演練、這個框架什麼時候會騙你，以及它接回 P.A.I.N. 之後長什麼樣。一頁必須交付的三層 →
蝴蝶結分析：一頁看完，防線在哪
風險報告寫了三十頁，沒有人知道哪一道防線今天還在。蝴蝶結分析（Bow-Tie Analysis）解的就是這件事：把一個特定的事故放在中央，左邊排出所有可能引爆它的威脅、右邊排出它一旦發生會造成的後果，然後在每一條線上畫出擋在中間的那些屏障。畫完之後形狀像一個蝴蝶結，名字由此而來。它源自一九七〇年代的化工與石油產業，後來被航空、醫療與資安領域廣泛採用，核心價值只有一句話：讓「我們的防護到底擋在哪裡」變成一張人人看得懂的圖。
五個元件，各自回答一個問題
整張圖只有五種東西，畫的時候一個一個放進去就好。
| 元件 | 它回答 | 怎麼寫才有用 | 常見的錯 |
|---|---|---|---|
| 頂端事件 | 我們不允許發生的是哪一件 | 寫成「失控的那一刻」 | 寫成後果（例如被罰款） |
| 威脅 | 什麼會直接引爆它 | 一條線一個獨立來源 | 混入間接的環境因素 |
| 後果 | 它發生之後會怎樣 | 寫到能估算金額或影響 | 只寫一項，低估連鎖 |
| 預防屏障 | 擋不擋得住它發生 | 寫成具體、可稽核的機制 | 寫成「加強宣導」這種口號 |
| 減緩屏障 | 發生了能不能少賠一點 | 寫成事後能立刻執行的動作 | 整條線空白，沒人準備 |
右半邊的空白是這張圖最常照出來的問題。多數團隊在防「不要發生」上花了九成力氣，而真正決定損失規模的，往往是事故發生後那七十二小時做了什麼。
畫完之後，逐道屏障這樣審
屏障的數量沒有意義，能不能撐住才有。下面四個自問專治「紙上屏障」。
一、這道屏障是機制，還是提醒。「每季資安教育訓練」是提醒，「外部信件自動標註警語＋附件沙箱掃描」是機制。提醒依賴人的當下狀態，機制不會請假。自問：如果所有人今天都很累，這道屏障還在嗎？
二、它上一次被驗證是什麼時候。備份存在，跟備份還原得回來，是兩種不同的狀態。沒有被實際測試過的屏障，只能算是一個假設。自問：這道防線，最近一次真的演練或抽查是哪一天？
三、有沒有同一道屏障擋著好幾條線。如果三條威脅線上畫的都是同一個系統、同一個人、同一套流程，那看起來的三道防護其實是一道。它一失效，三條線同時打通。自問：把重複出現的屏障圈起來，還剩幾道真正獨立的？
四、每一道後面，有沒有寫上一個人名。沒有負責人的屏障會慢慢腐蝕：權限沒人定期盤點、清單沒人更新、警報沒人看。這張圖真正的產出，其實就是那份「誰負責什麼、多久檢查一次」的清單。自問：這道屏障如果今天壞掉，誰會知道？
一家十二人的軟體公司，把資安畫成一張圖
做 B2B 排班系統，客戶包含幾家連鎖餐飲，資料庫裡有數萬名員工的個資。原本的資安文件是一份採購時複製來的政策範本。
- 頂端事件：客戶的員工個資被未授權者取得。寫成失控那一刻
- 威脅一：釣魚信騙走管理者帳密。屏障：全公司強制雙因素驗證。機制型
- 威脅二：離職員工權限沒收回。屏障：離職清單＋每季權限盤點。當時只有口頭交代
- 威脅三：外包商筆電遺失。屏障：全碟加密＋遠端抹除。外包商不在管轄內
- 右半邊原本：三條後果線上，一道屏障都沒有。完全空白
- 補上之後：72 小時通報流程、對外說明範本、資安保險。事後也有腳本
畫這張圖只花了他們一個下午，最大的收穫出現在右半邊。在那之前，如果真的外洩了，他們完全不知道第一個小時該做什麼、誰打電話給客戶、要不要通報主管機關、什麼時候該說什麼。個資法對特定情形有通報與通知的要求，而他們連誰負責判斷這件事都沒有指定。補上這三道減緩屏障，成本幾乎只有時間。
第二個收穫比較刺人。畫完之後他們發現，三條威脅線上有兩道屏障指向同一個人——那位兼任 IT 的工程師。權限盤點是他做、雙因素設定是他管、遠端抹除的後台也只有他有權限。他請一週的假，兩道屏障實質上就處於無人狀態。他們的修正很務實：把權限盤點改成排程任務加上第二個人複核，並把後台管理權限開給第二個人保管。
還有一個沒有預期到的效果。這張圖後來變成他們跟客戶談資安時的第一份文件。過去客戶問「你們資安怎麼做」，他們會遞出那份範本政策；現在他們直接把蝴蝶結圖攤開來，指著每一道屏障說明由誰負責、多久檢查一次。有位客戶的採購說了一句話：「你們是第一家把事情發生之後怎麼辦也寫出來的。」以上為說明結構用的示意情境，僅供理解框架之用。
三個地方，會讓這張圖變成裝飾品
它的親和力是優點，也是弱點——畫得漂亮跟真的有防護之間，距離可以很遠。
- 它不算機率，也不算量級。圖上每條威脅線看起來一樣粗，但釣魚信一個月來三十封，筆電遺失可能三年一次。蝴蝶結圖不區分這件事，也不告訴你哪一條該優先補。所以它適合當溝通與盤點的工具，需要排序的時候要搭配風險矩陣或FMEA那類會給分數的方法。把它當成唯一的分析工具，很容易平均用力。
- 屏障畫在圖上，不等於它今天還有效。這是實務上最大的落差。一年前導入的規則被某次趕工繞過、離職交接時漏掉一個帳號、外包商換了一批人——這些都不會自動反映在圖上。對策是替每一道屏障加上兩個欄位：負責人與最近一次驗證日期，並且定期把整張圖拿出來重看一遍。沒有這兩個欄位，這張圖的保存期限大約是三個月。
- 頂端事件選錯，整張圖就白畫。把後果誤當成頂端事件（例如寫「被主管機關罰款」）會讓左半邊塞滿所有可能的原因，圖立刻失焦。判準是問一句：這件事發生的那一瞬間，還來得及阻止嗎？來得及的是威脅，來不及的、已經失控的那一點，才是頂端事件。一個頂端事件畫一張圖，別想用一張圖涵蓋整間公司的風險。
右半邊那三條線，決定你能不能繼續開門
圖上有八道屏障，其中三道在畫的時候就已經失效了，只是沒人去看。這是蝴蝶結分析最誠實的用處——它逼你把「我們有做資安」這種模糊的安心感，換成八個具體的、可以被指認的東西，然後一個一個問它還在不在。
對一家小公司來說，右半邊比左半邊更值得花時間。左半邊是機率遊戲，你補得再多也不可能歸零；右半邊決定的是「出事之後你還能不能繼續營業」。同一個外洩事件，有通報腳本與對外說明的公司，跟三天說不出一句話的公司，最後的下場差很多——而兩者的差別，只在事前有沒有花一個下午寫下來。
把這個結構挪到做生意上，長出來的是同一件事。創業版的頂端事件，通常是「唯一那個大客戶走了」。左邊的威脅：窗口換人、對方被併購、我們交付出過一次錯。右邊的後果：現金斷、人留不住、剩下的客戶也開始觀望。多數人只忙著防左邊——加強服務、多陪吃飯，卻從沒在右邊寫過任何東西。P.A.I.N. 之尺上「賠得起多少」那一格，量的正是右半邊的長度。今晚可以做的一件小事：拿一張紙，中間寫下你最不希望發生的那一件事，左邊寫三個引爆它的原因、右邊寫三個後果，然後在六條線上各畫一道你現在真的有的防護。畫不出來的那幾條，就是明天的工作。
關於蝴蝶結分析，常被問到的幾件事
蝴蝶結分析怎麼畫？步驟是什麼？
六步。第一，選定一個頂端事件，寫成「失控的那一刻」而非後果。第二，往左列出所有可能直接引爆它的威脅，一個威脅一條線。第三，往右列出它發生後會造成的後果，同樣一條一條列。第四，在每條威脅線上填入預防屏障——擋住它變成事故的機制。第五，在每條後果線上填入減緩屏障——降低損失的動作。第六，替每一道屏障指定負責人與檢查頻率。第六步最常被省略，也是這張圖有沒有用的分水嶺。
蝴蝶結分析跟瑞士起司模型差在哪？
觀念相通，用途不同。瑞士起司模型是一個比喻，說明事故通常是多層防線的孔洞剛好對齊才發生，它幫你理解「為什麼有防護還是出事」。蝴蝶結是一張可操作的工作圖，把具體的威脅、屏障、後果一一列出來並指派責任。可以把起司模型當成心智模型，蝴蝶結當成填寫的表單——後者是前者的實作版本。
它跟故障樹分析怎麼搭配？
故障樹專攻左半邊，而且挖得更深：它會把一個威脅繼續往下拆成邏輯層次，用或閘與且閘找出最小切集合。蝴蝶結的左半邊通常只列一層，換來的是能同時看見右半邊。實務上的組合是：先用蝴蝶結把全貌攤開來、找出最關鍵的那一兩條威脅線，再對那幾條畫故障樹深挖。反過來做也可以，但容易一開始就陷進細節。
怎麼判斷一道屏障算不算有效？
三個檢查。第一，它是否獨立於它要防的那個威脅——靠同一套系統擋同一套系統的失效，不算數。第二，它是否可稽核——能不能拿出證據證明它上個月確實在運作。第三，它是否會在失效時發出訊號——一道悄悄失效而沒人知道的屏障，比沒有還危險，因為它製造了安全感。三項都通過的屏障才值得畫實線，只通過一兩項的可以畫虛線，提醒自己那裡其實有洞。
十幾個人的小公司，值得花時間畫嗎？
值得，而且成本很低。挑一件「發生了公司會很痛」的事——資料外洩、主要供應商斷貨、關鍵人員離職、金流帳號被盜——一張紙、一個下午、三到四個人一起畫，通常就會挖出兩三個沒被注意到的空白。真正的價值不在圖本身，在於畫的過程中大家會發現彼此以為對方在管的事，其實沒有人在管。畫完之後把它貼在牆上，每季拿下來改一次，這件事的投入產出比在小公司特別高。
想理解多層防線為什麼還是會被穿透，可以看瑞士起司模型；想在事情還沒開始前先預演失敗，接著讀事前驗屍。至於怎麼把每一次失誤都變成組織的資產，這篇拆書值得一讀。
喜歡這篇文章嗎？
每週幫你拆二本好書，把判斷力、好書金句、好問題，直送你的信箱。
不適合你可隨時退訂 · 每週兩封，陪你把書讀進生活。
送出即表示同意我們依隱私權政策使用你的 email。