案例10｜Security Investment Pyramid：Regulation、Organizational Policy、Risk-Based Controls

一、案例定位

本案例依原書第 5 章 Security Investment Pyramid 重組，並非原書正式案例研究。

用三層結構區分不可選擇的合規投入、組織自訂標準與依風險決定的控制，讓 Security Investment 有清楚優先順序。

二、學習目標

掌握 Security Investment Pyramid 三層。
區分 Regulatory Requirement 與 Organizational Policy。
理解 Front-loaded、Scalable、Risk-adjusted Security Investment 原則。

三、案例情境

Dr. Zhang 將 Security Investment 分為三層：Regulatory Requirements 是 Non-negotiable；Organizational Policies 是企業超越最低合規要求自行設定的標準；Risk-Based Controls 則依實際 Risk Profile 投資。原書另強調越早實作 Security Control 越具 Cost-effectiveness，並應能隨 AI Capability Scale。

四、開始資料

層級	原書內容	例子／意義
Regulatory Requirements	Non-negotiable	GDPR、HIPAA、Financial Regulations 等適用要求
Organizational Policies	企業自己設定、可高於法規最低要求	例如所有 AI Decisions 都要求 Human Oversight
Risk-Based Controls	依 Risk Profile 投資	用 Current＋Future Risk 評估 Security Spend
Investment Principle	Front-loaded、Scalable、Risk-adjusted	避免 Security Debt 與後期高昂重工

五、Excel／AI 分析方法

Excel 可將 Security Controls 分為 Regulatory、Organizational、Risk-Based，並記錄 Cost、Risk Addressed、Mandatory／Optional；AI 可整理分類，但不能自行判定法規是否適用。

六、計算結果

原書沒有三層固定預算比例，也沒有提供「exponentially costly」的倍數，因此不能量化應投多少百分比。

七、結果分析與管理解讀

安全投入的核心不是「花越多越好」，而是先滿足不可談判的要求，再實作組織標準，最後依風險配置控制；越晚才補 Security，越容易形成 Security Debt。

八、AI 提問詞

請將我的 Security Controls 分成 Regulatory Requirements、Organizational Policies、Risk-Based Controls，並標示 Mandatory Evidence 與 Risk Rationale。法規適用性不確定時請標示需法務確認。