一句話摘要：
Board Pitching 失敗的原因九成不是數據不夠，而是簡報邏輯用錯了受眾的決策模式，董事會要的是「選項與後果」，不是「原理與過程」。順序放反，再驚悚的數字都救不了一場提案。

為什麼這件事對企業很重要？

資安預算被砍，很多時候不是董事會不重視風險，而是提案者把有限的簡報時間，用在說服自己專業的地方，而非董事會決策的地方。技術背景出身的資安主管，習慣用「問題發現 → 技術原理 → 影響範圍 → 建議方案」的敘事順序，但董事會的思考迴路完全相反，他們要先看到「選項與代價」，才會有耐心聽你解釋為什麼。

第一線 IT/SecOps 心聲： 「主管準備了 40 頁簡報上台報告，結果董事長第 3 分鐘就打斷說『所以你要多少錢、不給會怎樣，直接講』，整份精心製作的架構圖完全沒用上。」

決策層 / 業務單位迷思： 「每次資安上來報告都落落長，我聽不懂技術細節，也沒空聽，我只想知道：不做會怎樣、做了要多少錢、跟別家公司比我們算正常還是落後。」

當簡報結構與決策者的思考節奏不同步，即使風險量化做得再扎實（如 Day 02 的 FAIR/ALE），也會在會議室裡失焦，最終淪為「聽起來很努力，但沒有結論」的無效溝通。

技術觀念與治理機制拆解

Board Pitching 的黃金結構，我稱之為倒金字塔決策簡報法，先給結論與選項，最後才補技術依據，完全顛倒工程師的直覺敘事順序：

【倒金字塔決策簡報 5 分鐘時間分配】

1. 30秒：一句話風險陳述（不做會發生什麼）
2. 60秒：三選項並列（不投資／基礎投資／完整投資）
3. 90秒：財務對照（ALE風險金額 vs 投資金額）
4. 60秒：同業對標（我們落後或領先市場）
5. 60秒：明確要求（需要董事會做什麼決定）

這套結構的核心邏輯是：每一段都要能獨立成句被引用。也就是說，即使董事只聽到中間某一段就打斷提問，你的回答依然完整、依然能收斂到決策點，而不是「請聽我解釋一下背景」。

以下是我實務上常用來對比「工程師簡報邏輯」與「董事會決策邏輯」的差異表：

真實情境（去識別化董事會簡報開場逐字稿）：

【Board Pitching 開場逐字稿節錄】

「各位董事，我用一句話說明今天的議題：
我們的客戶資料庫，目前有 68% 機率在未來 12 個月內
遭遇至少一次可被利用的入侵嘗試，若成功，
預估損失落在 NT$900萬 到 2,200萬 之間。

我準備了三個選項：
選項一，維持現狀，不額外投資，風險維持原樣。
選項二，投資 NT$180萬做基礎強化，風險降低約六成。
選項三，投資 NT$450萬做完整改造，風險降低約九成
並符合明年即將上路的新版個資法規範。

我今天需要各位決定的是，我們要選哪一個選項，
還是需要更多資訊才能決定。」

這段開場只用了不到 30 秒，卻同時交代了風險、選項、金額、法規壓力，而且結尾直接把球丟回董事會，逼出一個「決定」，而非讓會議停留在「了解狀況」的階段。Pitching 的目的從來不是讓對方理解，而是讓對方決定。

實務落地與溝通建議

• For 第一線 SecOps / IT 團隊： 你可以先練習把任何一份技術報告，濃縮成一句 30 字以內的「風險陳述句」交給主管使用，這是訓練簡報肌肉最快的方式，也讓你的技術產出更容易被上層採納。
• For CISO / IT 主管 / 決策者： 上台前務必準備「三選項」而非「單一建議」，因為單一建議容易變成是非題（要或不要），選項式提案則讓董事會有參與決策的空間，通過率明顯更高；同時務必附上同業對標數據，董事會對「我們是否落後市場」的敏感度，往往高於單純的風險數字。

實戰行動清單：

• 將現有技術報告濃縮成一句 30 字內的風險陳述句。
• 準備至少三個投資選項並列，避免落入單一是非題。
• 補上同業對標或監理法規壓力作為佐證。
• 簡報結尾務必明確寫出「請董事會決定的事項」，而非「以上報告完畢」。

懂事掌短評

董事會不缺技術報告，缺的是能幫他們快速做決定的人。把 40 頁的技術架構壓縮成 5 分鐘的選項與代價，不是簡化，而是更高層次的專業。工具會變，但讓決策者聽懂、做出決定的能力，永遠是資安人升遷的分水嶺。

現場挑戰問題

你曾經準備過一場自認很完整的資安簡報，卻在會議室裡完全沒有得到預期回應嗎？回頭來看，問題出在數據不夠，還是敘事順序不對？

【明日 DAY 04 痛點預告】
你以為工程師抗拒資安流程是因為懶惰或不重視風險？真相可能更扎心，是你的流程設計，逼著他們在「準時上線」與「符合規範」之間，只能選一個。明天拆解 DevSecOps 跨部門心理學，找出工程師把資安當敵人的真正根源。