1. 理解网络空间的复杂性

随着网络空间变得越来越复杂，对于那些无法应对日益严峻挑战的组织而言，网络不平等现象可能会加剧。

网络安全正步入一个前所未有的复杂时代。地缘政治紧张局势加剧，新技术以惊人的速度涌现，威胁也在不断演变为日益复杂的攻击手段。与此同时，不断增长的监管要求、错综复杂的供应链漏洞以及日益扩大的网络安全技能缺口，都加剧了企业在保障自身安全方面面临的挑战。如今，网络安全的挑战空前严峻。

1.1 主要差异和干扰

《2024年全球网络安全展望》揭示了严重的网络安全不平等现象，暴露出小型和大型组织在网络安全韧性方面的巨大差距。² 世界经济论坛的《2024年全球风险报告》指出，网络安全不安全是一个跨越多个时间跨度的全球性风险，恶意软件、深度伪造和虚假信息等网络风险威胁着供应链、金融稳定和民主制度。³ 此外，2024年10月发布的《首席风险官展望》将网络风险列为严重影响组织的三大威胁之一。⁴ 高达71%的首席风险官预计，网络风险和犯罪活动将导致组织遭受严重破坏。⁵

2024年，全球遭遇了历史上规模最大的IT系统故障，导致全球航空公司、银行、广播公司、医疗机构、零售支付系统和ATM机等业务中断，估计损失高达50亿美元。⁶ 此次事件凸显了过度依赖少数关键服务提供商所带来的安全漏洞。网络威胁持续升级，全球网络安全展望（GCO）调查（见附录：方法论）显示，72%的受访者认为网络风险有所上升。该调查还显示，网络犯罪的频率和复杂性均有所增加，其特点是勒索软件攻击、人工智能增强型攻击手段（例如网络钓鱼、语音钓鱼和深度伪造）以及供应链攻击的显著增加。

1.2 未来一年的挑战

2025 年的报告指出，一系列相互叠加的因素正在导致网络安全形势日益复杂：

• 地缘政治紧张局势加剧了环境的不确定性。

• 日益增强的一体化和对更复杂供应链的依赖，导致风险形势更加不透明和难以预测。

• 新兴技术的快速普及带来了新的漏洞和新的威胁。

与此同时，国际监管要求的激增也给企业带来了额外的合规负担。所有这些挑战都因技能缺口的扩大而加剧，进一步阻碍了有效管理网络风险的能力。

这些因素共同导致网络环境日益复杂且难以预测，从而对组织机构产生多方面的影响。首先，它加剧了整个网络生态系统的不公平性，造成资源适应能力强的组织与资源匮乏、因而落后的组织之间的鸿沟，从而削弱了生态系统的韧性。这会影响整个生态系统的韧性，因为许多规模较大、发展较为成熟的组织通常依赖于庞大的小型供应商网络，而这些供应商往往发展经验不足，任何影响到这些供应商的事件都可能波及整个供应链。其次，它推动了对网络安全专业技能的需求，进一步加剧了技能缺口。跟上技术进步的步伐需要更多特定技能，而这些技能在网络安全技能市场的需求量更大。与此同时，复杂性也给本已捉襟见肘的网络安全团队带来了更大的压力。

这些挑战要求在组织和生态系统层面全面重新评估网络战略，以应对网络环境固有的复杂性。7 我们需要更广泛地理解网络风险，超越简单的“IT”范畴，从整体业务风险的角度考虑网络风险。

图 1：加剧网络安全复杂性的因素

Image: 世界经济论坛。

在网络威胁日益增长、攻击面不断扩大的背景下，网络防御者正被传统安全思维带来的运营复杂性所困扰。他们难以将数十种不同的安全解决方案整合起来，并在企业网络、云和终端环境中强制执行安全策略。结果，我们最宝贵的网络安全资源——人——不得不手动处理来自日益自动化的攻击警报。为了领先于对手，我们需要重新构想网络安全运营，利用人工智能的力量，并剥夺攻击者的任何技术优势。
– Nikesh Arora，Palo Alto Networks 董事长兼首席执行官

图2：网络安全正变得日益复杂

Image: 世界经济论坛。

2. 解码复杂度

随着网络犯罪分子采用更先进的工具，不断变化的威胁形势要求我们采取创新策略来对抗日益复杂和影响范围更广的攻击。

2.1 网络威胁形势

网络犯罪的演变

勒索软件仍然是企业面临的首要网络风险，45%的受访者在今年的调查中将其列为首要关注点。根据2024年网络安全年会（AMC2024）的与会者预测，勒索软件攻击将出现重大创新。勒索软件即服务（RaaS）的持续普及加剧了这一问题，进一步强化了勒索软件模式的商品化。⁸ 网络诈骗被列为2025年企业面临的第二大网络风险，首席执行官们认为其与勒索软件和供应链中断并列为重大威胁。与此同时，身份盗窃也成为首要关注点，成为首席信息安全官（CISO）和首席执行官们面临的主要个人网络风险。

图 3：组织网络风险排名 – 2025 年

Image: 世界经济论坛。

图 4：组织网络风险——CEO 和 CISO 的观点

Image: 世界经济论坛。

图 5：2024-2025 年个人网络风险观念的变化

Image: 世界经济论坛。

“全球数字平台的快速发展和日益普及，也伴随着网络威胁形势的不断演变。如今，网络犯罪不仅规模不断扩大，而且手段也日益复杂。随着我们数字足迹的扩大，不法分子可利用的攻击面也随之扩大。我们必须携手合作，共同应对这一日益严峻的威胁。互联网的无国界特性要求我们跨越各种司法管辖区的限制开展合作，以确保威胁行为者无处藏身，肆意妄为。”
菲律宾信息与通信技术部部长伊万·约翰·E·乌伊

网络攻击者正在采用新的工具来提高勒索软件和商业电子邮件入侵 (BEC) 等常见攻击方式的有效性和范围。GenAI 工具降低了网络钓鱼和社会工程攻击的成本，使攻击者能够更容易地入侵组织机构。因此，尽管网络攻击的核心特征保持不变，但组织机构可能需要更加重视防范精心设计的网络钓鱼和网络欺诈活动。

网络犯罪即服务 (CaaS) 平台仍然是犯罪领域中一种占据主导地位且快速增长的商业模式，它允许缺乏技术专长的个人或团伙通过购买必要的工具和支持来从事非法网络活动。⁹ 这种模式在犯罪团伙中已相当普遍，并逐渐被应用于其他网络犯罪领域，例如人工智能增强型网络钓鱼攻击。这些平台构成了一项挑战，因为它们降低了参与网络犯罪活动的门槛。尽管在取缔部分此类平台方面已取得进展，但由于 CaaS 平台持续蓬勃发展，执法力度仍然不足。

网络犯罪与有组织犯罪集团的融合

网络诈骗的数量和金额激增，吸引了原本从事暴力犯罪的有组织犯罪集团进入网络犯罪市场。有组织网络犯罪与有组织暴力犯罪集团的互动，正在改变网络犯罪的性质，并极大地加剧其社会影响。

最能体现这一点的或许是，超过22万人被贩运到东南亚的“网络诈骗农场”被迫劳动。¹⁰ 这些农场从事数据采集、散布虚假信息和社会工程等活动，实际上正在成为“犯罪服务提供商”。¹¹ 据全球反诈骗联盟统计，过去一年，诈骗分子在全球范围内骗取了超过1万亿美元，导致某些国家的损失超过了其国内生产总值（GDP）的3%。¹²

传统有组织犯罪集团进军网络犯罪领域，改变了犯罪市场的性质。有组织犯罪集团习惯于造成人身伤害，他们或许不太关心攻击医疗服务等关键社会服务所带来的风险。¹³ 当这种文化转变与网络即服务（CaaS）平台提供的规模相结合时，勒索软件等攻击的目标组织范围就变得更加广泛。¹⁴

网络犯罪随着威胁形势的不断演变而持续发展，其影响范围已远超经济损失，成为威胁我们社会的破坏性力量。我们必须保持警惕，跨部门合作，共同守护数字世界的未来。网络犯罪的影响深远——它可能导致运营中断、破坏信任，甚至渗透到我们的运营技术和关键基础设施中。在未来一年，我们不仅要优先考虑防御，更要积极主动地系统性打击这些犯罪网络，以此作为我们共同努力的一部分，确保网络韧性，保护我们的数字未来。
——Fortinet创始人、董事长兼首席执行官Ken Xie

人工智能如何成为网络犯罪的催化剂

基因人工智能（GenAI）工具正在重塑网络犯罪格局，使犯罪分子能够改进其作案手法，并实现技术自动化和个性化。47%的组织表示，他们对基因人工智能最担忧的是攻击者能力的提升，网络犯罪分子正在利用人工智能的高效性来自动化和个性化欺骗性通信。约42%的组织在过去一年中遭受过成功的社交工程攻击，随着人工智能技术的进步和恶意利用，这一数字只会继续上升。

图 6：与 GenAI 相关的网络安全问题

Image: 世界经济论坛。

网络犯罪分子正利用基因人工智能（GenAI）来逼真地模仿组织高层领导的沟通风格。这些工具利用来自社交媒体、公开声明或泄露文件等来源的上下文数据，使社交工程攻击更加复杂且难以识别。基因人工智能还支持攻击者使用更多语言开发可信的社交工程攻击，这有助于威胁行为者以更低的成本攻击更多国家/地区的更多目标人群。

当与 GenAI 结合使用时，攻击者可以创建逼真的、模仿高层领导的声音、视频、图像和写作风格的虚假信息。如果这些深度伪造内容能够与目标员工进行长时间互动，则可能被用来欺骗组织或帮助攻击者访问其 IT 系统。埃森哲的研究指出，2023 年第一季度至 2024 年第一季度期间，暗网论坛上与深度伪造相关的工具交易量增长了 223%。¹⁵ 此外，在 2024 年网络安全年会上接受调查的首席信息安全官 (CISO) 中，有 55% 的人表示，深度伪造技术对其组织构成中等到严重的网络威胁。由于员工仍然是深度伪造攻击以及网络钓鱼活动的主要目标，因此组织需要重新思考如何培训和保护从普通员工到高管和董事会成员的所有人员，使其了解新的网络犯罪模式。

作为全球领导者，我们视网络挑战为不仅仅是威胁，更是一次真正改变我们保护民众和企业方式的契机。恶意网络活动对最弱势群体造成了重大损失，因此我们必须紧急推进生态系统层面的解决方案，将从小型本地企业到大型跨国公司的所有参与者凝聚在一起。通过前所未有的合作，我们可以在2025年扭转局面，实现系统性变革，并构建惠及所有人的数字化防御体系。
——菲利普·雷纳，安全与技术研究所首席执行官兼创始人

最后，GenAI降低了网络犯罪领域的准入门槛，降低了成本和所需专业知识。GenAI有望简化从漏洞利用到恶意软件部署的整个流程，从而扩大此前完全依赖人工能力的行动规模。通过了解网络威胁形势的复杂性以及网络犯罪分子的行为和动机，组织可以更好地评估自身面临的风险，并制定和优先考虑安全策略，以增强抵御此类威胁的能力。

“当今网络威胁的复杂性和不断演变的犯罪手法要求采取统一的应对措施。这种应对不仅需要全球执法部门的协调配合，还需要网络安全专家贡献他们的才能、经验和专业知识。2024年，国际刑警组织网络犯罪局支持了多项区域性和全球性网络犯罪行动，这些行动的成功在很大程度上得益于上述合作。展望2025年，我们的团队将继续寻求新的合作伙伴关系，并加强现有合作关系，以期在打击网络犯罪活动方面发挥更大的作用。”
——尼尔·杰顿，国际刑警组织（INTERPOL）网络犯罪局局长

案例研究1：旧骗局与新技术——奥雅纳

Arup公司因一起重大诈骗案而登上新闻头条，但原因却令人唏嘘。“诈骗分子利用深度伪造技术诱骗员工支付数百万美元”——其中一条新闻标题如此写道，但事情的真相远比这复杂得多。

显然，媒体关注的焦点在于，诈骗分子利用篡改的视频和语音邮件，让人们误以为自己是在与真正的同事交谈。但正如奥雅纳首席信息官罗伯·格雷格所指出的，有趣的是，犯罪分子并没有入侵公司的IT网络或扰乱业务运营。相反，他们利用“技术增强型社会工程学”来诱骗人们进行交易。

这是一起精心策划的复杂攻击，使用了网络钓鱼、语音钓鱼和短信钓鱼等手段，并辅以伪造文件和营造虚假的紧迫感。但其本质仍然是披着现代外衣的老式支付诈骗。

事件发生后，该公司对其系统和流程的各个方面进行了全面审查。其中一项重要教训是，仅靠网络安全是不够的。构建真正的韧性需要一种批判性评估文化，以及在整个组织内识别潜在风险信号的能力。

但最重要的教训是，行业、警方和公共机构都需要找到更好的方法来共享信息，挫败诈骗分子。

网络犯罪之外：关键基础设施和人类安全面临的新兴威胁

“随着新兴技术重塑网络安全格局，网络安全不再局限于中央情报局提出的三位一体原则：信息的保密性、完整性和可用性。网络安全现在涵盖了人类安全，需要解决系统遭受攻击或入侵时对人们生命构成的真正风险。”
——迪拜电子安全中心网络安全治理风险管理部主任布什拉·阿尔布洛希

不断升级的地缘政治紧张局势和日益复杂的网络威胁对关键基础设施构成重大风险，这些基础设施依赖于互联设备网络和传统系统。乌克兰持续不断的冲突凸显了这些脆弱性，能源、电信、供水和供暖等关键部门屡遭网络和物理攻击。¹⁶ 这些攻击通常旨在破坏控制系统和窃取数据，凸显了运营技术 (OT) 相关的关键风险。随着网络威胁的不断演变，它们不仅威胁系统功能，还危及人身安全，加剧了关键基础设施中断的严重性和后果。一些需要重点关注的高风险领域包括：

水利设施

针对供水设施的网络攻击对公共安全、基础设施和国家安全构成重大风险。美国网络安全和基础设施安全局 (CISA) 在一份工具包中概述了这些风险，重点强调了供水设施中使用的运营技术 (OT) 系统中的漏洞，例如远程访问点和过时的软件。¹⁷ 网络犯罪分子可以利用这些漏洞破坏水处理流程，造成潜在的污染、服务中断或其他危险后果。2024 年 10 月发生的一起网络攻击就是此类威胁的一个显著例子，当时美国最大的供水公司遭到攻击，导致运营中断，并引发了人们对关键基础设施安全的担忧。¹⁸

生物安全

技术的飞速发展重塑了生物威胁格局，生物安全问题日益凸显。世界卫生组织（世卫组织）警告称，人工智能、网络攻击和基因工程的进步可能对全球生物安全构成灾难性风险。¹⁹ 世卫组织2024年的一份报告强调了网络威胁可能损害生物安全的几种方式，包括访问敏感数据或研究、破坏实验室安全系统、窃取或破坏与生物安全相关的信息以及出于竞争或有害目的进行间谍活动。²⁰ 此外，网络攻击可能导致关键实验室系统瘫痪，中断运行并造成数据完整性损失，从而延误关键研究或破坏安全规程。2024年，南非和英国各有两家实验室成为网络攻击目标。²¹ 这些漏洞凸显了在生物安全战略中采取先进网络安全措施以应对这些日益增长的风险的必要性。

与此同时，基因组数据的敏感性也带来了新的风险，这源于其独特的特性，例如能够识别个人身份并揭示其亲缘关系。²² 这些特性使基因组数据面临诸多威胁，例如看似匿名的数据集可能被重新识别、未经授权的访问导致隐私泄露以及潜在的滥用。2023年底，一家基因检测公司的数据泄露事件导致近700万人的数据泄露，这已使人们更加关注这些风险。

随着基因组学作为关键领域不断发展，保护敏感生物数据、互联系统和用户变得至关重要。保护生物信息学平台以及防止生物技术应用中的滥用至关重要。这包括保护数据分析安全，以及保障更广泛的互联系统生态系统的安全，从而降低各领域的风险。随着这些新兴技术的不断发展，对生物信息学、其分析和网络物理系统强大安全性的需求只会增加，这将给网络安全领导者带来新的韧性挑战。
——霍达·阿尔·哈齐米，纽约大学阿布扎比分校网络安全中心主任

通信基础设施

从大规模国家支持的网络间谍活动（通过电信基础设施）到针对卫星和海底电缆的攻击，地缘政治紧张局势持续通过对关键通信基础设施日益增多的攻击而显现出来。23

继 2022 年 ViaSat 卫星网络遭受攻击，凸显了网络攻击对欧洲军事通信和平民生活的影响之后，在乌克兰冲突的背景下，又记录了 124 起针对航天领域的网络攻击事件。24 随着对航天技术的依赖性日益增强，航天领域已成为间谍活动、作战干扰和武器化的主要目标。

海底电缆对全球数据流动和经济交流至关重要。其战略地位使其极易受到监控和破坏，尤其是在防御措施有限和地缘政治紧张局势加剧的情况下。自乌克兰冲突爆发以来，波罗的海发生的一系列事件凸显了保护这些关键基础设施的迫切需要。²⁵

气候与能源

随着全球气候危机日益加剧，其对网络安全的影响也日益显著。现代科技高度依赖能源消耗，使得电网成为网络犯罪分子的极具吸引力的目标。与此同时，随着社会向可再生能源技术转型，能源系统正经历着深刻的变革。至关重要的是，这些新兴能源系统的设计必须将安全性作为首要考量；否则，在应对这场迫在眉睫的生存危机时，可能会引入漏洞，从而削弱新型能源基础设施的可靠性，并对经济和社会造成深远的影响。

2.2 智能时代的安全

鉴于人工智能的日益普及，其系统安全性（或安全性缺失）可能产生深远影响。我认为，人工智能的开发和部署应当以安全、可靠和值得信赖的方式进行，以造福公众。推进这一目标需要采取包容各方、多边合作和多方参与的方式。人工智能等数字技术具有无国界性和全球性。即使面对持续不断的地缘政治紧张局势以及在关键和新兴技术领域的战略竞争，我们也必须合作共赢，共同保障人工智能的安全。
——新加坡网络安全局（CSA）网络安全专员兼首席执行官许智文

“由人工智能、量子计算和区块链的飞速发展所驱动的智能时代，正在实时地改变着一切。”智能时代的到来带来了前所未有的机遇和风险；保障这些变革性技术的承诺，其安全性的重要性怎么强调都不为过。²⁶

人工智能-网络悖论

新兴技术为企业提升效率和优化运营提供了巨大机遇。因此，许多企业正在积极制定战略，将这些技术整合到自身的基础设施中。然而，与这些底层技术或其在企业中的实施相关的网络风险往往没有得到应有的重视和考虑。

虽然人工智能并非新生事物，但新一代人工智能的出现加速了全球各组织机构对人工智能的采用。各组织机构正在测试或采用人工智能技术，以提高效率并获得竞争优势。然而，他们并非总是制定安全实施的策略和流程。在采用新技术时，组织机构必须评估其带来的网络风险，并实施相关的网络安全控制措施，以确保运营和更广泛的业务网络韧性。

根据GCO的调查，66%的组织预计人工智能将在未来一年对网络安全产生最显著的影响。然而，仅有37%的受访者表示已制定流程，在部署人工智能工具之前评估其安全性。这导致组织可能在未充分考虑相关网络安全风险及缓解措施的情况下，实施或采用人工智能系统（无论该系统是内部开发还是从第三方供应商处采购），从而可能在其IT环境中引入漏洞。

图 7：专业人士预测的 2025 年网络安全漏洞

Image: 世界经济论坛。

对于规模较小的组织而言，这个问题尤其令人担忧，其中69%的组织缺乏足够的保障措施来安全部署人工智能技术。例如，这些措施可能包括确保所有与人工智能基础设施相关的新资产（设备和软件）都已登记在册，确保训练数据的安全，以及监控人工智能系统的行为以便及时发现篡改行为。²⁷ 这加剧了网络安全不平等，因为资源匮乏的实体更容易受到不安全人工智能模型风险的影响。这也增加了这些规模较小的组织所处生态系统的整体脆弱性。

要安全采用人工智能，必须采取整体性方法：毕马威会计师事务所的一项调查显示，74%的全球首席执行官认为，构建强大的网络安全文化是安全将人工智能融入组织的核心。²⁸

图 8：规模较大的组织更有可能制定人工智能安全程序。

Image: 世界经济论坛。

“目前使用的LLM（生命周期管理）系统本身就存在安全隐患，而且针对可能出现的对抗性攻击和供应链破坏，并没有采取足够有效的措施。在这些攻击途径得到解决之前，将这些模型集成到关键基础设施中是危险的，需要重新评估。”
——Signal公司总裁梅雷迪思·惠特克

方框 1：人工智能与网络安全：平衡风险与回报

世界经济论坛于2023年6月发起成立了人工智能治理联盟，旨在为人工智能系统的负责任设计、开发和部署提供指导。该联盟的报告《人工智能与网络安全：平衡风险与回报》为高层领导者提供了一系列问题，帮助他们定义并传达在人工智能应用及其相关网络安全决策中需要考虑的关键参数：

1. 是否已设定人工智能技术的适当风险承受能力，并且所有风险所有者是否都理解该风险承受能力？

2. 在考虑新的人工智能项目时，是否对风险与回报进行了适当的平衡？

3. 组织内部是否有有效的流程来管理和跟踪人工智能项目的部署？

4. 是否有明确的组织特定漏洞和与使用或采用人工智能技术相关的网络风险的认识？

5. 组织内部是否有明确的利益相关者需要参与评估和减轻人工智能应用带来的网络风险？

6. 是否有保障流程来确保人工智能部署符合组织更广泛的组织政策以及法律和监管义务——例如，与数据保护或健康和安全相关的义务？

人工智能在网络防御中的应用

人工智能有望彻底改变网络威胁防御方式。如果防御者能够跟上人工智能集成的步伐，就能利用先进工具快速发现并应对危险，从而占据优势。简而言之，人工智能可以增强人类能力，使网络防御更加强大高效。

人工智能正在通过减少繁琐的工作和释放人力来变革网络安全，使系统能够处理海量数据，从而实现早期威胁检测和发现隐藏风险。这项技术可以增强威胁警报的分类、优先级排序、异常检测和模式识别能力。它还可以对漏洞进行分类、自动修补、加速数据处理和管理配置。²⁹ 此外，人工智能可以作为安全顾问——例如“人工智能首席信息安全官”（AI-CISO）或“虚拟首席信息安全官”（Virtual CISO）——提高软件安全性并优化决策，从而最大限度地利用有限的资源。鉴于人工智能代理、资源优化和能够帮助防御者实现这一目标的自主助手方面的最新进展，³⁰

大型语言模型 (LLM) 还提供了收集更丰富情报的机会，从而增强威胁情报周期。人工智能模型可以分析和分类攻击者提出的问题类型、他们的交互模式，甚至可能识别特定群体或个人的语言标记。这些数据可以反馈到威胁情报系统中，通过改进内容分析和分类阶段，优化检测算法并为网络安全团队提供切实可行的洞察。³¹ 在人工智能和机器学习的支持下，防御者可以利用持续监控和实时可见性，更好地识别和应对软件漏洞，例如零日威胁和漏洞利用。使用行为分析、网络分段和机器学习的高级威胁检测系统可以遏制潜在的安全漏洞，并限制威胁行为者在受损环境中的持久存在。

将 LLM 集成到蜜罐中，代表了基于欺骗的网络安全领域的新前沿。32 通过将 LLM 嵌入到这些诱饵环境中，防御者可以创建复杂、动态的交互，以实时适应敌对行为。33 这项创新的核心在于 LLM 能够模拟类似人类的反应，从而使蜜罐对攻击者更具说服力。

与静态系统或预配置响应不同，LLM（生命周期管理）能够生成符合上下文的、细致入微的对话，对攻击者的查询做出恰当的回应，从而延长交互时间，并误导攻击者，使其误以为自己正在与合法系统交互。这创造了一种环境，恶意行为者会在不知不觉中暴露其意图、方法甚至操作细节，同时还以为自己正在取得攻击进展。一个值得关注的项目是SPHINX，该项目由欧盟2020年研究与创新计划资助，旨在引诱攻击者，从他们的攻击中学习，并部署安全控制措施来应对这些攻击。人工智能蜜罐使用先进的算法来处理攻击数据，以进行人工智能检测和管理。³⁴

LLM（低级风险管理）可以帮助创建逼真的“诱饵”资产，例如伪造凭证、合理的系统配置或与攻击者觊觎的敏感数据相匹配的生成内容。这些由 LLM 支持的资产有助于维持真实性的假象，从而增加攻击者在蜜罐中停留更长时间的可能性，为防御者争取更多响应时间。

应对量子威胁

量子计算释放了前所未有的计算能力，带来了巨大的经济和科学机遇。然而，量子计算的进步也加速了安全风险的出现，尤其是破解公钥加密的可能性。公钥加密对于保障网上银行和政府通信等数字系统的安全至关重要。尽管量子计算完全发挥其潜力的时间表尚不明朗，但相关的量子安全风险已经显现。

在2024年网络安全年会的一个焦点小组讨论中，40%的组织表示，他们已开始采取积极措施，进行风险评估以了解量子威胁。许多组织对“先收集后解密”等威胁日益警惕，恶意行为者先收集加密数据，计划在量子计算能够破解现有加密技术后再进行解密，这对当前和未来的数据安全都构成了重大挑战。然而，一些组织仍在等待行业标准、指南和政府法规的支持。

为推动行动，各方已采取多项措施。七国集团网络安全专家组列出了一系列金融体系安全风险，并向各国政府和中央银行提出了关键建议，同时呼吁采取行动。³⁵ 世界经济论坛与金融行为监管局合作，也制定了相关建议，旨在为全球监管程序提供参考，以确保在量子安全方面采取协作和全球协调一致的方法。³⁶

最近，美国国家标准与密码研究所 (NIST) 发布了三项备受期待的后量子密码 (PQC) 算法标准，旨在抵御来自量子计算机的网络攻击。37 除了 PQC 标准之外，其他技术——量子密钥分发 (QKD) 和量子随机数生成 (QRNG)——也引起了人们的关注，因为它们可以单独或组合使用，帮助减轻量子对公钥密码构成的风险。

成功的转型始于强大的网络安全基础和清晰的量子安全准备战略，这强调了各组织今天就开始量子安全准备之旅的必要性。

2.3 日益增长的生态系统相互依存性和风险

自推出以来 全球网络安全展望 2022年的调查显示，企业和网络安全高管对网络生态系统的现状持续感到担忧。在2024年网络安全年会上，网络安全专家指出，互联供应链中的漏洞是导致网络空间日益复杂化的主要原因。今年的展望报告将分析错综复杂的供应链依赖性、地缘政治风险、不平等现象和监管如何影响生态系统的网络韧性。

随着数字化进程的推进，网络威胁日益复杂，尤其是在第三方供应链和更广泛的生态系统之间相互依存关系日益增强的情况下。网络攻击者只需一次成功就能造成重大损失，而我们涵盖组织、供应商和全球网络的集体防御体系必须始终保持强大和协调一致。为了有效保障为全球数十亿人提供能源的基础设施，我们需要所有利益相关者在本地和国际层面开展更紧密的合作，提高透明度，以降低供应链和数字生态系统中的风险。
——阿明·纳赛尔，沙特阿美公司总裁兼首席执行官

图 9：网络安全威胁给组织带来的挑战

Image: 世界经济论坛。

供应链相互依存关系的复杂性

供应链日益复杂，而企业对其控制力有限，这已成为高管们关注的焦点，并从生态系统角度来看，这已成为首要的网络风险。今年，54%的大型企业将供应链挑战视为实现网络韧性的最大障碍。相比之下，第三方风险管理并未跻身小型企业最关注的五大问题之列。

表1：组织在网络韧性方面面临的主要挑战

Image: 世界经济论坛。

根据GCO的调查，这些担忧大多集中在第三方或供应商引入的软件漏洞以及利用供应链薄弱环节的网络攻击（例如恶意软件传播）上。继美国第14028号行政命令《改善国家网络安全》强调软件物料清单（SBOM）之后，其他标准和法规，例如支付卡行业数据安全标准（PCI DSS）和欧盟的《网络弹性法案》，也引入了与SBOM相关的要求，以便组织更好地理解、管理和保护其应用程序。

另一个重要问题是供应链相互依存关系的不确定性。整个生态系统缺乏透明度，以及对供应商安全成熟度缺乏监管，是企业面临的主要担忧。在2024年网络安全年会的一个焦点小组讨论中，41%的参与者认为，提高第三方依赖关系的透明度是提升供应链网络韧性的首要任务。企业越来越难以对第三方供应商（更不用说第四方和N方供应商）强制执行安全标准，因为他们已经依赖于这些供应商的服务。GCO的调查也证实了这一点：48%的受访首席信息安全官(CISO)表示，确保第三方遵守其安全要求是有效实施网络安全法规的主要挑战。此外，不同行业的基准安全要求有时存在差异，这使得在整个供应链中强制执行更严格的要求变得更加困难。

此外，各组织越来越依赖于少数几家关键供应商，这些供应商已成功确立了自身在各自领域的领先地位。然而，风险在于这些供应商可能成为系统性故障点，任何通过这些供应商引入的漏洞不仅会对其庞大的客户群产生连锁反应，还会对整个生态系统造成波及。由于生态系统的复杂性，网络攻击或故障可能会造成影响深远且难以预料的后果。2024 年就发生过这样一起事件：CrowdStrike 的云安全软件更新出现故障，导致全球 IT 系统瘫痪，影响了世界各地的企业和政府机构。

“在当今互联互通的环境中，构建韧性至关重要，因为供应链的复杂性会带来无数网络安全挑战。狡猾的攻击者会利用第三方漏洞，因此协作必不可少。通过强制执行标准、利用威胁情报并为各种规模的组织配备更有效的网络安全解决方案，我们可以弥合差距、强化生态系统，从而阻止数据泄露，同时保障业务连续性和数字信任。”
——乔治·库尔茨，CrowdStrike创始人兼首席执行官

同样，云服务提供商在增强现代生态系统的安全性方面发挥着至关重要的作用，其提供的安全态势远超许多组织自身所能达到的水平。然而，单个组织往往对与云服务相关的网络风险控制有限，必须将其纳入更广泛的战略中进行管理。许多组织之所以采用云技术，是因为它具有成本效益，这就要求他们对共享责任模型有清晰的理解，因为在这种模型中，角色和责任有时会重叠。随着组织将越来越多的工作负载迁移到对配置控制有限的软件即服务 (SaaS) 平台，风险集中化现象日益严重。对主要提供商的勒索软件攻击可能会波及数千家依赖该平台的企业，导致其运营一夜之间瘫痪。尽管这些提供商非常重视系统弹性，但没有任何系统是绝对万无一失的。企业必须投资于自身的业务弹性战略，确保拥有不完全依赖 SaaS 合作伙伴的应急预案。

为了应对这些担忧，一些组织选择从自身做起，采取切实可行的解决方案，包括重新评估整个端到端供应链的风险敞口，并强制执行安全的软件开发实践，例如完善的风险评估和依赖关系管理。另一些组织则强调标准化和认证对于提升数字生态系统中服务的信任度至关重要，同时他们也认识到，经济处罚最有可能起到有效的激励作用。总而言之，这反映出这样一种观点：虽然安全软件开发的责任应该明确界定并保持透明，以确保开发人员承担责任，但首席信息安全官（CISO）必须继续在其环境中构建足够的弹性。为了支持这项工作，欧盟《网络弹性法案》于2024年下半年生效，旨在提升欧盟范围内所有包含数字元素的产品的网络安全。

地缘政治风险对生态系统复杂性的影响

全球网络安全办公室 (GCO) 的调查发现，近 60% 的受访者表示，他们的网络战略受到地缘政治紧张局势的影响。此外，2024 年持续不断的冲突也对直接冲突地区以外的地区产生了影响，18% 的组织调整了贸易或运营政策，17% 的组织完全停止了在某些地区的业务或运营，16% 的组织报告更换了供应商。

图 10：地缘政治紧张局势对网络安全战略的影响

Image: 世界经济论坛。

日益令人担忧的是，国家行为体对网络犯罪领域的威胁正在蔓延，国家行为体越来越多地依赖网络犯罪领域的工具和手段，反之亦然。⁴⁰ 在为撰写本报告而进行的访谈中，网络安全高管们一致认为，地缘政治紧张局势正在重塑网络安全格局。一位首席信息安全官强调，国家支持的攻击者不仅日益将目标对准政府，还试图扰乱经济、破坏关键基础设施并在全球系统中制造混乱。如今，企业不仅面临直接攻击，还可能成为附带损害，因为对手会利用供应链和共享服务中的漏洞。在这种环境下，了解地缘政治动态对于有效的长期风险管理至关重要。

首席信息安全官们意识到当前局势的动荡，并确认没有应对地缘政治风险的标准方案。相反，当前形势要求回归传统的风险管理方式，首先从业务影响的角度审视问题，然后再管理并最终接受任何剩余风险。因此，安全部门与业务部门的紧密协作对于应对当今由地缘政治风险带来的复杂性至关重要。

案例研究2：巴黎奥运会的网络安全保障

确保巴黎奥运会的网络安全是法国政府的首要任务，为此进行了长达两年的准备，包括大规模审计、渗透测试和网络危机管理演练。最终，尽管网络攻击数量显著——超过以往任何一届奥运会——但鲜有攻击成功，也没有任何攻击能够扰乱奥运会的正常进行或破坏关键基础设施。

然而，尽管我们为奥运会实施的模型运行良好，并且可以应用于类似场景，但仍有两点需要注意。首先，该模型主要针对某些关键实体，无法推广至整个社会。其次，地缘政治紧张局势加剧，网络攻击的数量和复杂性也将随之增加。因此，必须继续推进网络安全防范，努力构建集体网络安全韧性。虽然法规和政府是解决方案的一部分，但它们无法解决所有网络安全问题。每个人都应为应对这些挑战贡献力量，因此，有必要共同探索提高公众意识和增强全社会参与度的新途径。

文森特·斯特鲁贝尔
法国国家网络安全局局长

通过监管增强生态系统韧性

监管是提升网络韧性的重要驱动力。在接受调查的首席信息安全官 (CISO) 和首席执行官 (CEO) 中，78% 的受访者表示，实施新的网络安全法规的主要动机是提升组织的安全态势并降低网络风险。在应对系统性生态​​系统风险时，CISO 们强调了法规在为组织网络安全设定最低要求方面的重要性，这有助于降低风险并增强客户信任。与此同时，全球网络安全办公室 (GCO) 的调查显示，三分之二的受访者指出，全球范围内网络安全法规的激增显著增加了复杂性，企业不得不应对日益分散的区域和全球合规要求。

图 11：监管对降低组织网络风险的影响

Image: 世界经济论坛。

在欧盟，NIS2指令显著提高了网络安全标准，要求加强事件报告、更严格地监管供应链并提高董事会的问责制。在大西洋彼岸，美国正在执行CISA的《关键基础设施网络事件报告法案》（CIRCIA），强制要求及时披露网络事件。在亚太地区，日本和新加坡等国家正在加强其网络安全法律，日本的《个人信息保护法》（APPI）和新加坡的《网络安全法》强化了关键基础设施运营商的合规要求。此外，诸如《数字运营弹性法案》（DORA）、欧盟的《通用数据保护条例》（GDPR）、尼日利亚的《数据保护条例》（NDPR）和巴西的《通用数据保护法》（LGPD）等举措，将监管审查扩展到各个行业和各个国家。

这些法律框架虽然强制规定了重要的网络安全措施，但也带来了一些挑战，例如如何管理重叠的要求、如何在多个司法管辖区实现合规以及如何应对不同的执法时限。受监管行业和非监管行业之间的界限进一步加剧了网络安全韧性的复杂性，因为监管较弱的行业更容易成为攻击防御更严密实体的渠道。为了在这个监管日益严格的环境中蓬勃发展，各组织必须采取全面的风险管理方法，将网络安全与治理结构相协调，并促进跨境合作。

全球网络安全办公室 (GCO) 的调查显示，各组织在实施现有网络安全法规方面面临诸多挑战，超过 69% 的受访者认为法规过于复杂或数量过多，或者难以核实第三方供应商是否符合相关要求。随着监管压力不断加大，人们担心大量更新或新出台的法规会导致企业出现监管疲劳，从而降低法规的预期效力。虽然法规设定了基础标准并将网络安全提上日程，但错综复杂的“监管拼图”可能会分散企业制定定制化、基于风险的策略的精力。韧性不仅需要满足监管要求，更需要超越监管要求。为了应对这些挑战，迫切需要公私合作，以实现全球监管的协调统一，并确保网络安全标准在不同地区的适用性。这将有助于提高标准的一致性，同时保持灵活性，以适应不断涌现的威胁和技术。

“如今，欧洲与世界其他地区一样，面临着日益复杂的网络威胁形势，以及不断加剧的地缘政治不稳定。在网络安全领域，志同道合的伙伴之间的团结比以往任何时候都更加重要。欧盟的网络安全立法旨在建立一个基于信任与合作的健全法律框架，以促进国际参与者之间的合作——这与世界经济论坛网络安全年会的目标不谋而合。”
——德斯皮娜·斯帕努，欧盟委员会网络安全协调员

不平等是生态系统风险的驱动因素

与2024年报告相比，全球网络安全经济中的系统性不平等现象进一步恶化。 全球网络安全展望 2025 调查发现，规模较小的组织仍然感受到这种不公平现象带来的压力，35% 的组织表示其网络韧性不足。

图 12：小型组织在确保网络韧性方面举步维艰，而大型组织则稳步取得进展。

Image: 世界经济论坛。

另一方面，认为自身网络韧性不足的大型组织数量几乎减少了一半。然而，在一个日益互联的生态系统中，整个生态系统的韧性往往取决于其最薄弱的环节。

规模更大、韧性更强的公司更有动力去支持规模较小、能力较弱的组织，从而增强整个生态系统的韧性。在2024年网络安全年会上，71%的网络安全领导者表示，小型组织已经达到一个临界点，它们已无法有效应对日益复杂的网络风险。这凸显了采取集体行动的迫切性，以及将网络安全视为战略领导要务的必要性。领导层的参与和监督可以成为增强整体韧性的关键因素。调查显示，在62%的高韧性组织中，董事会成员会定期收到来自内部或外部第三方的最新网络安全事件、趋势、漏洞和风险预测信息；而低韧性组织中这一比例仅为29%，形成鲜明对比。

案例研究3：借助国家公共基础设施，助力瑞士小型组织发展

四分之三的瑞士公司年收入不足五十万瑞士法郎。问题在于，我们如何才能切实帮助这些公司投资安全，以及如何为他们提供相对安全的基础设施？许多中小企业资源不足。我们与一家瑞士物流公司开展了试点项目，帮助他们管理供应链风险。通过与独立的国家网络安全测试机构 (NTC) 合作，我们正在测试一些具有公共利益但目前尚无直接经济效益的数字产品。我们目前正在启动一个项目，该项目旨在审查政府机构使用的开源软件，并向开源开发者提供反馈，以修复我们发现的问题。此外，我们还在投资能力建设，帮助董事会提出正确的问题，因为我们相信，我们需要在企业高管中培养一种文化，让他们思考韧性问题，并将供应链纳入整体风险评估之中。

弗洛里安·舒茨
瑞士国家网络安全中心（NCSC）主任

除了日益扩大的大型组织与小型组织之间的差距之外，更全面地看待网络安全不平等问题至关重要。网络安全不平等指的是拥有保护其数字环境所需资源和能力的组织与缺乏此类资源和能力的组织之间的差距。这种差距涵盖多个重要领域，包括基础设施、财务资源、治理框架以及构建强大网络安全态势所需的技能型员工。鉴于此，我们不仅需要考虑大型组织与小型组织之间的差异，还应从另外两个角度进行探讨。

1. 发达经济体与新兴经济体： 世界经济论坛发布的《2024年全球网络安全展望》显示，网络安全不平等现象与其他全球发展指标的趋势相符，全球南方国家自我报告的具备网络韧性的组织数量最少，而全球北方国家最多。最新数据也凸显了这种差距。在欧洲和北美，只有15%的组织对本国应对针对关键基础设施的重大网络事件的能力缺乏信心，而在非洲和拉丁美洲，这一比例分别高达36%和42%。在准备不足的地区，对电网或港口等关键基础设施的成功攻击可能引发大范围的混乱，对经济稳定和国家韧性造成严重后果。

图 13：网络韧性的区域差异

Image: 世界经济论坛。

2. 行业差异： 按行业观察企业安全态势，金融业最为先进。这主要归功于该行业的运营环境。例如，美国和欧洲针对行业和地域制定的监管法规，通过合规义务推动了网络安全的发展。相比之下，制造业等行业在构建网络韧性文化方面仍处于起步阶段。资源限制和基础设施不足进一步加剧了这种差距，尤其是在公共部门。调查结果显示，38%的公共部门受访者认为其网络韧性不足，而私营部门中大型企业中持此观点的仅占10%。

图 14：公共部门与中大型组织对网络韧性的信心

Image: 世界经济论坛。

网络安全人才短缺的这些方面也会加剧劳动力市场面临的挑战。如今，全球对网络安全专业人员的需求远超供给。虽然大型组织，尤其是发达市场的组织，自然更有能力利用这些稀缺资源，但劳动力短缺问题远不止于组织和地域上的差异。某些行业——例如教育、政府和医疗保健，以及中小企业——受网络安全专业人员短缺的影响尤为严重。

在国家机构和卓越中心的推动下，巴西在网络安全成熟度方面取得了显著进展。为了解决网络不平等问题，增强网络韧性并保障国家基础设施安全，新成立的国家网络安全委员会（CNCiber）正在制定新的国家网络安全战略（E-Ciber），并提议设立一个国家治理机构。E-Ciber 将优先保障关键服务的韧性，促进跨部门合作，并加大对网络安全教育的投入；而国家治理机构将负责协调、监管和监督国家网络安全工作，从而确保网络生态系统拥有更佳的安全态势。
——安德烈·路易斯·班迪耶拉·莫利纳，巴西信息与网络安全部长

案例研究 4：毕马威如何帮助英国外交、联邦和发展事务部 (FCDO) 创建一个更安全、更便捷的数字世界

2020年至2024年间，毕马威为英国历史上规模最大的海外网络安全能力建设项目提供了支持。英国外交、联邦和发展事务部（FCDO）希望改善五个关键发展中市场的数字接入和安全状况。其中一个重点是帮助这些市场提高网络安全意识、安全性和韧性。

该项目由来自六个国家的21家供应商组成的联盟负责实施。在毕马威会计师事务所的协调下，他们共同努力应对网络威胁对发展中国家造成的重大影响，并防止对公民和企业造成损害。项目内容包括：培训法官以改进网络犯罪诉讼；加强小型企业的防御能力；制定国家网络安全学校课程；培训政府工作人员；以及设立新的数据保护专员办公室。在巴西，相关资料覆盖了多达1.2亿人。在尼日利亚，一个项目覆盖了超过10%的人口。

该计划产生了巨大而可持续的影响，其制定的蓝图目前正在被考虑推广到其他市场，包括乌克兰和印度。

2.4 网络韧性现状

网络韧性——定义为组织最大限度地减少重大网络事件对其主要目标和目的的影响的能力——需要持续的警惕和规划。41 组织认识到 100% 的安全是不可能实现的，因此必须制定适应性强的策略，不仅要提高自身的组织韧性，还要提高其自身韧性所依赖的更广泛生态系统的韧性。

组织对网络威胁形势的应对措施

约72%的组织表示，过去12个月中其网络风险有所增加，63%的组织认为复杂多变的威胁形势是其提升网络韧性的最大挑战。在技术快速发展和变革的背景下，组织必须持续做好应对网络威胁的准备，同时不能忽视网络安全的基本要素，包括持续关注基础实践和漏洞管理流程。

公私合作在应对现代网络威胁的复杂性方面展现出日益重要的价值。在受访机构中，50%认为信息共享和威胁情报是最有效的国际合作措施——例如，通过计算机应急响应小组（CERT）或信息共享与分析中心（ISAC）。随着网络犯罪日益复杂且无国界化，防御者正通过基于生态系统的方法积极开展国际合作，以实现对复杂犯罪集团的集体防御。尽管信息和情报共享至关重要，但2024年网络安全年会的领导人一致认为，此类工作仍然分散且各自为政，阻碍了有效行动。

事件响应与管理

如今网络威胁的复杂性日益增加，考验着各组织及时有效地应对网络事件的能力。

有效的事件响应离不开强调开放和透明的安全文化。高韧性组织通过各种支持措施来激励事件报告：76% 的组织提供网络安全培训和意识提升，62% 的组织设有支持团队协助报告，48% 的组织运营匿名报告渠道。这样的环境有助于培养协作和集体防御意识，这对应对复杂多变的威胁至关重要。

图 15：鼓励报告网络安全威胁和事件的激励措施

Image: 世界经济论坛。

案例研究 5：构建印度合作银行网络安全事件响应技能体系

印度的合作银行体系发挥着至关重要的作用，它以社区为中心，提供普惠的银行服务，尤其是在农村和农业社区。这些银行利用商业银行的上游服务为客户提供服务，因为对于交易量较小的客户而言，这种方式成本效益高，而且耗时更短，易于实施——从而推动普惠金融，促进经济稳定，并支持基层发展。

由于网络威胁日益复杂，资源匮乏的合作银行面临着严峻的网络安全挑战。缺乏训练有素的员工以及在事件响应方面信心不足，使它们极易遭受网络攻击。为了提升网络安全水平，印度计算机应急响应小组（CERT India）推出了一项结构化项目，在八个月的时间里，针对40家指定的合作银行实施，其中包括针对银行管理人员的网络安全演练，旨在提升其事件管理能力。该项目通过鼓励批判性思维，促进事件管理中的问题解决，从而将知识与认知过程紧密联系起来。

为了评估这些银行的累积韧性，网络安全演练与韧性的四大支柱——预测、抵御、恢复和发展——相对应。对这四大支柱进行加权求和，结果显示项目实施前后韧性均有显著提升。

桑杰·巴尔
印度计算机应急响应小组总干事

组织机构已普遍采用正式的网络安全事件处理流程。GCO 的调查显示，仅有 13% 的受访组织缺乏此类网络安全事件管理能力。最常见的流程包括网络安全事件响应手册、危机演练和内部响应机制。本报告的受访者强调，响应手册对于有效的威胁管理至关重要，他们提倡根据事件类型制定定制化的升级路径，并创建结构化的响应机制，充分考虑事件的范围和影响。

网络保险

保险是企业应对风险的众多风险管理策略之一，近年来，网络事件影响的保险产品日趋成熟。业内专家估计，全球网络保险市场规模将从2023年的140亿美元增长到2027年的290亿美元。⁴² 调查显示，拥有某种形式的保险有助于企业提高网络韧性：在被评为高韧性的企业中，仅有7%表示没有购买网络保险。然而，网络保险似乎更有利于大型企业而非小型企业，这可能是因为大型企业更有能力承担保险费用。调查显示，71%的大型企业对其网络保险能够充分覆盖网络事件造成的潜在损失表示有信心，而小型企业中只有35%的人持相同看法。这再次凸显了网络安全方面的不平等，小型企业面临的风险更大。

图 16：网络保险信心如何随组织规模而变化

Image: 世界经济论坛。

IT与OT交叉领域的复杂性

OT环境的安全是受网络空间日益复杂化影响的重要领域。尽管IT和OT的融合已成公认的趋势，但它们在特性和所需关注方面仍然截然不同，IT和OT团队传统上分别负责技术栈和数据流的不同环节。他们往往以不同的方式处理、优先排序和管理网络安全。缺乏正式的IT/OT融合战略方面的合作阻碍了工业环境的安全数字化。⁴³ OT安全战略规划通常耗时较长，往往依赖于高度专业化的供应商，因此不像IT系统那样具有在生产系统典型投资生命周期内灵活调整的能力。组织网络韧性是所有组成部分韧性的总和，这意味着在设计整体风险管理策略时，IT和OT不能再被孤立地看待。

案例研究 6：施耐德电气针对运营技术 (OT) 网络安全的综合方法

施耐德电气的产品是众多重要基础设施提供商不可或缺的一部分，例如发电厂、太阳能发电厂、关键建筑和数据中心，这些设施都在日益互联的环境中运行。鉴于这些行业对国家和全球韧性的重要性，网络安全至关重要。

因此，施耐德电气在其产品中采用“安全设计”理念，遵循安全开发生命周期原则，并进行独立的渗透测试，同时强调确保其工厂的生产安全。

此外，施耐德电气秉持“运营安全”理念，包括持续监控和实时威胁检测，这对于保护整个价值链的运营环境至关重要，并明确了各环节维护稳健安全措施的责任。公司还优先开展定期安全评估和更新，以确保其系统能够抵御不断演变的网络威胁。

一项与 BitSight 合作开发的重点举措包括扫描互联网，检测暴露的不安全 OT 协议（这些协议是通往关键环境的“敞开大门”），并与客户和监管机构合作，主动降低相关风险。

通过这些努力，施耐德电气展现了与所有相关利益攸关方合作，并利用先进的安全技术，为客户创造更安全、更可靠的运营环境的承诺。

网络技能差距

网络安全技能缺口仍然是组织提升韧性的关键挑战。网络安全行业正面临严重的人才短缺，据估计，网络安全专业人员的缺口在280万至480万之间。网络安全人才的严重匮乏加剧了风险形势，导致超过三分之二的组织由于缺乏关键技能而容易受到复杂的网络攻击和数据泄露。⁴⁴

根据全球网络安全办公室 (GCO) 的调查，虽然 39% 的组织认为技能短缺是提升自身韧性的重要障碍，但只有 14% 的组织表示拥有实现网络安全目标所需的人才。技能缺口在 2024 年至 2025 年间扩大了 8%，主要影响公共部门。在公共部门中，49% 的组织表示他们没有足够的人力来实现其网络安全目标，比 2024 年增加了 33%。

对于新一代网络安全从业人员而言，掌握人工智能的操作和防御技能正变得日益重要。虽然人工智能不会取代网络安全人员，但它将成为一种重要的补充能力。这为我们提供了一个契机，让我们能够开始弥合网络安全技能差距，不仅要提高自动化程度，还要培养一支能够熟练运用人工智能来推动网络安全取得积极成果的队伍。

图 17：各组织如何应对网络技能缺口

Image: 世界经济论坛。

在2024年网络安全年会的一个焦点小组讨论中，约91%的参与者认为人工智能将在网络安全领域催生新的角色，并提升事件响应等领域的能力。然而，67%的参与者指出，其所在机构在人工智能技能方面的投入不足，这表明当前的培训与不断变化的需求之间存在脱节。因此，企业必须致力于提升员工的人工智能能力，并确保教育课程不断更新，以反映动态的网络威胁形势和新兴技术。

人工智能优化网络安全人力资本和培训的一个重要方面在于其能够将复杂的网络威胁数据转化为自然语言。这有助于减少对技术娴熟的分析师理解环境的依赖。根据安全与技术研究所 (IST) 最近的一份报告：“总体而言，自然语言模型 (LLM) 简化了所有安全人员的数据理解，尤其是在案件调查期间，其对一级安全运营中心 (SOC) 分析师的影响更为显著，因为它缩短了准确识别恶意意图所需的时间。”⁴⁵

为了应对不断演变的网络安全需求，到2025年，只有23%的组织会跳出传统网络安全资质的局限，从非传统背景（例如传播、法律和金融）中招聘人才。随着网络安全变得日益复杂，其对企业的重要性也与日俱增，能够弥合技术细节与业务影响之间鸿沟的专业人才的需求变得愈发迫切。有效地将复杂的网络安全问题转化为通俗易懂的语言，是吸引利益相关者参与并引导其做出明智决策的关键所在。

方框 2：战略网络安全人才框架

2024年4月，世界经济论坛发布了 战略网络安全人才框架这份报告重点介绍了一些切实可行的方法，旨在帮助组织构建可持续的人才储备。报告概述了如何通过增进对网络安全专业人员工作内容的了解、消除准入门槛以及提高员工队伍的多样性来吸引更多人才加入网络安全领域。报告还探讨了如何为学生和专业人士提供该领域职业发展所需的关键技能，并建议重新思考招聘流程，以应对诸如职位描述中不切实际的苛刻要求以及招聘经理与人力资源部门之间目标不一致等挑战。最后，报告还探讨了如何推广能够激发员工积极性的留任策略，从而营造一种鼓舞人心的企业文化。

随着数字格局的不断演变，将框架与新兴技术（如 GenAI）进行匹配，对于确保其相关性和适应性至关重要。

除了招聘之外，人才保留也至关重要。Gartner 2023 年的一份报告估计，到 2025 年，近一半的网络安全领导者会跳槽到其他岗位，而 25% 的人会因为工作压力而转岗到完全不同的角色。⁴⁶ 鉴于网络安全工作的不可预测性和持续高要求，职业倦怠对人才保留构成重大挑战。Proofpoint 的研究表明，66% 的首席信息安全官 (CISO) 认为组织对他们期望过高，超过一半的人在过去 12 个月中经历过或目睹过职业倦怠。⁴⁷ 网络安全行业必须优先考虑员工福祉，将对员工的影响纳入决策过程，以避免职业倦怠并帮助留住人才。

“科技已渗透到我们生活的方方面面，在人工智能时代，威胁面正在迅速扩大，对高级网络安全的需求也日益增长。我们必须着重培训、技能提升、招聘和留住网络安全人才，以弥合日益扩大的网络安全技能缺口。科技行业可以发挥重要作用，思科为其长期推行的技能就业衔接项目——思科网络学院——感到自豪，该项目致力于弥合这一缺口。”
思科公司董事长兼首席执行官查克·罗宾斯

“弥合网络安全技能差距对于保障企业安全和应对全球劳动力短缺至关重要。像‘网络女孩’这样的项目——非洲最大的女性网络安全培训项目——不仅为女性提供关键的网络安全专业知识，还能增强她们的自信心，提升自身福祉和经济前景。投资此类项目是构建更安全、更包容的数字化未来的重要一步。”
——网络安全基金会创始人康菲登斯·斯塔维利

方框 3：首席信息安全官角色的演变

鉴于网络空间日益复杂，以及监管法规的不断涌现要求董事会关注网络风险，企业领导层越来越依赖首席信息安全官 (CISO) 来了解企业面临的网络风险。在 2024 年网络安全年会上，一项针对 CISO 的调查显示，60% 的 CISO 每年会与董事会讨论三到四次企业的网络安全状况。这要求 CISO 不仅要掌握安全方面的技术细节，还要将技术风险转化为业务影响，从财务损失、监管影响和客户信任等方面阐述网络风险，并向董事会和高管层清晰地说明网络安全投资如何保障企业的盈利能力和长期生存能力。

高效的首席信息安全官 (CISO) 会将网络威胁视为业务风险，而非纯粹的技术挑战。他们将网络事件置于业务连续性、声誉和财务影响的背景下进行分析，使首席执行官 (CEO) 和董事会能够将网络安全视为更广泛风险格局的一部分。例如，一些 CISO 现在会根据网络风险对市场份额、品牌信任度、安全性和合规性的影响来量化风险，从而展现网络事件如何波及整个组织，影响股东价值、市场份额、并购竞争地位以及客户信任。这种方法正促使 CEO 们倡导制定网络韧性战略，该战略不仅要应对眼前的威胁，还要支持企业的长期稳定发展。

鉴于首席信息安全官 (CISO) 角色的重要性，人们越来越关注其在组织内部的汇报关系，因为这体现了该职位在制定整体业务战略方面的影响力。在网络安全年会上，近 24% 的受访 CISO 直接向首席执行官 (CEO) 汇报，这印证了该职位日益增长的重要性。

3. 驾驭网络空间的复杂性

领导者必须将网络安全作为一项战略投资优先考虑，以确保在不断涌现的新威胁面前保持韧性。

“2022年哥斯达黎加遭受的网络攻击犹如一记警钟，凸显了网络安全必须从根本上转变观念的必要性，我们必须将其视为面向未来的关键投资，而不仅仅是一项支出。这些网络攻击不仅提高了人们对网络安全问题的认识，也推动了机构内部的变革，使网络安全成为家庭层面的核心议题。通过这一历程，我们认识到需要与邻国合作，加强我们的生态系统，从而提升哥斯达黎加乃至整个地区的韧性。”
——哥斯达黎加科学、创新、技术和电信部长保拉·博甘特斯·萨莫拉

这 2025年全球网络安全展望 报告凸显了网络空间日益增长的复杂性，这种复杂性是由地缘政治不确定性和网络犯罪分子日益高超的手段等因素驱动的——而这些因素往往超出组织领导者的直接控制范围。然而，领导层必须了解这种复杂性对组织和国家网络安全态势的累积影响。应对这种根深蒂固的复杂性绝非易事。这需要跳出固有思维模式，几乎总是需要从经济角度论证网络安全不作为的代价。

3.1 网络安全经济学简介

过去的网络攻击凸显了网络攻击与更广泛的经济环境之间的内在联系——尤其是在攻击对整体经济造成可衡量损害的情况下——网络事件的金融驱动因素和后果越来越引起私营和公共部门领导人的关注。有组织的网络犯罪的兴起、针对关键基础设施的大规模攻击以及影响社会和经济发展的技术快速普及，都凸显了网络安全的深远经济影响。

另一个关键方面是了解网络犯罪造成的经济损失。由于运营成本低、潜在回报高，网络犯罪已成为攻击者的一项高利润活动。美国联邦调查局 (FBI) 估计，到 2023 年，网络犯罪造成的损失将超过 125 亿美元。⁴⁸ 随着网络犯罪分子组织性和创新性不断增强，许多企业开始转向网络保险，以减轻网络攻击带来的经济损失。然而，随着网络犯罪的日益频繁，保险公司正在调整保费和承保条款，使得企业获得充分保障的成本更高。

所有这些因素都表明，领导者需要量化网络风险及其经济影响，以使投资与核心业务目标保持一致；同时，有资源和手段帮助那些没有资源和手段的人的领导者可能需要挺身而出，以确保采取全系统方法。

网络经济学的核心原则之一是在网络安全投资与管理相互冲突的业务优先事项之间取得平衡。日益复杂的网络环境意味着网络风险正影响着组织的更多方面，成功的领导者必须像应对市场环境一样应对风险环境。尽管超过60%的受访CEO和CISO表示，网络风险管理已融入其组织的企业风险管理体系，但许多人仍然难以准确评估所需的投资水平。事实上，如今只有不到一半的CEO认为其组织在网络安全方面的投资足够。

虽然主动安全措施（包括多因素身份验证、防火墙和安全意识培训）可能成本较高，但与网络攻击造成的经济损失相比，这些支出微不足道。然而，对于资金紧张的中小企业而言，除非能提供强有力的激励措施，否则这些成本可能会成为一大挑战。在寻找激励措施时，我们可以借鉴全球应对气候危机的努力。世界各国都在努力制定激励措施，鼓励民众使用可再生能源，例如提供大量补贴来推动屋顶太阳能或热泵的普及。为了通过推广主动安全措施来促进积极行动并增强网络韧性，要求政府为中小企业提供类似的激励措施似乎是合理的。

网络安全投资不足的关键障碍之一是无法有效量化网络风险，这源于不断演变的威胁形势以及评估网络事件潜在影响的复杂性。然而，能够以财务术语阐述网络风险对于组织有效分配资源和增强韧性至关重要。

网络安全的经济价值也体现在对网络安全人才的需求上。快速增长的网络安全就业市场为个人提供了建立长期且经济回报丰厚的职业生涯的机会。新的就业机会不仅有助于改善个人生活，也有助于促进相关行业和地区的整体经济发展。

网络经济学是一个需要深入探讨的广泛概念，但基于合理的经济论证来构建网络韧性的必要性毋庸置疑——事实上，领导者们再也不能忽视这一点。凭借坚定的领导、明智的投资和安全文化，组织可以构建渗透到整个组织的韧性。