企业内部个人的观点与技能，能够推动文化转变，从而加强网络风险管理。
在管理技术依赖所带来的风险时，讨论往往聚焦于基于技术的解决方案，却忽视了人在制造网络风险方面的作用，反过来，也忽视了人在防范网络风险方面的作用。正是认识到个人为保护组织所具有的集体力量，才能推动网络韧性方面的文化转变。
“数据安全备受关注，这理所应当，但网络风险远不止于此，”一家全球能源公司的首席风险官说。“网络中断并非只由黑客造成。那些往往并无恶意的人——而且不仅是员工，还可能是承包商，甚至是客户——也是网络风险的组成部分。但如果他们致力于企业的成功，而我们又让他们掌握正确的知识和流程，我们就开始看到，他们可以通过鼓励他人，在营造网络风险意识文化方面发挥重要作用。”
你绝不应想当然地认为，不属于你日常职权范围的事务就是别人的责任，因为也许其他人都这样想。而在这种情况下，问题往往最终落到一个并不具备处理所有数据隐私相关问题资质的人身上。”
企业领导者也必须提升自身的应对能力。根据安永（Ernst & Young）2014年《全球信息安全调查》，不到20%的组织能够随时获得实时的网络风险洞察，53%的组织表示，网络安全任务通常资源不足，或未由具备相应技能的人员执行。
“高管缺乏支持和董事会监督，可能导致企业失去必要的关注，无法做出所需投资，”安永有限责任公司Principal、EY董事会事务中心成员Ruby Sharma说。“董事会有责任对管理层提出质询，确保管理层合理分配资源，以应对与风险水平相称的网络风险。鉴于技术贯穿并影响所有部门和企业架构，董事会应当审视管理层的网络安全计划是否设有跨职能团队，且团队中包括所有关键部门的业务负责人。”
超越既定职责思考
相互关联的风险管理的一项基本原则是，业务部门应当协同合作，而非各自为政。在个人层面鼓励同类举措，有助于人们亲身认识到自己在管理网络风险中可以发挥的作用。Zurich的Jérôme Gossé是欧洲、中东和非洲地区全球企业安全与隐私负责人，他表示，有大量机会让人们对网络风险恍然大悟：“在最近一次与一家为主要能源基础设施实体供货的制造商的会议上，我们正在讨论并评估其在数据隐私、商业秘密和知识产权方面的风险，”Gossé说。“会上有数据隐私官，其职责包括管理员工数据的保密性。当我问及他们如何管理客户机密数据——其中部分数据极为敏感——他回答：‘那不属于我的职责。’这正是某人应当意识到自己能够发挥作用的时刻。如果你知道这不属于你的职责，那么它又属于谁？你绝不应想当然地认为，不属于你日常职权范围的事务就是别人的责任，因为也许其他人都这样想。而在这种情况下，问题往往最终落到一个并不具备处理所有数据隐私相关问题资质的人身上。另一方面，如果你追问这究竟是谁的职责，却发现无人负责，那么你就已经识别出一项网络风险，并可以提醒相关人员。”
目前，网络风险的新兴特征在于它正变得具有系统性——这与导致信贷危机的风险如出一辙。”
在工作中，Gossé注意到，无法依据企业规模、行业或所在地来判断其管理网络风险的水平。但员工参与程度的明显迹象，以及他们在管理网络风险方面主动作为的可能性，是可以察觉的。“组织内部的文化很快就会显现出来，”他说。“我们在承保流程中首先关注的，是管理层是否真正理解网络风险。他们是否切实参与其中？他们能否在短时间内知悉安全事件？还是只是把一切都交给IT部门独自处理？如果你能看出管理层并不投入，那么你就可以预期员工也不会投入——而这正是大多数网络风险疏忽发生的地方。”
发挥影响力的推动者
Zurich全球承保经理（专业与管理责任险）Tim Stapleton表示，企业层面的网络风险管理方法，将包容的范围扩展到纳入那些原本可能未被考虑的新观点，这有助于在整个公司强化这一优先事项。“你需要多个职能部门参与这一过程，当这种情况发生时，不同人才会开始留意，从首席执行官到一线员工都是如此，”Stapleton说。“大小企业都在积极参与，代表企业信息安全开展工作，而不仅仅是IT部分。这需要更广泛的方法，以助力在整个公司强化这一优先事项。”最近一项Ponemon Institute研究表明，董事会层面参与网络风险管理有助于降低网络泄露的成本。原因何在？网络安全不仅是IT问题，也是管理问题。最薄弱的环节往往是人，以及对网络风险的意识。提升这种意识，要从基础的数据隐私与安全做起：识别数据所有者，为数据划定适当的安全等级，然后以相应的安全水平处理这些数据。所有员工都必须了解网络攻击者所采用的不同手段，例如钓鱼攻击，即诱骗员工下载恶意软件，并且知道如何避免系统遭到入侵。
全新视角
整体协同、人人为我、我为人人式的网络风险管理方法，也有助于防范另一种风险：将网络风险管理的负担压在技术专家身上，而这是一个“陷阱”，Zurich全球企业首席风险官John Scott说。“重要的是要认识到，这关乎人与行为，而不仅仅是技术。”“2008年金融危机之后，人们普遍认为，危机是风险管理失效所致。然而，在相关主要金融机构中，风险管理人员绰绰有余，他们都在非常审慎地工作，审视金融产品和投资组合的具体风险状况。他们未曾关注的，是更宏观的图景，即意识到金融体系中正在累积不可持续水平的信用风险。目前，网络风险的新兴特征在于它正变得具有系统性——这与导致信贷危机的风险如出一辙。这一变化由多种趋势推动，包括“万物互联”（Internet of Everything）和BYOD（自带设备，bring your own device），它们制造了更多易受攻击的入口；还有云计算，服务器集群往往共址或以某种方式相互连接，从而产生系统性风险。一次针对主要云服务提供商的成功网络攻击，可能会使许多在不同地点使用该服务的企业陷入瘫痪。所有这些共同改变了风险的本质，足以说明，网络风险管理的讨论需要从董事会层面开始。”
核心要点
个人在保护组织方面的集体力量，能够推动网络韧性方面的文化转变。
董事会有责任质询管理层，以理解组织网络风险脆弱性的战略性与系统性本质，并合理分配网络风险管理资源。
组织中的每个人都应当理解网络风险管理，并承担相应责任。
网络安全不仅是IT问题，更是管理问题。让不同业务职能参与网络风险管理，能够凸显人在防范网络风险中的重要作用。这并非全都关乎技术。
本文与 Zurich Knowledge Hub合作发布。发表本文并不代表世界经济论坛认同文中观点。
如需紧跟 Agenda 动态， 请订阅我们的每周通讯。
作者：John Scott是Zurich全球企业首席风险官。Tim Stapleton是Zurich General Insurance专业与管理责任险全球承保经理。Jérôme Gossé是Zurich全球企业安全与隐私负责人（欧洲、中东和非洲地区）。
图片：2013年5月21日在柏林拍摄的插图中，一只手在电脑屏幕前形成剪影。REUTERS/Pawel Kopczynski。