网络战士临门：你的企业遭到攻击
对于企业而言，要辨别敌友正变得越来越困难，即便只是阅读或回复一封来自可信顾问的电子邮件也不例外。今年12月，网络安全公司FireEye披露的一起事件显示，一群黑客侵入了美国至少100家企业，收集了敏感数据；据报道，这些数据可能影响全球金融市场。
据FireEye称，该公司称为Fin4的团伙至少自2013年年中起便一直在活动，主要针对制药和医疗保健行业的企业，以及为这些行业公司提供顾问服务的机构。受影响的企业中，除三家外，其余均在纳斯达克或纽约证券交易所上市。
利用基于信任的漏洞
Fin4的攻击主要依赖看似可信来源发来的电子邮件，并采用投资银行业的行话撰写，揭示了企业的脆弱程度，也展现了网络犯罪分子的顽固程度。
“只要处于线上，就会遭到攻击，”移动反间谍软件公司SnoopWall首席执行官、诺里奇大学反恐与网络犯罪研究中心顾问委员会成员Gary S. Miliefsky说。“只要信息重要，迟早就会被窃取。企业需要加强主动防御，并开始培训员工更好地理解保护关键任务信息的最佳实践。”
虽然Fin4针对的是制药行业及其相关供应商，但没有任何企业能够免受网络犯罪侵害。
“你不能只把网络责任风险看作风险管理中的一个组成部分，”苏黎世保险集团全球特殊险业务负责人Lori Bailey说。“它需要融入组织内部的各个方面和运营环节。”
只要经营企业，就面临风险
金融机构，以及零售、医疗保健和酒店服务行业，常常是大规模数据泄露事件的重点目标。“但如果你看任何行业面临的整体风险，它们都通过技术彼此相连。无论你身处哪个领域——制造业、公用事业、农业、电信业——每个行业都面临网络责任风险，”Bailey说。
人们日益认识到网络相关风险可能损害声誉；但网络责任和数据安全所涉及的整体运营风险，可能更难以理解。
“与几年前相比，许多企业更加意识到网络事件带来的声誉风险，”Bailey说。“然而，企业根本不知道数据泄露会在何时何地发生，也不知道可能造成多大的声誉损害，因此必须做好准备。”
企业也可能发现，管理法规遵从具有挑战性。仅在美国，就有47个州制定了数据泄露通知法，而且没有两部完全相同。大多数国家也都有某种形式的数据保护法。对于缺乏充足资源的小型或中型企业而言，这可能成为重大障碍，使其难以建立在现代世界运营全球业务所必需的整体风险管理战略。
结果取决于计划的质量
有人说，天才是99%的汗水加上1%的灵感。网络风险管理也借鉴了这句格言的一部分。根据苏黎世保险集团的Bailey所言，企业对网络数据泄露事件的应对效果，往往反映了其事前准备得有多充分。
内部业务实践中的疏漏仍是网络入侵者打开“方便之门”的主要原因。因此，员工教育和意识培养至关重要，尤其是针对能够接触有价值信息的高风险人员。Bailey建议，企业应从深入审视内部风险管理程序着手准备，检查整体运营的各个方面，寻找潜在的数据泄露风险。这一过程涵盖从数据管理到清桌政策的方方面面。“还可以包括多项董事会层面的评估，以确定外部数据和业务中断风险可能暴露于何处，”她说。“下一步是确定如何通过网络风险缓解工具或购买保险来应对这些风险敞口。”
Marsh风险管理研究报告显示，2013年各行业对网络责任保险的需求较2012年增长了21%，这并不令人意外。传统上，这类保险在客户、患者和/或企业信息量大且政府监管程度较高的行业更受欢迎，但其吸引力正在扩大。
理想情况下，发生数据泄露时，企业会启动业务连续性和灾难恢复计划。随后会召集由取证、公关、危机管理和法律事务专家组成的团队，查明泄露事件的内容、地点和方式；尽力减轻可能造成的严重声誉损害；并处理向客户及其他相关方发出必要通知的工作。
随时待命的专家
然而，在大多数企业里，这类专业能力并不就在隔壁工位。“与全球保险公司合作的一个优势是，它们通常已与各行业领域的供应商建立合作关系，”Bailey说。“你不会想在危机期间才设法建立这些关系。如果时间紧迫时能立即组建一支经验丰富的团队，就能让整个流程更令人安心，并帮助尽快减轻损害。”
全球保险合作伙伴还可以帮助管理法规遵从的复杂性。“保险单可以让你获得专家团队的协助，以遵守相关法规，”Bailey说。“例如，中型企业可能没有资源确定自身的合同义务。这正是专家团队能够提供帮助的地方。”
网络安全和风险管理专家一致认为，几乎每家企业最终都会成为网络攻击的目标；他们也一致认为，积极主动是最佳行动方针。
“企业需要做好准备，不仅要从防御角度着手，也要从进攻角度着手，”网络安全公司Tanium首席战略官Chad Fulgham说。“他们应当采取这样的立场：自己已经是攻击目标，而且已经遭到入侵。这种心态和文化能够带来必要的紧迫感，推动预防和防御措施得到采纳并被优先落实。”
本文与以下机构合作发布： 苏黎世博客。本文发布并不表示世界经济论坛认同其中观点。
如需了解Forum:Agenda的最新动态， 请订阅我们的每周简报。
作者：Lori Bailey是苏黎世全球特殊险业务负责人
图片：在这张图片说明照片中，一只手的轮廓映在电脑屏幕前。照片摄于2013年5月21日柏林。路透社/Pawel Kopczynski