他们很有耐心。从一家银行的第一台计算机感染恶意软件，到资金消失，最长耗时四个月。一旦进入网络，他们就找到了管理员的计算机进行视频监控，从而查看并记录负责资金转账系统的人员屏幕上发生的一切，之后模仿员工的操作来转移现金。为此，他们利用网上银行或国际电子支付系统，将近100家银行、分布于25个国家的资金转入自己的账户。赃款存入中国和美国的银行，其他国家的银行则被用作收款方。总计，他们窃取了逾10亿美元。
这就是当今企业面临的现实。在过去12个月里，警钟已经响亮敲响，愿意听的人都听得到。”
这类事件能够发生，证明了网络犯罪分子的决心，也证明他们懂得如何利用全球互联互通。坏人——一个涉及来自三个不同国家的参与者的犯罪集团——跨境协作，肆无忌惮地实施盗窃，这表明全球和企业网络治理的不足正好让他们有机可乘。
“眼下坏人正在得逞，”苏黎世保险集团（Zurich）全球金融机构负责人、一般保险承保部门的卢卡·拉瓦佐洛（Luca Ravazzolo）说。“他们可以去想去的地方，做想做的事，不必担心真的会被阻止，因为每有一家组织有效阻止攻击，就有许多其他组织遭到入侵。”
真实存在、全球互联的风险
苏黎世保险集团与专注于全球治理的领先智库 ESADEgeo 最近联合发布了一份报告，题为《全球网络治理：为新的商业风险做好准备》。报告揭示了全球商业界面临的挑战。简而言之，当前网络治理状况极不充分，几乎所有行业的企业都暴露在网络威胁之下，可能遭受巨大的声誉损害、实物损失、责任风险和监管成本。若不加遏制，日益增长的网络威胁可能会限制全球范围内的技术和经济发展。
“这就是当今企业面临的现实，”拉瓦佐洛说。“在过去12个月里，警钟已经响亮敲响，愿意听的人都听得到。检测到的网络安全事件数量大幅上升，每起事件的平均损失也有所增加。网络风险与其他全球风险的关联日益紧密，迫使企业在复杂得多的环境中运营，因为网络空间是全球性的，但网络安全框架并非如此。”
有组织犯罪只是企业问题的开端。国家和非国家行为者被指与多起针对企业的网络攻击有关，不过往往很难确定真正的行为者。（还值得注意的是，一些政府同时扮演网络防御者和网络攻击者的矛盾角色。）
企业治理本应在整体中占有更重要的地位
。”
报告指出，通向国际合作的必要道路漫长。地缘政治紧张局势以及对治理方式的意识形态分歧，暂时阻碍了强有力且有效的全球治理机构的建立。现有机构以西方为中心：只有两个全球机制设在欧洲和北美之外，而且都位于东南亚。
报告建议政策制定者考虑采取若干措施，包括成立 G20 + 20 网络稳定委员会并采取措施使其免受地缘政治紧张局势影响、建立网络版世界卫生组织，以及鼓励公私合作；同时也鼓励企业审视自身的网络治理。
从企业角度重新思考治理
商业领袖可以通过建立共识参与网络治理，但他们能立即产生的最大影响，是着眼于各自组织内部的治理。“迄今为止，大多数企业关注的是从技术角度强化网络防御，这很重要，”苏黎世全球企业业务战略商业风险总监琳达·康拉德（Linda Conrad）说。 “但企业治理在整体中的地位本应更加重要。除了报告建议的措施，网络风险管理中同样重要的一环，是通过围绕网络连接制定良好的内部治理来应对人的行为因素，企业现在就可以着手这样做。”
对员工而言，网络政策和培训或许显得平淡乏味，但它们至关重要，因为人的因素通常是网络风险管理中最薄弱的一环。例如，康拉德知道的一家公司遭到入侵，是因为黑客注意到一群员工每周都会数次在网上向同一家餐馆订午餐。黑客利用这一惯例，通过该餐馆安全性较低的系统进入公司的网络基础设施。
这说明，企业领导者必须拓宽对业务中断的定义。”
“入侵途径实在太多了，”康拉德说。“在这个具体案例中，良好的治理本可以培训员工不要以这种方式使用公司设备联系第三方。”
企业往往只是把网络安全责任交给 IT 团队，要求他们建立更好的防火墙，却不去考虑每位员工在每台台式机、笔记本电脑和移动设备上的责任。这种方便却无效的做法，促使一些企业认识到风险管理架构需要与时俱进，纳入一名负责弥合 IT 主管与首席风险官之间差距的人员：IT 风险官。
这类职位可以贯穿组织的各个业务渠道，例如供应链；供应链有其独特的网络风险问题，而且不只涉及网络入侵。根据一项由苏黎世保险集团赞助、与 Business Continuity Organization 合作开展的研究，2014年，52 percent 的供应链故障由 IT/通信中断导致，对全球贸易和企业盈利能力造成了重大影响。
“这说明，企业领导者必须拓宽对业务中断的定义，”康拉德说。“大多数网络风险管理都是围绕数据丢失建立的，但全面了解其他类型的网络事件如何扰乱业务，以及需要采取哪些措施来预防，或在事件发生时迅速恢复，非常重要。”
网络入侵对上市公司最显著、最直接且可衡量的影响，是投资者的反应。“通常，在发生重大风险事件后，你会预计股价约在40天后开始复苏，”康拉德说。“如果到那时还看不到复苏，恢复过程就会很漫长。组织最好根本不必反弹恢复；但如果你已在业务中建立韧性——配备备用数据源、计算资源和供应商，并做好预先规划和主动情景测试——就可能比想象中更快恢复到熟悉的业务状态。”
要点：
网络犯罪分子正利用互联互通，成功地以创新方式进入企业的数字基础设施。
目前，网络世界的全球治理成效不彰，但企业可以立即着手加强企业网络治理。
企业领导者应拓宽网络业务中断的定义，不应仅限于数据丢失。
通过为业务关键要素建立备份，并开展预先规划和情景测试，可以增强应对互联网络风险的韧性。
本文由 Zurich合作发布。本文发布并不意味着世界经济论坛认可其中的观点。
如需了解更多议程内容， 请订阅我们的每周通讯。
作者：卢卡·拉瓦佐洛（Luca Ravazzolo）是 Zurich Insurance Company Ltd. 全球金融机构及并购业务负责人。琳达·康拉德（Linda Conrad）是 Zurich Financial Services 战略商业风险总监
图片：一名男子正在敲击计算机键盘。路透社/Kacper Pempel。